Sigurnost podataka u digitalnom računovodstvu: Najbolje prakse

U digitalnom računovodstvu podaci nisu samo brojevi. To su tragovi koji dokazuju da ste platili, primili, isporučili, obračunali, ispravili, prijavili i potpisali. To je povijest vašeg posla — i budućnost vaših odluka. Sigurnost podataka u digitalnom računovodstvu, u svom najjednostavnijem obliku, znači tri stvari:

• Povjerljivost: vidi ih samo onaj tko mora.
• Cjelovitost: ne mijenjaju se bez traga i razloga.
• Dostupnost: dostupni su kad ih trebate — ne “kad se sustav smiluje”.

Kad ljudi kažu “meni se to neće dogoditi”, obično misle na filmsku sliku hakera. A stvarnost je tiša: jedna poruka koja izgleda kao dostava, jedna lozinka koja je ista deset godina, jedan laptop bez zaključavanja, jedan bivši suradnik kojem je ostao pristup, jedan “dobavljač” koji je zapravo tuđa adresa.

Zato je sigurnost podataka u digitalnom računovodstvu — prije svega — disciplina. Ne paranoja. Disciplina. Kao zaključavanje poslovnog prostora: ne zato što očekujete provalu svaki dan, nego zato što je rizik veći od cijene ključa.

Ako želite razumjeti sigurnost podataka u digitalnom računovodstvu, nemojte krenuti od “napada”. Krenite od navike. Napad često samo iskoristi ono što je već bilo otvoreno.

1) E-pošta kao ulazna vrata

Računi, ponude, opomene, “dostave”, “linkovi na dokumente”, “promjena IBAN-a”. Računovodstvo prirodno živi u privitcima. Zato je e-pošta najčešći hodnik kojim netko pokušava ući.

2) Lozinke koje su previše ljudske

Ista lozinka za više sustava, lozinka koja je riječ, lozinka koja je godina rođenja. Kad padne jedna, pada više vrata odjednom.

3) Pristupi koji ostaju nakon odlaska

Zaboravljeni korisnički računi, dijeljeni logini, “privremeni pristup” koji je postao trajni. Digitalno računovodstvo ne prašta komociju: pristup je stvaran i kad ga vi zaboravite.

4) Uređaji bez kontrole

Privatni mobitel na kojem su poslovni mailovi. Laptop bez šifre. USB stick koji kruži. Sigurnost podataka u digitalnom računovodstvu počinje na tipkovnici, a ne u server sobi.

5) Dobavljači i “tuđi oblaci”

Dovoljno je da jedan vanjski partner bude slab, pa da se problem prelije na vas. Digitalno računovodstvo je lanac: slabost je uvijek najslabija karika, ne najsnažniji softver.

Najbolje prakse ne nastaju kad je mirno, nego kad je već netko jednom ostao bez pristupa podacima, bez mogućnosti isplate plaća ili bez dokazive povijesti promjena. Slijedi kostur koji vrijedi za svaki ozbiljan pristup: sigurnost podataka u digitalnom računovodstvu kao sustav, ne kao “još jedna obveza”.

Sigurnost podataka u digitalnom računovodstvu ne puca obično “velikom eksplozijom”. Puca tiho, kao šav na jakni: prvo ne primijetite, a onda vas na hladnoći iznenadi. Ovo su tri realna scenarija, bez imena i bez dramatiziranja, samo s posljedicama koje se pamte.

Scenarij A: “Pošaljite nam ponovo račun, privitak ne radi”

Jedan mali obrt dobije mail koji izgleda kao normalna poslovna komunikacija. Privitak je “račun”. Klik. Ništa se ne dogodi — barem ne vidljivo. Dva dana kasnije, pristup dokumentima je spor, program “šteka”, a onda nestane pristup. Šteta nije samo u podacima, nego u vremenu: plaće stoje, računi stoje, dobavljači zovu.

• Najčešći uzrok: privitak, makro, lažna stranica za prijavu.
• Najbolja obrana: pravila za privitke + drugi faktor + kopije koje se mogu vratiti.

Scenarij B: “Novi IBAN, molimo uplatu na novi račun”

Tvrtka dobije “obavijest” o promjeni računa dobavljača. Ton je uvjerljiv, potpis poznat. Uplata ode. Sutradan stiže opomena: ništa nije plaćeno. Najgore nije samo iznos: najgore je što se otkrije da u firmi ne postoji pravilo provjere.

• Najčešći uzrok: kompromitiran mail dobavljača ili lažno predstavljanje.
• Najbolja obrana: procedura potvrde promjene (drugi kanal) + evidencija odobrenja.

Scenarij C: “Bivši suradnik još uvijek ima pristup”

U žurbi se nitko ne sjeti ugasiti korisnički račun. Pristup ostane. Ne mora se dogoditi zloćudna namjera: dovoljno je da račun bude kompromitiran. A kad revizija ili spor zatraže trag tko je vidio ili mijenjao podatke, nastane tišina.

• Najčešći uzrok: nepostojanje liste pristupa i procesa “odlaska”.
• Najbolja obrana: popis korisnika + pravilo ukidanja pristupa istog dana.

Sve tri priče imaju zajedničku nit: sigurnost podataka u digitalnom računovodstvu ne ovisi o “jednom super rješenju”, nego o tome imate li jasna pravila kad je mirno.

Digitalno računovodstvo zvuči jednako za sve, ali sigurnost podataka u digitalnom računovodstvu ima različite “najbolnije točke” ovisno o tome kako zarađujete, kako naplaćujete i koliko je osjetljiv vaš kadrovski dio.

Ako želite brz pregled gdje stojite, prođite ovo kao da provjeravate brave prije puta. Ne trebate savršenstvo u jednom danu; trebate smjer i redoslijed. Sigurnost podataka u digitalnom računovodstvu jača se u etapama.

1. Popis pristupa

   Znate li točno tko ima pristup knjigovodstvenim podacima, izvještajima i dokumentima? Imate li popis?

2. Drugi faktor

   Je li uključen drugi faktor na e-pošti i ključnim sustavima (računovodstvo, bankarstvo, cloud pohrana)?

3. Individualni računi

   Postoje li dijeljeni logini? Ako da — to je prva stavka za ukloniti.

4. Pravila uplata i promjena IBAN-a

   Imate li postupak provjere promjena dobavljačkih podataka izvan e-pošte?

5. Sigurnosne kopije

   Imate li kopije i jeste li ih ikad vratili “na suho” da provjerite rade li?

6. Zaključavanje uređaja

   Jesu li laptopi i mobiteli zaštićeni šifrom i automatskim zaključavanjem?

7. Ažuriranja

   Odgađate li ažuriranja? Ako da — odgađate zatvaranje poznatih rupa.

8. Dijeljenje dokumenata

   Dijelite li osjetljive dokumente kroz kontrolirane kanale ili kroz privitke koji ostaju zauvijek u tuđim inboxima?

9. Trag aktivnosti

   Možete li sutra dokazati tko je napravio promjenu u dokumentu ili izvještaju?

10. Plan incidenta

    Ako danas izgubite pristup, znate li prvi korak i imate li kontakte dobavljača pri ruci?