Tipovi podataka

Tipovi podataka odnose se na kategorizaciju ili klasifikaciju podataka prema njihovim inherentnim karakteristikama, strukturi i namijenjenoj upotrebi. Klasifikacija omogućuje organizaciji primjenu odgovarajućih sigurnosnih mjera za svaki tip.

Regulated Data (Regulirani podaci)

Regulated data = specifične kategorije informacija podložne zakonskim ili regulatornim zahtjevima glede rukovanja, pohrane i zaštite. Tipično uključuju PII i ostale osjetljive podatke.

  • Zdravstveni zapisi, SSN, broj kreditne kartice, ostali PII
  • HIPAA — zdravstveni podaci u SAD-u
  • PCI DSS — podaci kreditnih kartica
  • Compliance zahtijeva: enkripciju, access kontrole, breach notification procedure, data retention/destruction politike

Trade Secrets (Poslovne tajne)

Trade secrets = vrijedne, povjerljive informacije koje daju kompaniji konkurentsku prednost. Uključuju: formule, procese, metode, customer liste, cijene, marketing strategije, business-kritične podatke.

  • Komercijalna vrijednost izvodi se iz tajnosti
  • Zaposlenici i partneri potpisuju NDAs za zaštitu
  • Neovlašteno otkrivanje = ozbiljna pravna stvar; kompanije mogu tužiti
  • Zakoni se razlikuju po jurisdikciji, ali sprječavaju nepošteno tržišno natjecanje

Legal and Financial Data

TipSadržaj
Legal Data Dokumenti, ugovori, pravni sporazumi, sudski zapisi, parničarski materijali, IP filings, regulatorni spisi, korporativno upravljanje, usklađenost sa zakonima
Financial Data Financijski izvještaji, bilance, izvještaji o prihodima, cash flow, revizorski izvještaji, porezni zapisi, financijske projekcije, proračuni, transakcijski zapisi, AP/AR, general ledger

Human-Readable vs. Non-Human-Readable Data

TipDefinicijaPrimjeriPrimjenjive sigurnosne kontrole
Human-readable Informacije koje čovjek može razumjeti bez dodatne obrade Dokumenti, izvještaji, emailovi, web stranice, prezentacije DLP, content filtering, user awareness, web security
Non-human-readable Podaci koji zahtijevaju specijalizirani softver ili algoritme za dešifriranje Binarni kod, enkripcija, kompleksni data formati Enkripcija, access controls, IDS/IPS, sigurna razmjena, code/app security
Non-human-readable formati mogu otežati sigurnosne kontrole jer se ne mogu lako pregledati tradicionalnim metodama. Zahtijevaju specijalizirane pristupe inspekciji i zaštiti.

Klasifikacija podataka

Data classification i tipizacijske sheme označavaju data assete da bi se mogli upravljati kroz informacijski životni ciklus. Shema klasifikacije je decision tree za primjenu oznaka na svaki data asset.

Klasifikacija prema razini povjerljivosti

RazinaDefinicijaPristup
Public (Unclassified) Nema ograničenja pregleda. Nema rizika ako je otkrivena, ali JEST rizik ako je modificirana ili nedostupna. U vladi, "unclassified" može zahtijevati autorizaciju prije objave. Svi
Confidential Osjetljivo, može se deklasificirati. Prikladno za osoblje unutar organizacije i povjerljive treće strane pod NDA. Ne uključuje nužno informacije koje zahtijevaju zaštitu na nacionalnoj sigurnosnoj razini. Interni + NDA partneri
Secret Ako bi se otkrilo, moglo bi uzrokovati ozbiljnu štetu nacionalnoj sigurnosti. Need-to-know basis
Top Secret Najviša razina klasifikacije. Neovlašteno otkrivanje = izuzetno teška šteta nacionalnoj sigurnosti. Izuzetno ograničen i nadziran pristup. Izuzetno ograničen

Klasifikacija prema tipu informacijske imovine

OznakaDefinicija
Proprietary / IP Informacije kreirane i u vlasništvu kompanije o njenim proizvodima/uslugama. IP je meta konkurenata, stranih vlada i krivotvoritelja (filmovi, muzika, knjige).
Private / Personal Odnosi se na individualni identitet. PII: imena, adrese, SSN, financijski podaci, zdravstveni zapisi, login kredencijali, biometrijski podaci, povjerljivi poslovni podaci.
Sensitive Osobni podaci koji bi mogli naškoditi pojedincu ako bi postali javni. GDPR: vjerska uvjerenja, politička mišljenja, sindikalno članstvo, spolna orijentacija, rasno podrijetlo, genetski podaci, zdravstvene informacije.
Restricted Osjetljive informacije koje zahtijevaju stroge kontrole i ograničen pristup zbog visoko povjerljive prirode. Neovlašteni pristup = značajna šteta pojedincima, organizacijama ili nacionalnoj sigurnosti.
Microsoft Purview = alat za automatsko labeliranje dokumenata i watermarking. Omogućuje kreiranje sensitivity labela (npr. "Company Confidential") koji se primjenjuju na sve datoteke — u cloudu ili na računalu — i automatski provode zaštitne mjere.

Data Sovereignty i geografska ograničenja

Data Sovereignty

Data sovereignty = jurisdikcija koja sprječava ili ograničava procesiranje i pohranu podataka na sustavima koji se fizički ne nalaze unutar te jurisdikcije. Može zahtijevati korištenje lokalno specifičnih storage objekata u cloud usluzi.

  • GDPR protiti se na svakog EU građanina dok je u EU/EEA. Transfer podataka izvan EEA je ograničen — odredišna jurisdikcija mora imati adekvatnu zaštitu privatnosti
  • Ako nema adekvatne zaštite → ugovorni zaštitni mehanizmi moraju biti uspostavljeni
  • SAD: kompanije se mogu self-certifikovati da nude adekvatnu zaštitu pod Privacy Shield shemom

Geografska ograničenja — dva scenarija

  1. Odabir lokacija pohrane — cloud provideri nude izbor datacentra (EU, SAD, APAC) za obradu i pohranu podataka unutar definiranih pravnih/geografskih granica. Sprječava ilegalni transfer podataka bez suglasnosti.
  2. Pristup iz više lokacija — zaposlenici pristupaju podacima iz različitih geografskih lokacija. Cloud-based file i database servisi primjenjuju constraint-based access kontrole koje validiraju geografsku lokaciju korisnika prije autorizacije pristupa.

Učinci geografskih ograničenja

  • Data protection prakse — geolokacijski zahtjevi utječu na data replikaciju i data dispersion
  • Incident investigation i forensics — jurisdikcijsko-specifična ograničenja dijeljenja podataka i pristupa

Privacy Data vs. Confidential Data

AspektPrivacy DataConfidential Data
Definicija Osobno identificirajuće ili osjetljive informacije vezane za osobni, financijski ili društveni identitet pojedinca Svaka informacija koja zahtijeva zaštitu zbog povjerljive prirode, bez obzira na to odnosi li se na pojedinca
Primjeri Imena, adrese, SSN, medicinski zapisi, financijske transakcije, kontakt informacije Poslovne tajne, IP, financijski izvještaji, vlasničke algoritme, izvorni kod, nepublicirane informacije
Fokus Zaštita privatnosti prava pojedinca; sprječavanje krađe identiteta Zaštita poslovne kompetitivnosti, IP, integriteta osjetljivih podataka kompanije
Prava ispitanika Data subjects imaju prava: pristup, ispravka, brisanje, portabilnost, prigovor Tipično ne daje posebna prava data subjectima — odnosi se više na vlasničke info organizacije
Suglasnost Obično zahtijeva eksplicitnu suglasnost data subjecta za prikupljanje, upotrebu i otkrivanje Možda ne zahtijeva individualnu suglasnost — vezano uz interne/poslovne informacije

Pravne implikacije privatnosti

  • Mnoge države imaju specifične zakone o privatnosti koji definiraju prava pojedinaca i odgovornosti organizacija
  • Data protection tijela (DPA) na nacionalnoj razini istražuju kršenja, izdaju kazne, poduzimaju pravne mjere
  • GDPR = eksteritorijalalni učinak — primjenjuje se na organizacije koje obrađuju osobne podatke EU rezidenata bez obzira na fizičku lokaciju organizacije
  • GDPR ograničava transfer osobnih podataka izvan EEA osim uz adekvatne zaštitne mjere
  • CCPA (California Consumer Privacy Act) = američki odgovor na GDPR

Data Controller, Processor i Subject

Data Controller vs. Data Processor

UlogaDefinicijaObvezePrimjeri
Data Controller Entitet koji određuje svrhu i način obrade osobnih podataka. Donosi odluke ZAŠTO i KAKO se podaci obrađuju. Direktno pravno odgovoran; pribavlja suglasnost; pruža privacy notices; implementira politike; rješava zahtjeve data subjekata Banka koja prikuplja podatke o klijentima; bolnica koja čuva pacijentske podatke
Data Processor Obrađuje osobne podatke U IME Data Controllera. Postupa po uputama Controllera. Nema neovisnu odlučivačku vlast. Implementira sigurnosne mjere; čuva povjerljivost i integritet; surađuje s Controllerom; vodi evidencije aktivnosti obrade Cloud service provideri (AWS, Azure, Google Cloud); tvrtke za obračun plaća

Data Subject (Ispitanik podataka)

Data subject = pojedinac čiji se osobni podaci obrađuju. Imaju određena prava i zaštite pod zakonima o zaštiti podataka (GDPR, CCPA).

Data subjects prava ostvaruju kontaktiranjem Data Controllera koji mora osigurati poštivanje prava.

Prava ispitanika podataka (GDPR)

PravoOpis
Pravo pristupa Data subjecti mogu zatražiti pristup svojim osobnim podacima i dobiti informacije o načinu obrade: svrhe, kategorije podataka, primatelji, trajanje čuvanja
Pravo na ispravak
(rectification)		 Ako su osobni podaci netočni ili nepotpuni, data subject može zahtijevati ispravak
Pravo na brisanje
(erasure / Right to Be Forgotten)		 Zahtjev brisanja osobnih podataka u određenim okolnostima (više nije potrebno za svrhu, povlačenje suglasnosti)
Pravo ograničenja obrade Podaci se mogu čuvati ali ne i dalje obrađivati, osim uz posebne uvjete; daje kontrolu nad daljnjom upotrebom
Pravo na prenosivost
(portability)		 Primanje osobnih podataka u uobičajenom, strojno čitljivom formatu za transfer drugom pružatelju
Pravo prigovora Prigovor obradi osobnih podataka na temelju specifičnih razloga (npr. direktni marketing)
Pravo povlačenja suglasnosti Ako se obrada temelji na suglasnosti, data subject može je povući u bilo koje doba; organizacija mora prestati s obradom

Right to Be Forgotten (Pravo na brisanje)

Right to be forgotten = temeljno načelo GDPR-a. Daje data subjectima pravo zahtijevati brisanje ili izbrisivanje osobnih podataka. Ovlašćuje pojedince da uklone osobne podatke s online platformi, baza podataka i bilo kojih izvora gdje su podaci obrađeni i javno dostupni.

Nakon primitka valjanog zahtjeva za brisanje, Data Controller mora brzo obrisati podatke osim ako postoje zakoniti razlozi za odbijanje. Pravo se primjenjuje i na treće strane kojima su podaci bili dijeljeni.

Pravo može biti ograničeno ako je obrada neophodna za:

  • Slobodu izražavanja i informiranja
  • Ispunjavanje zakonske obveze
  • Uspostavu, vršenje ili obranu pravnih zahtjeva

Data Inventories, Retention i Breaches

Data Inventories (Evidencija podataka)

Data inventories pruža sveobuhvatan pregled tipova podataka koje organizacija obrađuje, svrhe obrade, pravne osnove i primatelje — radi osiguravanja transparentnosti i odgovornosti.

Zakoni o privatnosti (GDPR, CCPA) zahtijevaju od organizacija:

  • Zakonitu osnovu za svaku obradu osobnih podataka
  • Prikupljanje samo neophodnih podataka (data minimization)
  • Dokumentiranje kategorija, svrha i trajanja čuvanja
  • Mogućnost odgovaranja na zahtjeve data subjekata (pristup, ispravak, brisanje)

Data Retention (Zadržavanje podataka)

Osobni podaci smiju se čuvati samo onoliko dugo koliko je nužno za ispunjenje namijenjene svrhe ili koliko zakon zahtijeva. Kada podaci više nisu potrebni — sigurno brisanje ili anonimizacija.

Data Breach vs. Privacy Breach

PojamDefinicija
Data Breach Informacije pročitane, modificirane ili izbrisane bez autorizacije. "Pročitano" = viđeno od osobe ili preneseno na mrežu/medij. Gubitak bilo kojeg tipa podataka (korporativni podaci, IP)
Privacy Breach Specifično — gubitak ili otkrivanje osobnih i osjetljivih podataka. Uži pojam koji se odnosi na PII/osjetljive podatke.
Prema nekim regulativama, kršenje može biti evidentirano ako postoji samo mogućnost neovlaštenog pristupa — čak i ako audit logovi ne pokazuju stvarne pokušaje pristupa (npr. pogrešno postavljene dozvole na datoteci s osobnim podacima).

Ownership of Privacy Data

Vlasništvo nad privacy podacima nije klasično vlasništvo imovine. Naglasak (GDPR) je na pravima i zaštitama data subjecta. Organizacije koje prikupljaju i obrađuju podatke su custodiani/stewardi, a ne vlasnici — imaju pravne i etičke odgovornosti zaštititi podatke i poštivati prava ispitanika.

Posljedice povreda podataka i obavijesti

Organizacijske posljedice kršenja podataka

  • Reputation damage — široka negativna publiciteta; kupci gube povjerenje u kompaniju koja ne može zaštititi podatke
  • Identity theft — ako su iskorišteni podaci za krađu identiteta, data subject može tužiti za naknadu štete
  • Fines (Globe) — regulator može nametnuti novčane kazne: fiksan iznos ili postotak godišnjeg prihoda (GDPR: do 4% ukupnog prihoda ili €20M, koji god je veći)
  • IP theft — gubitak kompanijskih podataka može uzrokovati gubitak prihoda (neobjavljena filmova i glazba, patenti, poslovne tajne)

Obavijesti o kršenjima (Breach Notifications)

Zahtjevi za različite tipove kršenja propisani su zakonom i propisima — tko mora biti obaviješten i u kojim rokovima.

RegulativaKoga obavijestitiRok
GDPR Nadzorno tijelo (DPA) + pogođeni pojedinci (ako visoki rizik) 72 sata od saznanja za kršenje
HIPAA Pogođeni pojedinci + Secretary HHS + ako >500 pogođenih → mediji 60 dana od otkrivanja (bez odlaganja)

Disclosure tipično uključuje: opis povrijeđenih informacija, kontakt detalje, vjerojatne posljedice, poduzete mjere mitigacije.

Escalation (Eskalacija)

Čak i ako tehnički stručnjaci procijene incident kao manji, svako kršenje osobnih podataka (i većina kršenja IP) trebalo bi biti eskalirano na senior decision-makere. Remediacija sustava bez eskalacije i obavijesti može staviti kompaniju u pravnu opasnost.

Posljedice neusklađenosti (Noncompliance)

Regulatorna neusklađenost

Sankce se odnose na kazne, disciplinarne mjere ili mjere nametnute zbog neusklađenosti.

  • Financijske kazne — regulatorna tijela mogu nametnuti milijune ili milijarde eura/dolara
  • Pravna odgovornost — tužbe pogođenih pojedinaca ili data subjekata → skupi sudski postupci i nagodbe
  • Reputacijska šteta — erozija povjerenja kupaca; gubitak poslovnih mogućnosti i partnerstva
  • Povećani regulatorni nadzor — dodatne revizije, istrage, naložene remedijacijske mjere

Software Licensing Noncompliance

Neusklađenost s licencijskim zahtjevima softvera može rezultirati opozivom prava korištenja i novčanim kaznama. Kršenja: prekoračenje broja dozvoljenih instalacija, neovlašteno dijeljenje, modificiranje koda bez autorizacije.

Remedijacija: license remediation, proper license management, redovite revizije licenci.

Contractual Noncompliance

TipOpis
Breach of Contract Neusklađenost s ugovornim odredbama za zaštitu podataka/kibernetičke sigurnosti → potencijalna odgovornost za štetu nastalu iz neusklađenosti
Termination of Contracts Ugovori mogu sadržavati klauzule o raskidu ako druga strana ne implementira adekvatne sigurnosne mjere → gubitak poslovnih odnosa
Indemnification and Liability Neusklađena strana preuzima odgovornost za štete nastale kibernetičkim incidentom → financijski teretovi i reputacijska šteta
Noncompliance Penalties Ugovori propisuju financijske kazne ili naknadu za neusklađenost s kibernetičkim zahtjevima → poticaj za poštivanje ugovornih obveza

Compliance Monitoring i Reporting

Compliance Monitoring

Sustavno procjenjivanje, evaluiranje i izvještavanje o usklađenosti organizacije sa zakonima, propisima, ugovorima i industrijskim standardima. Uključuje: procjene rizika, prikupljanje podataka i analizu.

Može se provoditi interno (self-assessments, interne revizije) i eksterno (neovisne revizije, regulatorne inspekcije).

Attestation i acknowledgment su integralni dio compliance monitoringa — pojedinci ili entiteti formalno potvrđuju razumijevanje compliance obveza potpisivanjem sporazuma, policy acknowledgmenta i sudjelovanjem u treninzima.

Automation — compliance management softver je kritični alat za prikupljanje podataka, analizu i izvještavanje. Automatizacija poboljšava točnost i ubrzava detekciju neusklađenosti ili anomalija.

Compliance Reporting

TipPublikaFokus
Internal Compliance Reporting Interni stakeholderi: risk manageri, izvršna uprava, sigurnosni analitičari, privacy officers Operativni detalji; podrška internom donošenju odluka; identifikacija neusklađenosti
External Compliance Reporting Eksterni stakeholderi: dioničari, kupci, klijenti, regulatori, vendori, poslovni partneri High-level sažeci compliance performansi; poštivanje regulatornih zahtjeva; transparentnost

Stanja podataka: At Rest, In Transit, In Use

Klasificiranje podataka prema stanju — at rest, in motion, in use — ključno je za efektivnu zaštitu. Svako stanje ima specifične rizike i zahtijeva prilagođene sigurnosne mjere.

StanjeOpisPrimjeriZaštita
Data at rest Podaci u nekom obliku trajne pohrane (persistent storage) Financijski podaci u bazama, arhivirani AV mediji, operativne politike, systemska konfiguracija Whole disk encryption, database encryption, file/folder encryption; ACLs (samo uz trusted OS)
Data in transit
(in motion)		 Podaci koji se prenose putem mreže Web promet, remote access, sinkronizacija između cloud repozitorija TLS ili IPSec transport enkripcija; može koristiti efemerne (session) ključeve
Data in use
(in processing)		 Podaci prisutni u volatilnoj memoriji (RAM, CPU registri/cache) Otvoreni dokumenti, baze podataka u aktivnoj obradi, event logovi koji se generiraju Obično dešifrirani za čitav work session (rizik!); TEE (Trusted Execution Environment) = Intel Software Guard Extensions enkripcija podataka u memoriji — untrusted procesi ne mogu dekodirati
At rest vs. In transit enkripcija: Data at rest postavlja veći enkripcijski izazov jer se ključevi moraju čuvati dulje. Transport enkripcija može koristiti efemerne session ključeve koji se brišu nakon sesije.

Metode zaštite podataka

MetodaOpisPrimjena
Geographic Restrictions Ograničavanje pristupa podacima prema geografskim lokacijama — podaci dostupni samo iz odobrenih regija Cloud storage servisi gdje se podaci moraju čuvati unutar određene jurisdikcije
Encryption Pretvaranje podataka u kodirani format koji se može dešifrirati samo enkripcijskim ključem ili lozinkom. Štiti povjerljivost i osigurava da interceptirani podaci ostaju nečitljivi. Data at rest (disk, DB), data in transit (TLS, IPSec)
Hashing Pretvaranje podataka u niz fiksne duljine pomoću hash algoritma. Jednosmjerna funkcija — ne može se obrnuti. Verifikacija integriteta podataka; sigurno čuvanje lozinki (uz salt)
Masking Zamjena osjetljivih podataka s fiktivnim ili djelomično skrivenim vrijednostima; čuva format i duljinu originalnih podataka Skrivanje osjetljivih polja u formularima, demo okruženja, test baze podataka (npr. ****1234 za kartice)
Tokenization Zamjena osjetljivih podataka nasumično generiranim tokenom; original se sigurno pohranjuje na zasebnoj lokaciji. Tokeni nemaju smislenu vrijednost. Platni sustavi (kreditne kartice zamijenjene tokenom); PCI DSS compliance
Obfuscation Modificiranje podataka ili koda kako bi ga bilo teško razumjeti ili reverse-engineerovati bez narušavanja funkcionalnosti Zaštita izvornog koda (software IP); sprječavanje neovlaštenog pristupa ključnim detaljima
Segmentation Dijeljenje mreža, podataka i aplikacija u izolirane komponente; ograničava impact kršenja; poboljšava mrežnu sigurnost Healthcare sustavi (EHR): pacijentski podaci segmentirani prema medicinskim uvjetima, odjelima, razinama pristupa
Permission Restrictions Kontrola pristupa podacima prema korisničkim dozvolama — samo ovlaštene osobe mogu pregledati, modificirati ili interagirati s podacima. Smanjuje rizik neovlaštenog pristupa. ACL (Access Control Lists), RBAC (Role-Based Access Control), MAC (Mandatory Access Control)
Masking vs. Tokenization: Masking mijenja podatke "in place" i original može biti nepovratno promijenjen. Tokenization čuva original sigurno pohranjen — token se može "zamjeniti" nazad na original kroz sigurni vault. Tokenization se preferira u PCI DSS okruženjima.

DLP — Data Loss Prevention

DLP (Data Loss Prevention) produkti automatiziraju otkrivanje i klasifikaciju tipova podataka i provode pravila kako podaci ne bi bili pregledani ili preneseni bez odgovarajuće autorizacije.

Komponente DLP rješenja

  • Policy server — konfiguracija klasifikacije, pravila povjerljivosti i privatnosti, logiranje incidenata, kompilacija izvještaja
  • Endpoint agents — provođenje politike na klijentskim računalima, čak i kada nisu na mreži
  • Network agents — skeniranje komunikacija na mrežnim rubovima; integracija s web i messaging serverima

DLP skeniranje

  • Structured formats — baze podataka s formalnim access control modelom
  • Unstructured formats — email, dokumenti za obradu teksta; data transformation za konzistentni format za policy enforcement
  • Transfer sadržaja na removable medije (USB), email, IM, social media može biti blokiran ako ne odgovara predefiniranoj politici
  • Može se proširiti na cloud storage servise (proxy ili CSP API za skeniranje)

DLP Remediation mehanizmi

MehanizamPonašanje
Alert only Kopiranje je dozvoljeno, ali management sustav evidentira incident i može upozoriti administratora
Block Korisnik je spriječen u kopiranju originalne datoteke, ali zadržava pristup njoj. Incident se logira; korisnik može ali ne mora biti obaviješten
Quarantine Pristup originalnoj datoteci je onemogućen (korisniku ili svim korisnicima). Može biti postignut enkripcijom in-place ili premještanjem u quarantine područje
Tombstone Originalna datoteka je quarantined i zamjenjena opisom povrede politike i uputama kako korisnik može zatražiti njeno oslobađanje

Sigurnosne politike (AUP, Code of Conduct, BYOD, Clean Desk)

Acceptable Use Policy (AUP)

AUP = politika prihvatljive upotrebe. Provođenje AUP-a štiti organizaciju od pravnih i sigurnosnih implikacija zloupotrebe opreme od strane zaposlenika. Politika tipično:

  • Zabranjuje upotrebu opreme za prijevaru, klevetu ili dobivanje ilegalnog materijala
  • Zabranjuje instalaciju neovlaštenog HW ili SW
  • Eksplicitno zabranjuje snooping povjerljivih podataka bez autorizacije
  • Smijernice moraju biti razumne i ne smiju ometati temeljne radne zadatke
  • Može zabraniti ili ograničiti korištenje Internet alata izvan radnih zadataka

Code of Conduct (Kodeks ponašanja)

Code of Conduct = pravila ponašanja; postavlja profesionalne standarde. Uključuje:

  • Upotreba social media i file sharing — prijetnje virusi, gubljenje radnog vremena, kršenje autorskih prava
  • Sve data komunikacije putem organizacijskih sustava se mogu logirati i pratiti
  • Poslodavci mogu nadzirati osobne social media račune zaposlenika radi provjere policy kršenja
  • Privilegirani korisnici (tehničari, manageri) vezani klauzulama koje zabranjuju zlouporabu privilegija

BYOD (Personally Owned Devices)

Portabilni uređaji (smartphonevi, USB stickovi, media playeri) predstavljaju ozbiljnu prijetnju sigurnosti jer olakšavaju kopiranje datoteka. Camera i voice-recording funkcije su dodatni sigurnosni problemi.

  • NAC (Network Access Control), endpoint management i DLP mogu sprječavati priključivanje uređaja
  • Shadow IT — osobni softver ili servisi koji nisu sankcionirani za projekt; može biti vektor za data exfiltration, malware ili licencijska kršenja

Clean Desk Policy

Clean desk policy = svaki radni prostor zaposlenika treba biti slobodan od dokumenata. Cilj: sprječavanje dobivanja osjetljivih informacija od strane neovlaštenog osoblja ili gostiju.

Sigurnosna obuka i svjesnost

Neobučeni korisnici su ozbiljna ranjivost — podložni social engineeringu, malware napadima i nebrižnom rukovanju osjetljivim podacima. Odgovarajuća sigurnosna obuka mora biti pružena svim razinama: krajnjim korisnicima, tehničkom osoblju i izvršnoj upravi.

Opće teme sigurnosne obuke

  • Pregled sigurnosnih politika i kazne za neusklađenost
  • Identifikacija i prijava incidenata
  • Sigurnosni postupci na lokaciji: safety drills, escorting gostiju, zaštićena područja, osobni uređaji
  • Rukovanje podacima: povjerljivost dokumenata, PII, backup, enkripcija
  • Upravljanje lozinkama i sigurnosne funkcije računala/mobilnih uređaja
  • Svjesnost social engineeringa i malware prijetnji (phishing, website exploits, spam)
  • Sigurna upotreba softvera (browseri, email klijenti) i Internet pristupa

Role-based obuka

Trebalo bi postojati sustav za identifikaciju zaposlenika koji obavljaju sigurnosno-osjetljive uloge i graduiranje razine potrebne obuke (početnik, napredni, napredni). Fokus je na job roles, ne job titles — isti zaposlenik može obavljati različite uloge s različitim sigurnosnim zahtjevima.

NIST NICE (National Initiative for Cybersecurity Education) framework definira KSAs (Knowledge, Skills, Abilities) za različite kibernetičke uloge.

Computer-Based Training (CBT) i Gamification

  • CBT = student usvaja vještine kroz praktične aktivnosti
  • Simulations — rekreacija sistemskih sučelja ili emulatori za praksu konfiguracije
  • Branching scenarios — student bira između opcija za rješavanje sigurnosnih incidenata
  • Gamification — video-game elementi (badges, level-ups, digitizirani loot za avatar)
  • CTF (Capture the Flag) — natjecanje koje povećava security awareness

Kritični elementi sigurnosne obuke

TemaSadržaj
Policy/HandbooksUpoznavanje s politikama, postupcima, smjernicama za sigurnost podataka, prihvatljivu upotrebu, povjerljivost
Situational AwarenessPrepoznavanje i reagiranje na potencijalne sigurnosne prijetnje ili sumnjive aktivnosti; vigilantnost i promatranje okoline
Insider ThreatPrepoznavanje i prijava sumnjivog ponašanja; razumijevanje utjecaja insider prijetnji; kultura povjerenja i odgovornosti
Password ManagementStvaranje jakih, jedinstvenih lozinki; izbjegavanje ponovne upotrebe; MFA; redovito ažuriranje
Removable Media and CablesRizici USB uređaja, gubitka/krađe removable medija; rizici malicioznih charging kablova (attack vector)
Social EngineeringPhishing, pretexting, baiting — prepoznavanje manipulativnih tehnika; skepticizam i kritično razmišljanje
Operational SecurityDobra sigurnosna praksa u dnevnom radu: fizička sigurnost, workstation sigurnost, klasifikacija podataka, sigurne komunikacije, prijava incidenata
Hybrid/Remote WorkJedinstven sigurnosni izazov rada od kuće: sigurni remote access, sigurni Wi-Fi, zaštita fizičkih workstationsa, sigurnost podataka

Phishing kampanje i Anomalous Behaviors

Phishing kampanje kao trening

Phishing kampanje korištene kao mehanizmi obuke uključuju simulirane napade za podizanje svjesnosti i edukaciju zaposlenika o rizicima. Organizacije provode mock phishing vježbe s ciljevima:

  • Poboljšanje threat awareness
  • Zaštita osjetljivih informacija
  • Mitigacija social engineering rizika
  • Promicanje incident response
  • Jačanje sigurnosnih praksi

Phishing je efektivan attack vector zbog: eksploatacije ljudskih ranjivosti, psihološke manipulacije, lažnog predstavljanja pouzdanih entiteta, jednostavnosti upotrebe i dinamičnih sposobnosti.

Kroz obuku zaposlenici uče:

  • Prepoznavati uobičajene phishing tehnike (urgentne zahtjeve, spoofane identitete, mamljive ponude)
  • Prijaviti sumnjive poruke sigurnosnom timu
  • Ne klikati sumnjive linkove ili otvarati attachmente
  • Verificirati zahtjeve putem alternativnih kanala

Anomalous Behavior Recognition

Anomalous behavior recognition = radnje ili uzorci koji se značajno razlikuju od očekivanja. Primjeri: neobičan mrežni promet, anomalije korisničkih računa, insider threat radnje, abnormalni sistemski eventi, fraudulentne transakcije.

Tehnike detekcije: network intrusion detection, UEBA (User and Entity Behavior Analytics), log analiza, fraud detection (strojno učenje).

Recognizing Risky Behaviors

Tip ponašanjaOpisPrimjeri
Risky behaviors Radnje koje direktno ugrožavaju sigurnost podataka, sustava ili mreža Klikanje na sumnjive linkove, posjeta nepouzdanim web stranicama, preuzimanje neovlaštenog softvera, slabe lozinke, dijeljenje kredencijala
Unexpected behaviors Radnje koje odstupaju od ustaljenih sigurnosnih protokola ili narušavaju politike (nedostatak svjesnosti, nemarnost, nepoštivanje procedura) Neovlašteni pristup osjetljivim podacima, zaobilaženje sigurnosnih kontrola, ignoriranje fizičkih sigurnosnih mjera
Unintentional behaviors Radnje bez zlonamjerne namjere ali s štetnim posljedicama (humana greška, nedostatak treninga) Slučajno kršenje podataka, pogrešno rukovanje povjerljivim podacima, nasjesti phishingu

Security Awareness Training Lifecycle

Sigurnosna obuka prati životni ciklus koji se kontinuirano ponavlja:

  1. Assessment — procjena trenutnih znanja, ranjivosti i organizacijskih potreba
  2. Planning and Design — planiranje sadržaja i metodologije na temelju procjene
  3. Development — razvoj edukacijskih materijala, simulacija i testova
  4. Delivery and Implementation — isporuka obuke zaposlenicima (radionice, CBT, simulacije)
  5. Evaluation and Feedback — mjerenje učinkovitosti; feedback od sudionika
  6. Ongoing Reinforcement — stalno podsjećanje; kratki „refresher" sadržaji
  7. Monitoring and Adaptation — praćenje novih prijetnji; adaptacija programa novim izazovima

Flashcards

Koja je razlika između Data at Rest, In Transit i In Use?
At Rest = trajná pohrana (disk, DB); enkripcija + ACL.
In Transit = putem mreže; TLS/IPSec; efemerni ključevi.
In Use = u RAM/CPU; obično dešifrirani; TEE (Intel SGX) može enkriptirati u memoriji.
Koja je razlika između Masking i Tokenization?
Masking = zamjena osjetljivih podataka fiktivnim; čuva format/duljinu; original može biti nepovratno promijenjen.
Tokenization = zamjena nasumičnim tokenom; original sigurno pohranjen zasebno i može biti vraćen; koristi se u PCI DSS (platni sustavi).
Što je Data Sovereignty?
Data Sovereignty = jurisdikcija koja sprječava/ograničava procesiranje i pohranu podataka na sustavima koji se fizički ne nalaze unutar te jurisdikcije. GDPR primjer: EU podaci moraju biti u EU/EEA; transfer izvan zahtijeva adekvatne zaštitne mehanizme.
Nabroji DLP remediation mehanizme.
1. Alert only — kopiranje dozvoljeno; incident logiran; admin upozoren
2. Block — kopiranje spriječeno; korisnik zadržava pristup
3. Quarantine — pristup originalnoj datoteci onemogućen
4. Tombstone — original quarantined; zamijenjen opisom povrede + uputama za oslobađanje
Razlika Data Controller vs. Data Processor?
Data Controller = određuje svrhu i način obrade; donosi odluke; direktno pravno odgovoran.
Data Processor = obrađuje U IME controllera; postupa po uputama; nema neovisne odlučivačke vlasti. Primjeri: cloud provajderi, payroll kompanije.
U kojim rokovima GDPR zahtijeva breach notification?
GDPR zahtijeva notifikaciju supervisornom tijelu (DPA) u roku od 72 sata od saznanja za kršenje. Pogođeni pojedinci moraju biti obaviješteni "bez nepotrebnog odlaganja" ako kršenje predstavlja visoki rizik za njihova prava i slobode.
Što je Right to Be Forgotten i kada može biti ograničeno?
GDPR pravo data subjecta zahtijevati brisanje osobnih podataka. Može biti ograničeno kada je obrada neophodna za: slobodu izražavanja, ispunjavanje zakonske obveze, ili uspostavu/obranu pravnih zahtjeva.
Što je Clean Desk Policy?
Clean Desk Policy = politika koja zahtijeva da radni prostor bude slobodan od dokumenata. Cilj je sprječavanje da neovlašteno osoblje ili gosti dođu do osjetljivih informacija ostavljenih na stolovima ili monitorima.
Koji su DLP komponenti i što svaki radi?
Policy server = konfigurira pravila, logira incidente, kompilira izvještaje.
Endpoint agents = provodi politiku na klientima, čak i offline.
Network agents = skenira komunikacije na mrežnim rubovima; integrira se s web i messaging serverima.
Klasifikacija podataka po razini — redoslijed i opis
Public = nema ograničenja pristupa.
Confidential = interni + NDA; može se deklasificirati.
Secret = ozbiljna šteta sigurnosti ako otkriveno; need-to-know.
Top Secret = izuzetno teška šteta; najstroži pristup.
Što je Data Breach vs. Privacy Breach?
Data Breach = podaci pročitani/modificirani/izbrisani bez autorizacije; uključuje korporativne podatke i IP.
Privacy Breach = specifično — gubitak ili otkrivanje osobnih i osjetljivih podataka (PII). Privacy breach je podskup data breach.
Nabroji 7 prava data subjecata prema GDPR-u.
1. Pravo pristupa
2. Pravo na ispravak (rectification)
3. Pravo na brisanje (Right to Be Forgotten)
4. Pravo ograničenja obrade
5. Pravo na prenosivost (portability)
6. Pravo prigovora
7. Pravo povlačenja suglasnosti
Što je Shadow IT i zašto je opasno?
Shadow IT = osobni softver ili servisi koji nisu odobreni za projekt. Opasnosti: vektor za data exfiltration, transport mehanizam za malware, licencijska kršenja, izlaganje organizacije sigurnosnim ranjivostima.
Što je Obfuscation i kako se razlikuje od Encryption?
Obfuscation = modificiranje koda/podataka kako ih je teško razumjeti/reverse-engineerovati bez narušavanja funkcionalnosti. Koristi se za zaštitu izvornog koda (IP).
Encryption = podatke čini potpuno nečitljivima bez ključa. Obfuscation ≠ sigurnost po sebi — iskusan napadač može dešifrirati obfuscirani kod.
Što je TEE u kontekstu Data in Use?
TEE (Trusted Execution Environment) = mehanizmi poput Intel Software Guard Extensions koji mogu enkriptirati podatke dok su u memoriji (RAM). Normalno, data in use je dešifriran za čitav work session — TEE to sprječava jer untrusted procesi ne mogu dekodirati podatke u memoriji.
Faze Security Awareness Training Lifecycle (6 faza)
1. Assessment → 2. Planning and Design → 3. Development → 4. Delivery and Implementation → 5. Evaluation and Feedback → 6. Ongoing Reinforcement → 7. Monitoring and Adaptation (→ natrag na Assessment)
Što je Sensitive data prema GDPR definiciji?
GDPR Sensitive personal data = podaci koji bi mogli naškoditi ili prejudicirati odluke o pojedincu ako bi postali javni. Uključuje: vjerska uvjerenja, politička mišljenja, sindikalno članstvo, spolna orijentacija, rasno/etničko podrijetlo, genetski podaci, zdravstvene informacije.
Razlika između Internal i External Compliance Reporting?
Internal = za interne stakeholdere (risk manageri, exec, security analysts); fokus na operativnim detaljima; podrška internom odlučivanju.
External = za vanjske stakeholdere (dioničari, kupci, regulatori); high-level sažeci; poštivanje regulatornih zahtjeva; transparentnost.
Što je BYOD prijetnja i koje kontrole je mitigiraju?
BYOD = Bring Your Own Device; smartphones, USB stickovi, media playeri olakšavaju kopiranje datoteka. Mitigacija: NAC (Network Access Control), endpoint management, DLP rješenja, kompanijskim politikama zabrana unosa uređaja.
Nabroji 4 organizacijske posljedice data breach.
1. Reputation damage — negativna publiciteta; gubitak povjerenja kupaca
2. Identity theft — data subject može tužiti za naknadu štete
3. Fines — fiksan iznos ili % prihoda (GDPR do 4% globalnog prihoda)
4. IP theft — gubitak patenata, poslovnih tajni → gubitak prihoda

Kviz — 40 pitanja

Mješavina tipova kao na pravom ispitu. Traži se najbolji odgovor, ne samo točan.

0 / 40
Riješi kviz da vidiš rezultat.

1Koji tip podataka je specificno zaštićen HIPAA regulativomjedan odgovor

HIPAA (Health Insurance Portability and Accountability Act) štiti zdravstvene podatke u SAD-u. PCI DSS štiti podatke kreditnih kartica.

2Human-readable data format primarna je meta kojih sigurnosnih kontrolajedan odgovor

Human-readable data (dokumenti, emailovi, web stranice) je primarna meta za DLP, content filtering, user awareness i web security. Non-human-readable format zahtijeva enkripciju, access controls i IDS/IPS.

3Klasifikacija "Top Secret" opisuje informacije koje bi — ako bi se otkrile — uzrokovale:jedan odgovor

Top Secret = izuzetno teška (exceptionally grave) šteta nacionalnoj sigurnosti. Secret = ozbiljna (serious) šteta. Confidential = informacije za internu upotrebu + NDA partnere.

4Što je Data Sovereigntyjedan odgovor

Data Sovereignty = jurisdikcija koja sprječava ili ograničava procesiranje i pohranu podataka na sustavima koji fizički nisu unutar te jurisdikcije. Primjer: GDPR zahtijeva da EU podaci ostanu u EU/EEA.

5Koji rok GDPR propisuje za notifikaciju supervisornog tijela o kršenju podatakajedan odgovor

GDPR zahtijeva notifikaciju supervisornom tijelu (DPA) u roku od 72 sata od saznanja za kršenje. HIPAA: 60 dana od otkrivanja.

6Razlika između Data Breach i Privacy Breach je:jedan odgovor

Data breach = informacije pročitane/modificirane/izbrisane bez autorizacije (uključujući korporativne podatke i IP). Privacy breach = specifično gubitak ili otkrivanje osobnih i osjetljivih podataka. Privacy breach je podskup data breach.

7Data Controller se razlikuje od Data Processora jer:jedan odgovor

Data Controller = određuje ZAŠTO i KAKO → neovisna odlučivačka vlast, direktno pravno odgovoran. Data Processor = obrađuje PO UPUTAMA Controllera, bez neovisnih odluka. Primjeri Processora: cloud provajderi, payroll kompanije.

8Pravo data subjecta na "portability" znači:jedan odgovor

Pravo na prenosivost (data portability) = data subject prima osobne podatke u uobičajenom, strojno čitljivom formatu koji mu omogućuje prenos informacija drugom pružatelju usluge prema vlastitoj želji.

9Right to Be Forgotten NIJE primjenjivo kada:jedan odgovor

Right to Be Forgotten može biti ograničeno kada je obrada neophodna za: slobodu izražavanja, ispunjavanje zakonske obveze ili uspostavu/vršenje/obranu pravnih zahtjeva. Kod pravnih sporova organizacija može zadržati podatke.

10Tokenization se razlikuje od maskinga jer:jedan odgovor

Tokenization = original pohranjen u sigurnom vaultu; token nema smislenu vrijednost; koristi se u PCI DSS (kartice). Masking = zamjena fiktivnim podacima koji čuvaju format/duljinu; koristi se za testne baze, forme; original može biti nepovratno izmijenjen.

11Koji DLP remediation mehanizam quarantinuje originalnu datoteku i zamjenjuje je opisom povredejedan odgovor

Tombstone = original quarantined i zamijenjen datotekom koja opisuje povredu politike i objašnjava kako korisnik može zatražiti oslobađanje. Quarantine samo blokira pristup bez zamjene datoteke.

12Što je "Sensitive" klasifikacija u kontekstu GDPR-ajedan odgovor

GDPR "Sensitive" = osobni podaci koji bi mogli naškoditi ili prejudicirati odluke o pojedincu. Uključuje: religiozna/politička uvjerenja, sindikalno članstvo, spolna orijentacija, rasno/etničko podrijetlo, genetski i zdravstveni podaci.

13Data at rest ima veći enkripcijski izazov od data in transit jer:jedan odgovor

Data at rest zahtijeva dugoročno čuvanje enkripcijskih ključeva što je složenije sigurnosno upravljati. Data in transit može koristiti efemerne (session) ključeve koji se automatski generiraju i brišu po završetku sesije.

14Intel Software Guard Extensions (SGX) je primjer kojeg koncepta zaštite podatakajedan odgovor

Intel SGX je primjer TEE (Trusted Execution Environment) koji enkriptira podatke dok su u memoriji (RAM). Normalno, data in use je dešifriran → izložen. SGX osigurava da untrusted procesi ne mogu čitati podatke u memoriji.

15Što je Shadow ITjedan odgovor

Shadow IT = lokalno instalirani softver ili hosted aplikacije (osobni email, IM) koje zaposlenici koriste bez sankcije. Rizici: data exfiltration, malware vektor, softverska licencijska kršenja, izloženost sigurnosnim ranjivostima.

16Clean Desk Policy štiti od koje prijetnjejedan odgovor

Clean Desk Policy zahtijeva da radna površina bude slobodna od osjetljivih dokumenata. Cilj je sprječavanje da neovlašteno osoblje ili gosti pročitaju/preuzmu osjetljive informacije ostavljene na stolovima, monitorima ili bilješkama.

17Koji DLP komponenti provodi politiku na klijentskim računalima čak i kada nisu na mrežijedan odgovor

Endpoint agents = DLP komponenta koja radi lokalno na klijentskim računalima i provodi politiku neovisno o mrežnoj konekciji. Network agents skeniraju mrežni promet na rubovima. Policy server je centralni konfiguracijski hub.

18Koji zakon je američki odgovor na GDPR i odnosi se na Californijske potrošačejedan odgovor

CCPA (California Consumer Privacy Act) je američki zakon koji je značajno promijenio sliku domaćeg zakonodavstva o privatnosti, slično GDPR-u koji ima jači federalni pristup. GDPR pruža šira prava i zaštite data subjectima od većine federalnih US zakona.

19Segmentation kao metoda zaštite podataka radi na koji načinjedan odgovor

Segmentation = dijeljenje na izolirane komponente koje ograničavaju pristup samo specificnim data segmentima. Primjer: EHR (elektronički zdravstveni zapisi) segmentirani po medicinskim stanjima, odjelima, razinama pristupa.

20Koja je razlika između Privacy data i Confidential datajedan odgovor

Privacy data = PII; fokus na individualnom identitetu i privatnosti; data subjects imaju prava; zahtijeva suglasnost. Confidential data = vlasničke informacije, IP, poslovne tajne; fokus na organizacijskoj kompetitivnosti; ne daje posebna prava data subjectima.

21GDPR je eksteritorijalnog karaktera, što znači:jedan odgovor

GDPR ima eksteritorijalalni efekt — primjenjuje se na sve organizacije (bez obzira na fizičku lokaciju) koje obrađuju osobne podatke EU rezidenata. Kompanija sa sjedištem u SAD-u koja prodaje EU kupcima mora poštivati GDPR.

22Microsoft Purview je primjer alata za:jedan odgovor

Microsoft Purview = alat za automatsko labeliranje dokumenata i watermarking prema sensitivity labelima (npr. "Company Confidential"). Labelirane datoteke su zaštićene svugdje — u cloudu ili na računalu.

23Simulated phishing kampanje kao trening imaju cilj:jedan odgovor

Simulated phishing kampanje su mehanizmi TRENINGA: podizanje svjesnosti, zaštita osjetljivih informacija, mitigacija social engineering rizika, promicanje IR. Cilj nije kažnjavanje već educiranje zaposlenika da prepoznaju i pravilno reagiraju.

24Anomalous Behavior Recognition detektira:jedan odgovor

Anomalous behavior recognition = detekcija devijacija od normalnog ponašanja. Tehnike: network intrusion detection, UEBA (User and Entity Behavior Analytics), log analiza, fraud detection. Pokriva: neobičan mrežni promet, anomalije korisničkih računa, insider threat, abnormalni sistemski eventi.

25"Unintentional behaviors" su rizična ponašanja koja:jedan odgovor

Unintentional behaviors = radnje bez zlonamjerne namjere ali s potencijalno štetnim posljedicama. Nastaju iz: humane greške, nedostatka treninga, nedostatka razumijevanja sigurnosnih best practices. Primjeri: slučajno kršenje podataka, nasjesti phishingu, pogrešno rukovanje povjerljivim dokumentima.

26AUP (Acceptable Use Policy) eksplicitno zabranjuje:jedan odgovor

AUP zabranjuje: upotrebu opreme za prijevaru, klevetu ili dobivanje ilegalnog materijala; instalaciju neovlaštenog hardvera ili softvera; pokušaje pristupa neovlaštenim povjerljivim podacima (snooping). AUP mora biti razumna i ne smije ometati temeljne radne zadatke.

27Data inventories su važne jer organizacijama omogućuju:jedan odgovor

Data inventories = sveobuhvatan pregled podataka, svrha, pravne osnove i primatelja. Omogućuju: transparentnost, data minimization, odgovaranje na zahtjeve data subjekata (pristup, brisanje), identifikaciju sigurnosnih zahtjeva za svaku kategoriju podataka.

28HIPAA zahtijeva notifikaciju medijima kada breach pogodi:jedan odgovor

HIPAA breach notification: pogođeni pojedinci + Secretary HHS uvijek. Ako je više od 500 pogođenih u pojedinoj jurisdikciji → notifikacija i prominentnih medija. Rok: 60 dana od otkrivanja (bez nepotrebnog odlaganja).

29Obfuscation se primarno koristi za:jedan odgovor

Obfuscation = modificiranje koda/podataka da ih je teško razumjeti ili reverse-engineerovati bez narušavanja funkcionalnosti. Primarno korištena u razvoju softvera za zaštitu izvornog koda (IP). Važno: obfuscation ≠ sigurnost po sebi — iskusan napadač može dešifrirati.

30External Compliance Reporting cilja koje stakeholderejedan odgovor

External compliance reporting = za vanjske stakeholdere (dioničari, kupci, regulatori, vendori, partneri); high-level sažeci compliance performansi; poštivanje regulatornih zahtjeva; transparentnost. Internal reporting = za interne stakeholdere s operativnim detaljima.

31Koja je primjena Hashing metode zaštite podatakajedan odgovor

Hashing = jednosmjerna funkcija koja pretvara podatke u niz fiksne duljine. Koristi se za: verifikaciju integriteta (datoteke, poruke), sigurno čuvanje lozinki (uz salting). Ne može se obrnuti — nije enkripcija.

32Security Awareness Training Lifecycle počinje s fazom:jedan odgovor

Security Awareness Training Lifecycle: Assessment → Planning and Design → Development → Delivery and Implementation → Evaluation and Feedback → Ongoing Reinforcement → Monitoring and Adaptation → (ponovo Assessment). Počinje procjenom trenutnog stanja znanja i ranjivosti.

33Code of Conduct važan je jer:jedan odgovor

Code of Conduct = pravila ponašanja; posebno važno za privilegirane korisnike (tehničari, manageri). Zabranjuje: zlouporabu privilegija, snooping na ostale zaposlenike, onemogućivanje sigurnosnih mehanizama. Komunikacije putem org. sustava se logiraju i nadziru.

34Contractual "Indemnification and Liability" u kontekstu noncompliance znači:jedan odgovor

Indemnification and Liability = neusklađena strana preuzima odgovornost za štete nastale sigurnosnim incidentom ili gubitkom podataka. Ugovori mogu sadržavati indemnification klauzule koje prebacuju odgovornost za gubitke na neusklađenu stranu.

35Koje su komponente DLP Policy serverajedan odgovor

Policy server = centralni DLP konfiguracijski hub koji: konfigurira klasifikacijska i povjerljivosna pravila, logira incidente i kompilira izvještaje. Endpoint agents provode politiku lokalno. Network agents skeniraju mrežni promet.

36Computer-Based Training (CBT) u sigurnosnoj obuci uključuje:jedan odgovor

CBT (Computer-Based Training) = praktične aktivnosti za usvajanje vještina. Uključuje: simulations (rekreacija sučelja), branching scenarios (odabir između opcija), gamification (badges, level-ups, loot), CTF natjecanja. Povećava engagement i retenciju znanja.

37Koji je primjer "Restricted" klasifikacije podatakajedan odgovor

Restricted = visoko povjerljive informacije koje zahtijevaju stroge kontrole i izuzetno ograničen pristup. Neovlašteni pristup bi uzrokovao značajnu štetu. Tipično: klasificirani vladini podaci, podaci o kritičnoj infrastrukturi, iznimno osjetljive poslovne informacije.

38Automation u compliance monitoringu poboljšava:jedan odgovor

Compliance management softver i automatizacija poboljšavaju: prikupljanje podataka, analizu i izvještavanje. Automation streamlinuje monitoring aktivnosti, poboljšava točnost i ubrzava sposobnost detekcije neusklađenosti ili anomalija u real-time.

39Trade secrets su zaštićeni primarno putem:jedan odgovor

Trade secrets = vrijedne povjerljive informacije zaštićene TAJNOŠĆU. Zaposlenici i partneri potpisuju NDAs. Komercijalna vrijednost izvodi se direktno iz tajnosti. Otkrivanje = ozbiljna pravna stvar; zakoni sprječavaju nepošteno tržišno natjecanje i misappropriation.

40Escalation kršenja podataka je obavezna jer:jedan odgovor

Bez obzira na to smatraju li tehničari incident minornim, svako kršenje osobnih podataka (i većina kršenja IP) trebalo bi biti eskalirano na senior decision-makere. Samo remediiranje bez pravilne notifikacije može dovesti kompaniju u pravnu opasnost jer su rokovi i obveze notifikacije propisani zakonom (GDPR: 72h, HIPAA: 60 dana).

Riješi kviz da vidiš rezultat.