Umetna inteligenca odpira povsem nove možnosti kibernetskih napadov, podjetja pa se še vedno soočajo tudi z dobro znanimi varnostnimi tveganji. Kako pripravljeni smo na prihodnost in kaj lahko naredimo že danes? Kibernetska varnost ni več samo vprašanje tehnologije. Je tudi vprašanje odgovornosti, sodelovanja, zaposlenih in znanja. Na letošnji konferenci Kibernetski cunami 2026 – Kibernetska varnost skozi oči uporabnikov, ki je potekala na Gospodarski zbornici Slovenije, so zato v ospredje postavili konkretne izkušnje, izzive in vprašanje, kaj podjetja dejansko počnejo za svojo varnost. »Slovensko gospodarstvo potrebuje hitrejšo digitalno preobrazbo in učinkovito uporabo umetne inteligence, ob tem pa moramo enako pozornost nameniti kibernetski varnosti podjetij. Zato je pomembno, da podjetja ob uvajanju novih rešitev načrtno razvijajo znanja zaposlenih ter varnost vključujejo v poslovne odločitve in razvoj novih storitev. V Sloveniji imamo strokovnjake in dobre prakse, s tesnejšim sodelovanjem med ponudniki IKT in podjetji iz drugih panog pa lahko to znanje bolje uporabimo za varen digitalni razvoj in večjo konkurenčnost gospodarstva,« je dejal mag. Nenad Šutanovac, direktor Združenja za informatiko in telekomunikacije pri Gospodarski zbornici Slovenije.
Kaj se zgodi, ko kibernetski napadalec ne potrebuje več cele ekipe strokovnjakov, ampak lahko velik del dela prepusti umetni inteligenci? Ko sistemi sami iščejo ranljivosti, prilagajajo napade in sprejemajo naslednje korake? To ni več zgolj znanstvena fantastika. Razvoj umetne inteligence odpira povsem nova vprašanja o tem, kako bomo v prihodnje zagotavljali kibernetsko varnost. Na te spremembe in njihove možne posledice je opozoril Marko Grobelnik z Instituta Jožef Stefan. Toda ob razmišljanju o prihodnosti ne smemo spregledati tega, kar se dogaja že danes. »Kdo pa bi napadel naše podjetje? Saj nismo nikomur zanimivi.« Takšno razmišljanje je lahko zelo drago. Resnični primeri kibernetskih napadov v Sloveniji, ki jih je predstavil Dalibor Vukovič iz Telekoma Slovenije, kažejo, kako hitro lahko pomanjkljivi varnostni ukrepi, neustrezni dostopi ali nepripravljena organizacija povzročijo resne posledice. Velikost podjetja sama po sebi ni zaščita pred napadom.
Napad se lahko začne tudi zunaj podjetja, pri njegovem IT-izvajalcu. V enem od predstavljenih primerov je kompromitirana mobilna naprava zaposlenega pri izvajalcu omogočila krajo prijavnih podatkov in dostop do naročnikovega okolja. Dogajanje je pokazalo pomen večfaktorskega preverjanja pristnosti, nadzora zunanjih dostopov in preverjanja varnostnih kopij. Obnova sistemov pa še ni pomenila konca incidenta, saj so ukradeni podatki ostali sredstvo za nadaljnje izsiljevanje. Umetna inteligenca pa ni samo orodje napadalcev. Podjetja jo vse bolj vključujejo v vsakodnevno delo, pogosto hitreje, kot uspejo urediti pravila in nadzor nad njeno uporabo. Ali sploh vemo, katere podatke zaposleni delijo z UI, kdo ima dostop do njih in kdo odgovarja za njene odločitve? Ta vprašanja je odprl Klemen Rizman iz podjetja CreaPlus.
Predstavljene izkušnje so pokazale, da pravilnik in dostop do odobrenih orodij še ne zagotavljata, da zaposleni uporabljajo samo ta. Pri delu lahko posegajo tudi po drugih, javno dostopnih rešitvah ter vanje vnašajo poslovne podatke ali programsko kodo. Varna uporaba UI zato zahteva jasna pravila, ustrezna orodja za zaposlene in nadzor nad podatki, vključno z upravljanjem dostopov in sledljivostjo uporabe. »Ob kibernetskem napadu šteje predvsem, kako dobro smo nanj pripravljeni: ali varnostni ukrepi delujejo tudi v praksi, ali lahko obnovimo podatke iz varnostnih kopij in ali ekipa ve, kako ukrepati. Pri obravnavi napadov vidimo, da lahko prav te stvari odločajo o tem, kako hitro podjetje znova vzpostavi poslovanje. Resnične zgodbe iz Slovenije so zato dragocen opomnik, da je treba pripravljenost preveriti, še preden jo preizkusijo napadalci,« je poudaril Dalibor Vukovič, vodja kibernetskih varnostnih rešitev pri Telekomu Slovenije.
Podjetja se ne soočajo samo z vprašanjem, kako napade preprečiti, ampak tudi, kako se nanje odzvati, omejiti škodo in čim prej obnoviti delovanje. Ob tem morajo izpolnjevati še vse zahtevnejše obveznosti poročanja.
Na razliko med zapisanimi postopki in dejansko pripravljenostjo je v uvodnem nagovoru opozorila tudi Melita Šinkovec z Urada Republike Slovenije za informacijsko varnost. Načrt na papirju ob incidentu ne pomaga, če ga zaposleni ne poznajo in ga organizacija ni preizkusila. Pomembni so jasne odgovornosti, razumljivi postopki in vaje, s katerimi podjetje preveri, ali zna omejiti posledice napada in obnoviti ključne dejavnosti. Nove evropske zahteve, predvsem CRA in NIS2, dodatno izpostavljajo odgovornost proizvajalcev digitalnih produktov in njihovih uporabnikov. Huawei je predstavil, kako kot proizvajalec pristopa k izpolnjevanju zahtev CRA, obravnavi ranljivosti in sodelovanju s strankami. »Da bi obvezno poročanje o ranljivostih prispevalo k dejanski operativni kibernetski odpornosti, morajo proizvajalci in zavezanci po direktivi NIS 2 vzpostaviti usklajene načine sodelovanja, ki delujejo v praksi. Organizacije spodbujamo, da že vnaprej povežejo komunikacijske kanale svojih odzivnih skupin CERT, vzpostavijo protokole za varno izmenjavo podatkov ter vadijo skupne postopke odzivanja, še preden pride do dejanskega vdora. Takšna skupna priprava zagotavlja, da je naš skupni odziv, ko začnejo teči predpisani roki za poročanje, usmerjen tako v ohranjanje delovanja omrežij in sistemov kot v izpolnjevanje predpisanih obveznosti,« je pojasnil Vencel Cserháti, odgovoren za kibernetsko varnost in zasebnost pri Huaweiu za Madžarsko in Adriatic regijo.
»Največja korist ni nujno v tem, da dokument nastane hitreje. Korist je tudi v doslednosti, sledljivosti in manjši odvisnosti od ročnega prepisovanja podatkov. Avtomatizacija pa sama po sebi ne zagotavlja pravilne pravne presoje ali pravilnosti dokazov. Zato mora biti proces preverljiv, z jasnimi odgovornostmi in potrditvijo ključnih odločitev s strani odgovorne osebe. Cilj avtomatizacije ni, da človeka odstranimo iz procesa. Cilj je, da ob incidentu pravočasno zberemo prave podatke, sprejmemo utemeljene odločitve in lahko pokažemo, kaj smo naredili ter zakaj,« je pojasnil Matjaž Pušnik, strokovnjak za kibernetsko varnost in upravljanje tveganj pri podjetju Inovis IT.
Ali podjetja tem spremembam dejansko sledijo in kaj se je v zadnjem letu premaknilo v praksi, je bilo tudi osrednje vprašanje strokovnega panela, ki ga je vodil Uroš Žust iz Forvis Mazars. Umetna inteligenca spreminja tako hitrost dela kot znanja, ki jih podjetja potrebujejo. Dalibor Vukovič iz Telekoma Slovenije je opisal, kako že pomaga pri začetni analizi varnostnih dogodkov, Klemen Rizman iz podjetja CreaPlus pa njen prehod od pomočnika pri pripravi besedil do izvajanja delovnih nalog. Ob tem ostajajo ključni ljudje, ki znajo orodja usmerjati, preverjati rezultate in presoditi, kdaj je potrebno ukrepanje. Kako dostopne postajajo tudi možnosti zlorabe, je pokazal Davor Žic iz podjetja IT Team. Med konferenco je pripravil in predvajal posnetek, na katerem je umetna inteligenca spregovorila z njegovim glasom. Znan glas tako sam po sebi še ni zagotovilo, da govorimo s pravo osebo – kar ima lahko resne posledice pri zahtevah za nujna nakazila ali spremembe bančnih podatkov. Vprašanja iz občinstva so izpostavila stroške varnosti v manjših in srednjih podjetjih ter dokazovanje učinkov vlaganj. Kot ena od možnosti je bilo predstavljeno zunanje izvajanje varnostnih storitev, ki omogoča strokovno spremljanje in odzivanje tudi brez lastne specializirane ekipe. Podjetja, ki poslujejo v več državah, pa so opozorila na potrebo po bolj usklajenih zahtevah in manj administrativnega podvajanja.
Kibernetska varnost ni odvisna samo od tehnologije, temveč tudi od ljudi. Kako pomembno je zaposlene vključiti v zagotavljanje varnosti, so s svojimi izkušnjami iz Vzajemne pokazali Lucija Tomšič Zupan in Boštjan Špehonja iz GO-LIX.
Boštjan Špehonja je predstavil celoletno usposabljanje, ki preverjanje znanja povezuje s prilagojenimi vsebinami in simulacijami lažnega predstavljanja. Varnostna kultura zahteva redno učenje in utrjevanje znanja. Lucija Tomšič Zupan je opisala rezultate v Vzajemni: zaposleni ob sumljivih sporočilih pogosteje poiščejo nasvet službe za informacijsko varnost in postavljajo več vprašanj. Namen usposabljanja in simulacij je učenje ter spreminjanje ravnanja, brez iskanja krivcev. Podjetja pa se srečujejo še z drugim izzivom: pogosto iščejo strokovnjake za informacijsko varnost, od katerih pričakujejo vse – od tehničnih in organizacijskih do pravnih znanj. Toda različni poklici zahtevajo različne kompetence. Zato so v Sekciji za kibernetsko varnost (SeKV) pri GZS pripravili Katalog poklicev v informacijski varnosti, ki podjetjem in kadrovskim službam pomaga jasneje opredeliti delovna mesta, naloge in potrebna znanja. Namenjen je tudi boljšemu povezovanju potreb gospodarstva z izobraževalnim sistemom.
Katalog je predstavila Alenka Glas. Pri njegovem nadaljnjem dopolnjevanju bodo pomembne tudi povratne informacije podjetij, kadrovskih služb in izobraževalnih ustanov. Katalog je že javno dostopen na spletni strani SeKV in se bo redno dopolnjeval ter prilagajal razvoju stroke in potrebam trga dela.
Pomanjkanja strokovnjakov ne bomo rešili samo z novimi zaposlitvami. Pomembni so tudi usposabljanje obstoječih ekip, sodelovanje s kadrovsko stroko in predvsem več zanimanja mladih za te poklice.
V okviru evropskega projekta CyberHubs so zato izkušnje različnih evropskih držav povezali s konkretnimi aktivnostmi v Sloveniji. Akademija kibernetske varnosti 2026 je na štirih strokovnih seminarjih zabeležila več kot 80 udeležencev, razvijalo pa se je tudi sodelovanje s kadrovsko stroko.
S kampanjo »Slovenija potrebuje cyber strokovnjake« strokovnjaki iz podjetij obiskujejo osnovne in srednje šole ter gimnazije. Mladim iz prve roke predstavljajo svoje delo, poklicne poti in priložnosti na področju kibernetske varnosti. Cilj ni le povečati zanimanje za to področje, ampak mladim pokazati, kaj ti poklici dejansko pomenijo in kako raznoliki so.
Kot je izpostavila Urša Mlekuš, mlade zanimajo predvsem izbira izobraževanja, prve izkušnje in vsakodnevno delo strokovnjakov. Podjetja lahko prihodnje kadre pomagajo razvijati z obiski šol, dnevi odprtih vrat in praktičnimi predstavitvami dela, tudi kadar se mladi pozneje zaposlijo v drugi organizaciji.
Več informacij: Kibernetski cunami 2026 Kontakt za medije: Nina Vučak, nina.vucak@gzs.si