Kibernetička sigurnost u firmi: 10 koraka koje mala tvrtka može uvesti odmah

Većina malih tvrtki nema osobu koja se bavi samo sigurnošću, a napadači koriste automatizirane alate koji ne biraju veličinu firme. Za osnovnu razinu, kibernetička sigurnost u firmi ne traži skupe sustave. Najveći dio rizika smanjuje deset koraka koje možete uvesti u nekoliko tjedana: dvofaktorska prijava, dobre lozinke, ažuriranja, sigurnosne kopije, ograničeni pristupi i obučeni zaposlenici. Tekst je za vlasnike i voditelje malih i srednjih tvrtki u BiH i Hrvatskoj koji nemaju vlastiti IT odjel.

Ukratko:

• Dvofaktorska prijava (MFA) daje najviše zaštite za najmanje novca.
• Ažurirajte redovito, jer su ranjivosti u softveru postale najčešći ulaz za napadače.
• Sigurnosna kopija vrijedi samo ako je odvojena od mreže i ako ste je probali vratiti.
• Zaposlenicima dajte jasna pravila za e-poštu i uplate.
• Plan za incident napišite prije nego što vam zatreba.

Što je kibernetička sigurnost u firmi?

Kibernetička sigurnost u firmi je skup tehničkih i organizacijskih mjera kojima tvrtka štiti korisničke račune, uređaje, podatke i web stranicu od neovlaštenog pristupa, krađe i gubitka. Obuhvaća postavke poput lozinki i ažuriranja, pravila o tome tko smije pristupiti čemu i znanje zaposlenika koji svaki dan otvaraju e-poštu i primaju račune.

U praksi se cyber sigurnost male firme svodi na tri pitanja. Može li netko ući u vaše račune? Možete li nastaviti raditi ako podaci nestanu? Znaju li ljudi u firmi prepoznati prevaru?

Zašto je i mala tvrtka meta napada

Prema izvještaju Verizon Data Breach Investigations Report 2026, koji obuhvaća incidente od studenog 2024. do listopada 2025., 31 % proboja počinje iskorištavanjem ranjivosti u softveru. Time su ranjivosti prestigle ukradene lozinke kao glavni ulaz. Ransomware, zlonamjerni program koji šifrira podatke i traži otkupninu, prisutan je u 48 % proboja. Isti izvještaj navodi da generativna umjetna inteligencija pomaže u 15 % tehnika napada i da prijetnje na mobitelima imaju 40 % veću stopu klikova od klasičnog phishinga e-poštom.

Za malu firmu to znači da napadač ne mora ciljati baš vas. Dovoljan je neažuriran dodatak na web stranici, lozinka koja je procurila s neke druge usluge ili zaposlenik koji klikne na uvjerljivu poruku.

10 koraka za cyber sigurnost u maloj firmi

Koraci su poredani tako da prvi daju najviše zaštite za najmanje truda.

Korak 1: Popišite račune, uređaje i podatke

Ne možete zaštititi ono za što ne znate. Napravite jednostavnu tablicu: e-pošta, bankarstvo, računovodstveni program, domena i hosting, društvene mreže, laptopi i mobiteli. Uz svaku stavku upišite tko joj ima pristup i tko je odgovoran. Taj popis treba vam za sve sljedeće korake.

Korak 2: Uključite dvofaktorsku prijavu

Dvofaktorska ili višefaktorska prijava (MFA) uz lozinku traži i kod iz aplikacije ili sigurnosni ključ. Microsoftova studija iz svibnja 2023., objavljena na arXivu, pokazala je da MFA smanjuje rizik preuzimanja računa za 99,22 %, a kod računa s već procurjelim lozinkama za 98,56 %. Aplikacije za autentifikaciju pokazale su se boljima od SMS kodova. Počnite s e-poštom, bankom, domenom i administracijom web stranice.

Korak 3: Koristite duge, jedinstvene lozinke

Američka agencija CISA u #StopRansomware vodiču iz rujna 2023. preporučuje jedinstvene lozinke od najmanje 15 znakova. Nitko ne pamti trideset takvih lozinki, pa zaposlenicima osigurajte upravitelj lozinki. Zajedničku lozinku za cijeli ured ukinite prvu.

Korak 4: Ažurirajte sve, a internetske sustave prve

Uključite automatska ažuriranja na računalima i mobitelima. Prioritet su sustavi dostupni s interneta: web stranica, CMS i njegovi dodaci, VPN, usmjerivač i udaljeni pristup. Uređaj ili program koji više ne dobiva sigurnosne zakrpe treba zamijeniti.

Korak 5: Radite sigurnosne kopije odvojene od mreže

CISA preporučuje offline, šifrirane sigurnosne kopije važnih podataka i redovito testiranje vraćanja, jer mnoge vrste ransomwarea traže dostupne kopije pa ih brišu ili šifriraju. Kopija na disku koji je stalno spojen na isto računalo neće vas spasiti.

Korak 6: Dajte svakome samo pristup koji mu treba

Administratorski račun koristite samo za administraciju, a za svakodnevni rad običan račun. Kad zaposlenik ode, isti dan ukinite njegove pristupe. Isto vrijedi za vanjske suradnike i alate. Ako uvodite AI agente u poslovanje, dajte im pristup samo podacima koje stvarno koriste.

Korak 7: Zaštitite e-poštu i naučite ljude prepoznati prevaru

Na domeni postavite SPF, DKIM i DMARC zapise, kako bi bilo teže slati lažnu poštu u vaše ime. Zaposlenicima objasnite znakove phishinga: hitnost, neočekivani privitak, promjena broja računa i poveznica koja vodi na nepoznatu adresu.

Svaku promjenu broja računa dobavljača potvrdite telefonom, na broj koji već imate u evidenciji, nikad na broj iz iste poruke.

Korak 8: Zaključajte i šifrirajte mobitele i laptope

Uključite zaključavanje zaslona, šifriranje diska i brisanje izgubljenog uređaja na daljinu. S obzirom na 40 % veću stopu klikova na mobitelima, pravila o poveznicama vrijede i za SMS i poruke u aplikacijama.

Korak 9: Čuvajte web stranicu i web shop

Web stranica je javno izložen sustav. Održavajte HTTPS, ažurirajte platformu i dodatke, uklonite nekorištene administratorske račune i radite kopije baze. U Google Search Consoleu pratite izvještaj o sigurnosnim problemima. Ako prodajete online, pri izboru rješenja pitajte i tko će održavati sigurnost. O tome pišemo i na stranici izrada web shopa.

Korak 10: Napišite plan za incident

Plan stane na jednu stranicu: koga zvati, kako odspojiti zaraženo računalo s mreže, gdje su kopije te tko obavještava klijente i banku. Tvrtke u Hrvatskoj koje spadaju među ključne ili važne subjekte imaju i zakonske obveze. Prema članku 29. Zakona o kibernetičkoj sigurnosti (NN 14/2024), članovi uprave odobravaju mjere upravljanja rizicima, nadziru njihovu provedbu i moraju proći odgovarajuću obuku.

Česte greške u zaštiti male firme

• Oslanjanje samo na antivirus. Antivirus ne štiti od ukradene lozinke ni od lažne uplatnice.
• Jedan račun za sve. Uz zajednički račun ne znate tko je što napravio i ne možete pojedincu ukinuti pristup.
• Kopija koju nitko nije vratio. Sigurnosnu kopiju provjerite tako da iz nje vratite barem jednu datoteku.
• Stari dodaci na web stranici. Dodatak koji ne koristite isključite i obrišite.

Popis za provjeru kibernetičke zaštite

• MFA uključen na e-pošti, banci, domeni i webu
• Upravitelj lozinki u upotrebi, bez zajedničkih lozinki
• Automatska ažuriranja uključena na svim uređajima
• Offline kopija postoji, a vraćanje je testirano ovog kvartala
• Bivšim zaposlenicima ukinuti svi pristupi
• SPF, DKIM i DMARC postavljeni na domeni
• Plan za incident ispisan i poznat ključnim ljudima

Zaključak

Kibernetička sigurnost u firmi počinje s nekoliko odluka: uključiti dvofaktorsku prijavu, redovito ažurirati, imati provjerenu kopiju i postaviti jasna pravila za zaposlenike. Ako ovaj mjesec uvedete prvih pet koraka, zatvorili ste najčešće ulaze za napadače. Za web stranice i aplikacije nudimo hosting i održavanje sa sigurnosnim ažuriranjima, sigurnosnim kopijama i nadzorom dostupnosti. Ako želite provjeriti stanje svoje stranice ili aplikacije, pošaljite nam upit.

Česta pitanja