Kakšna je razlika med informacijsko in kibernetsko varnostjo in odpornostjo?

V sodobnem poslovnem in tehnološkem okolju so izrazi informacijska in kibernetska varnost in odpornost pogosto uporabljeni kot sopomenke. Vendar, čeprav so tesno povezani, se med seboj pomembno razlikujejo, tako po področju, ki ga pokrivajo, kot po ciljih, ki jih zasledujejo.

Direktiva NIS2 in pripadajoči ZInfV-1 se na primer osredotočata na informacijsko varnost omrežij in informacijskih sistemov, medtem ko uredba DORA uporablja pojem operativne odpornosti v finančnem sektorju, regulativa o kritični infrastrukturi (direktiva CER) pa govori o odpornosti kritičnih subjektov v širšem smislu.

Kaj posamezni izrazi dejansko pomenijo?

Informacijska varnost

V kontekstu informacijske tehnologije pomeni zaščito informacijskih sredstev, od programske opreme in podatkov, do zunanjih izvajalcev IT storitev, vključno z notranjimi grožnjami in ranljivostmi.

Kibernetska varnost

Je del informacijske varnosti, osredotočen na zunanje grožnje iz digitalnega sveta. Njena naloga je preprečevanje, zaznavanje in odzivanje na napade, kot so phishing, ransomware, DDoS, vdori v omrežja in podobno.

Informacijska in kibernetska odpornost

Odpornost pomeni, da organizacija kljub motnjam in incidentom nadaljuje s ključnimi procesi in se hitro vrne v normalno stanje, kar vključuje:

• pripravljenost (načrte neprekinjenega poslovanja),
• odziv (hitro in usklajeno ukrepanje) ter
• okrevanje (obnovo sistemov, podatkov in procesov).

Zakaj so razlike pomembne?

Ker samo kombinacija vseh treh pristopov zagotavlja celovito rešitev:

• informacijska varnost postavi temelje,
• kibernetska varnost ščiti pred napadi,
• odpornost omogoča, da organizacija deluje tudi v kriznih razmerah.

Pogoste zamenjave izrazov

Podobnih primerov, ko izraze uporabljamo kot sopomenke, čeprav se razlikujejo, je še več, kot na primer:

• upravljanje in obvladovanje tveganj,
• analiza in ocena tveganj,
• apetit in toleranca tveganj,
• škoda in izguba, ter podobno.

Razumevanje njihovih razlik ni samo teoretično vprašanje terminologije, temveč ima neposreden vpliv na razumevanje predpisov in standardov ter načrtovanje, uvajanje in učinkovitost varnostnih ukrepov.

Prav tako je za komunikacijo med zaposlenimi, partnerji in nadzornimi organi pomembno, da strokovne izraze razumemo enako, sicer lahko prihaja do nesporazumov z resnimi posledicami.

Razlago več kot sto takšnih izrazov, vključno s pogostimi zamenjavami, pa lahko najdete v priročniku o upravljanju informacijskih tveganj.