Bezbednost podataka za male firme: 12 koraka koji vas štite od katastrofe

Zašto su male firme omiljene mete hakera

Postoji opasan mit da hakeri napadaju samo velike korporacije. Istina je suprotna: 43% svih sajber napada cilja male i srednje firme. Razlog? Velike firme imaju IT odeljenja, firewall-ove i bezbednosne politike. Male firme obično nemaju ništa od toga.

Za hakera, mala firma je laka meta sa dovoljno vrednim podacima — klijentski podaci, finansijske informacije, pristup bankarskim računima. A prosečna šteta od jednog uspešnog napada na malu firmu iznosi 120.000-200.000€ — dovoljno da mnoge zatvori.

„Mislili smo da smo premali da bi nas neko napao. Onda nam je ransomware zaključao sve fajlove. Nisu nas ciljali — mi smo bili collateral damage automatizovanog napada. Nismo imali backup. Izgubili smo 3 godine podataka."

— Vlasnik, projektantska firma, Beograd

Top 5 pretnji za male firme u 2026.

12 koraka za zaštitu vaše firme

1. Dvofaktorska autentifikacija (2FA) — svuda

Uključite 2FA na svim servisima: email, cloud storage, banka, CRM, social media. To je jedan korak koji sprečava 99% napada na naloge. Koristite Google Authenticator ili Authy, ne SMS.

2. Menadžer lozinki za celu firmu

Bitwarden (besplatan) ili 1Password (3€/mesec po korisniku). Svaka lozinka jedinstvena i duga 16+ karaktera. Nikada ista lozinka za dva servisa.

3. Automatski backup po pravilu 3-2-1

3 kopije podataka, na 2 različita medija, od čega 1 offsite (cloud). Dnevni backup, nedeljno testiranje restore-a.

4. Ažuriranje softvera — odmah

Windows update, browser update, antivirus update — čim izađe. 60% napada eksploatiše poznate ranjivosti za koje postoji zakrpa ali nije instalirana.

5. Obuka zaposlenih (30 min mesečno)

Kako prepoznati phishing email, šta ne klikati, kome prijaviti sumnjiv sadržaj. Ovo je najvažnija investicija jer 95% napada počinje od ljudske greške.

6. Segmentacija pristupa

Ne treba svako da ima pristup svemu. Računovodstvo ne treba pristup CRM-u, prodaja ne treba pristup finansijama. Princip „least privilege".

7. Firewall i antivirus na svim uređajima

Windows Defender je dovoljan za osnovnu zaštitu. Za firme: Bitdefender GravityZone ili ESET — 3-5€ po uređaju mesečno.

8. VPN za remote rad

Ako zaposleni rade od kuće ili koriste javni WiFi, VPN je obavezan. WireGuard ili OpenVPN — jednostavno za setup, besplatno.

9. Enkripcija laptopova

BitLocker (Windows) ili FileVault (Mac) — besplatno, ugrađeno u OS. Ako neko ukrade laptop, podaci su nečitljivi bez lozinke.

10. Email filtriranje

Koristite email provajdera sa spam/phishing filterom. Google Workspace ili Microsoft 365 imaju solidne ugrađene filtere.

11. Politika korišćenja uređaja

Definišite pravila: koji uređaji smeju da pristupe firmnim podacima, šta se dešava kada zaposleni ode, kako se postupa sa izgubljenim telefonom.

12. Plan odgovora na incident

Napišite jednostavan dokument: Šta raditi ako se desi napad? Koga zvati? Kako izolirati problem? Kako restore-ovati iz backup-a?

Lozinke i pristup: Osnova svega

Backup strategija: Pravilo 3-2-1

• 3 kopije podataka (original + 2 backup-a)
• 2 različita medija (lokalni disk + cloud)
• 1 kopija offsite (cloud ili druga lokacija)

Za malu firmu: dnevni automatski backup na eksterni disk + nedeljni backup u cloud (Backblaze B2 — 6$/mesec za neograničeno). Jednom mesečno testirajte restore.

Email bezbednost: Najveći vektor napada

91% napada počinje email-om. Evo na šta da obratite pažnju:

• Proveravajte sender adresu, ne samo ime pošiljaoca
• Nikad ne klikajte na linkove u neočekivanim emailovima
• Nikad ne otvarajte attachmente od nepoznatih pošiljalaca
• Ako email traži hitnu akciju („Vaš nalog će biti zaključan!") — 99% je phishing
• Ako direktor „šalje email" sa zahtevom za hitni transfer — pozovite ga telefonom da potvrdite

ZZPL (srpski GDPR): Obaveze malih firmi

Zakon o zaštiti podataka o ličnosti (ZZPL) važi za SVE firme koje obrađuju lične podatke — a to je praktično svaka firma sa bazom klijenata. Evo minimuma:

• Politika privatnosti na sajtu — šta prikupljate, zašto, koliko čuvate
• Saglasnost za marketing komunikaciju — opt-in, ne opt-out
• Pravo na brisanje — klijent može da zatraži brisanje svojih podataka
• Evidencija obrade — dokumentujte koje podatke obrađujete i zašto
• Prijava incidenta — u slučaju curenja podataka, obaveza prijave Povereniku u roku od 72 sata

Plan odgovora na incident

Svaka firma treba da ima jednostavan dokument (1-2 strane) koji odgovara na:

1. Ko je odgovoran? — Ime i kontakt osobe koja koordinira odgovor
2. Kako izolirati? — Isključiti zaraženi računar sa mreže, promeniti lozinke
3. Koga obavestiti? — IT podršku, menadžment, po potrebi klijente i Poverenika
4. Kako restore-ovati? — Korak-po-korak procedura za vraćanje iz backup-a
5. Kako sprečiti ponavljanje? — Post-incident analiza i poboljšanja

Checklist: 30-minutna bezbednosna revizija

Prođite kroz ovu listu danas — trebate samo 30 minuta:

Zaključak: Bezbednost je proces, ne projekat

Ne morate da budete security ekspert da biste zaštitili svoju firmu. Morate samo da uradite osnove — i to danas, ne sutra.

• Danas: Uključite 2FA na svim email nalozima (15 minuta)
• Ove nedelje: Instalirajte password manager i backup (1 sat)
• Ovog meseca: Obuka zaposlenih o phishing-u (30 minuta)
• Ongoing: Mesečna provera backup-a, kvartalna obuka tima

Zapamtite: pitanje nije DA LI ćete biti napadnuti, već KADA. Razlika između katastrofe i sitne neprijatnosti je u pripremi.