Upravljanje i usklađenost kao deo dobrog poslovanja

HEROSA je specijalizovana konsultantska kompanija koja povezuje sajber bezbednost, upravljanje rizicima, međunarodne standarde, regulatornu usklađenost, privatnost, tehnički aspekt bezbednosti i upravljanje veštačkom inteligencijom.

Radimo u četiri oblasti: bezbednost i spremnost za nezavisnu proveru, regulatorna usklađenost, upravljanje veštačkom inteligencijom, kao i virtuelne rukovodeće uloge i upravljanje. Ne nudimo ih kao zatvorene pakete, već ih kombinujemo prema cilju, rizicima i trenutnom stanju organizacije.

Ne prodajemo pojedinačne standarde, dokumentaciju ili tehničke testove. Polazimo od cilja organizacije, prepoznajemo gde se zahtevi preklapaju i povezujemo upravljačke, regulatorne i tehničke elemente u sistem koji funkcioniše u praksi.

Mali smo i pažljivo odabran tim, pa radite direktno sa iskusnim stručnjacima. Jasno kažemo i šta ne radimo sami: pravnu i specijalističku tehničku ekspertizu uključujemo preko proverenih saradnika i partnera, a sertifikat izdaje nezavisno telo.

Ne. Podržavamo i manje kompanije i startape koji žele da osnove bezbednosti i usklađenosti postave na vreme, pre nego što ih na to natera zahtev kupca ili propis.

Za manji tim to je često još važnije: jedan zahtev velikog kupca može da odluči o poslu, a za punu internu funkciju obično nema resursa. Obim i ritam rada zato određujemo prema veličini, složenosti i fazi razvoja organizacije.

Ne vezujemo se za jednu delatnost i radimo sa organizacijama iz finansija, zdravstva, telekomunikacija i tehnologije, kao i iz drugih sektora. Polazimo od zahteva koje organizacija mora da ispuni: šta traže kupci i partneri, koji propisi se primenjuju i kakve podatke i sisteme koristi.

Tokom godina podržavali smo kompanije i startape u pripremi za ISO/IEC 27001 sertifikaciju, usklađivanju sa zahtevima zaštite podataka i razvoju sistema upravljanja informacionom bezbednošću i privatnošću.

Počinjemo razgovorom o cilju, rizicima i zahtevima sa kojima se suočavate. Zatim procenjujemo trenutno stanje, utvrđujemo šta je relevantno i pravimo plan sa jasnim redosledom aktivnosti.

Posle toga vodimo primenu: procese, kontrole, evidencije i dokumentaciju koja odgovara stvarnom načinu rada. Angažman može biti projekat sa jasnim ciljem, na primer priprema za sertifikaciju, ili dugoročna saradnja sa mesečnim ciljevima, usmerena na održavanje i unapređenje sistema.

Da. Kroz virtuelne rukovodeće uloge organizacija dobija iskusnog rukovodioca za informacionu bezbednost (vCISO), zaštitu podataka o ličnosti (vDPO) ili veštačku inteligenciju (vCAIO), bez izgradnje pune interne funkcije.

Takva uloga postavlja prioritete, prati rizike i izveštava upravu. Zavisno od uloge, uključuje i odgovore na upitnike kupaca, zahteve lica na koja se podaci odnose i komunikaciju sa nadzornim organom. Obim i ritam rada određuju se prema potrebama organizacije.

Ne. Sertifikat izdaje nezavisno sertifikaciono telo, a izveštaj kao što je SOC 2 nezavisno revizorsko telo. HEROSA vodi organizaciju do spremnosti za nezavisnu ocenu i pruža podršku tokom sertifikacionog procesa.

Ta podela je namerna: provera je nezavisna samo ako je ne sprovodi onaj ko je pomogao da se sistem uspostavi.

Vodimo organizaciju kroz ceo put: procenu trenutnog stanja, plan implementacije, primenu i pripremu dokaza, internu proveru i spremnost za nezavisnu ocenu. Dokumentaciju pravimo prema stvarnom načinu rada, a ne prema unapred pripremljenim šablonima.

Na isti način radimo sa standardima ISO/IEC 27701, ISO 22301 i ISO/IEC 42001, kao i sa SOC 2. Posle završetka projekta možemo da pomognemo i u održavanju sistema.

Povezujemo dve perspektive. Uz odgovarajuću pravnu ekspertizu utvrđujemo koji se zahtevi primenjuju na vašu organizaciju i kako treba tumačiti obaveze. Zatim ih prevodimo u odgovornosti, procese, tehničke i organizacione mere i evidencije.

To može uključiti procenu postojećeg stanja, mapiranje obaveza, procenu uticaja na zaštitu podataka o ličnosti (DPIA), privacy by design, upravljanje dobavljačima i podršku vDPO funkciji. Isti pristup primenjujemo i na relevantne nacionalne zahteve informacione bezbednosti.

Ova dva zahteva nisu iste prirode. GDPR je propis: ako poslujete u Evropskoj uniji ili nudite proizvode i usluge licima u njoj, usklađenost je obaveza, a u Srbiji sličnu obavezu uvodi Zakon o zaštiti podataka o ličnosti. ISO/IEC 27001 je dobrovoljan standard, ali ga kupci i partneri često traže kao dokaz da ozbiljno upravljate informacionom bezbednošću.

U oba slučaja korist je ista: jasnije odgovornosti, manji rizik od skupih incidenata i spreman odgovor kada kupac pita kako štitite podatke.

Rizici su i finansijski i poslovni:

• kazne: za najteže povrede GDPR-a do 20 miliona evra ili 4% ukupnog godišnjeg prometa na svetskom nivou, zavisno od toga koji je iznos veći;
• gubitak poverenja klijenata, investitora i partnera;
• zastoj u radu posle bezbednosnog incidenta ili curenja podataka;
• izgubljeni poslovi, jer sve više kupaca traži dokaz o bezbednosti i privatnosti pre potpisivanja ugovora.

U B2B poslovanju usklađenost je često uslov za saradnju, čak i kada je propis ne zahteva direktno. Veće kompanije i regulisane organizacije proveravaju dobavljače kroz upitnike, ugovore o obradi podataka i zahtev za sertifikatom ili izveštajem kao što je SOC 2.

NIS2 i DORA obavezuju organizacije na koje se primenjuju da upravljaju rizicima svojih dobavljača, pa se njihovi zahtevi prenose i na vas. Bez usklađenosti možete ostati izvan tendera ili izgubiti ugovor, a sa njom lakše prolazite proveru kupca.

Upravljanje veštačkom inteligencijom znači da organizacija zna gde koristi AI i zašto, ko donosi odluke, koje podatke sistemi obrađuju i kako se rizici prate tokom čitavog životnog ciklusa.

Pomažemo da se uspostave pregled AI sistema, vlasništvo i pravila odobravanja, procena rizika, politike i kontrole i nadzor dobavljača. Pri tome povezujemo ISO/IEC 42001, Akt EU o veštačkoj inteligenciji, zaštitu podataka i sajber bezbednost. Akt je na snazi od avgusta 2024, a njegove obaveze se primenjuju postepeno.

AI donosi poslovne mogućnosti, ali i nove rizike: pravne, bezbednosne i etičke, rizike po privatnost i kvalitet podataka i rizik po ugled. Ako se njima ne upravlja od početka, organizacija često za njih sazna tek kroz pitanje kupca, zahtev regulatora ili incident.

Kada je upravljanje postavljeno na vreme, nove AI alate i proizvode uvodite uz jasna pravila, a kupcima i partnerima možete da pokažete kako se sistemi koriste i nadziru.