Razmatranja o kibernetičkoj sigurnosti 2025.

Za glavne službenike za informacijsku sigurnost (CISO-e) u vladinim i javnim sektorima, izazovi zaštite osjetljivih podataka i ključnih sustava nikada nisu bili veći. Zbog jedinstvene prirode i količine podataka kojima ove organizacije upravljaju, posebno su ranjive. Potencijalni utjecaj sigurnosnog proboja nadilazi financijske gubitke – u mnogim slučajevima ugroženi su dobrobit građana, javna sigurnost pa čak i nacionalna sigurnost.

CISO-i u vladinim i javnim organizacijama suočeni su sa složenom mrežom izazova. Tijekom posljednjih pet godina, brze geopolitičke promjene i rastuće napetosti doveli su do povećanja broja kibernetičkih napada na kritičnu infrastrukturu. Sektor se sada fokusira na poboljšanje otpornosti i smanjenje rizika povezanih sa zastarjelim IT sustavima, koji otvaraju vrata brojnim ranjivostima koje protivnici mogu iskoristiti. Unatoč naporima da se ti sustavi moderniziraju i osiguraju, sama složenost i opseg zadatka ostaju zastrašujući. Prema istraživanju KPMG-a, nedostatak razumijevanja ili povjerenja u nove tehnologije kibernetičke sigurnosti doveo je do toga da 65 posto organizacija u javnom sektoru ima manje povjerenja u ulaganje u takve alate.¹

Osim stalnog balansiranja između zastarjelih sustava, CISO-i u ovom sektoru moraju pratiti i brz razvoj novih tehnologija poput umjetne inteligencije (AI), blockchaina i kvantnog računalstva. Istovremeno se suočavaju s ograničenim proračunima i nedostatkom resursa, što dodatno otežava privlačenje i zadržavanje stručnjaka za kibernetičku sigurnost – stvarajući savršenu oluju izazova koje organizacije moraju savladati.

Regulatorni okvir također postaje sve složeniji. U Europi, primjerice, nadolazeći propisi poput Uredbe o digitalnoj operativnoj otpornosti (DORA), Direktive NIS2 i Akta o kibernetičkoj otpornosti utjecat će na tisuće tvrtki i vladinih organizacija u nadolazećim mjesecima i godinama. Ova regulatorna iscrpljenost može biti preplavljujuća. Usred svih tih izazova, CISO-i moraju pronaći načine za jačanje otpornosti i pripremu za neizbježne kibernetičke incidente. To zahtijeva promjenu pristupa – s isključivo preventivnog na onaj koji uključuje i otkrivanje, odgovor i oporavak.

Ovo izvješće istražuje izazove, prilike i konkretne korake za sigurnosne lidere u ovom širokom sektoru. Razumijevanjem jedinstvenih rizika i potreba te proaktivnim pristupom kibernetičkoj sigurnosti, CISO-i mogu pomoći u zaštiti ključnih resursa i podataka koji su temelj javnih institucija.

Ključna razmatranja o kibernetičkoj sigurnosti za CISO-e

Otpornost kroz dizajn – Kibernetička sigurnost za poslovanje i društvo
Embed trust as AI proliferates
The digital identity imperative

Otpornost kroz dizajn – Kibernetička sigurnost za poslovanje i društvo

Kritična infrastruktura koja pokreće naše društvo – od energetskih mreža i prometnih sustava do postrojenja za pročišćavanje vode i zdravstvenih ustanova – sve je ranjivija na sofisticirane kibernetičke napade. S obzirom na sve veću učestalost i složenost prijetnji, CISO-i moraju preusmjeriti fokus s isključive prevencije na izgradnju otpornosti – sposobnosti brzog odgovora, oporavka i prilagodbe uz minimalan utjecaj. To ne uključuje samo tehnološka rješenja, već i ljude, procese i okvire upravljanja.

CISO-i moraju znati gdje se nalaze njihova imovina i kako je identificirati kako bi je učinkovito zaštitili. To uključuje ne samo podatkovne centre, već i ključne sustave i krajnje točke izvan tradicionalnog IT-a, poput onih u tvornicama, prometnim mrežama i energetskim sustavima – poznatih kao operativna tehnologija (OT).

Kako se organizacije sve više oslanjaju na vanjske pružatelje softvera i usluga, a napadači sve češće ciljaju dobavljače, rizik od slabih karika u opskrbnom lancu raste. Ova rastuća mreža odnosa proširuje površinu napada, pružajući prijetnjama dodatne ulazne točke sa svakim novim vanjskim partnerstvom.

Robusni planovi odgovora na incidente, redovito testiranje i vježbe te međufunkcionalna suradnja mogu smanjiti utjecaj neizbježnih proboja i osigurati kontinuitet ključnih usluga. Razvijanjem kulture otpornosti unutar organizacije, CISO-i mogu osnažiti zaposlenike da postanu aktivni sudionici u obrani od kibernetičkih prijetnji.

Ključni izazovi

Nedostatak resursa i stručnosti

Mnogi operateri kritične infrastrukture, osobito manji gradovi i općine, nemaju dovoljno stručnosti ni financijskih sredstava za provedbu sveobuhvatnih strategija otpornosti.

Pritisak regulatorne usklađenosti

Sve stroži propisi, poput NIS2 i Regulatornog okvira za kritične entitete (RCE) u EU te slični standardi drugdje, zahtijevaju od organizacija da pokažu svoje sposobnosti otpornosti, što dodatno komplicira operativne i usklađivačke zahtjeve.

Sofisticiranost prijetnji

Napadači koriste sve naprednije taktike, poput ransomwarea, DDoS napada i napada na opskrbni lanac, koji ciljaju ranjivosti specifične za industrijske sustave.

Ključne prilike

Odgovor na incidente u stvarnom vremenu - Napredni sustavi nadzora koji koriste umjetnu inteligenciju (AI) i strojno učenje (ML) mogu u stvarnom vremenu prepoznati anomalije, omogućujući brži odgovor na incidente.

Usklađivanje s regulativom - Iako izazovno, regulatorni zahtjevi mogu potaknuti ulaganja u kibernetičku sigurnost i prakse otpornosti, pridonoseći inovacijama i podizanju industrijskih standarda.

Embed trust as AI proliferates

The rapid proliferation of AI across critical Gov/PS areas has unlocked unprecedented opportunities for innovation and efficiency. However, as organizations eagerly embrace AI, they also must confront growing trust concerns, particularly when it comes to security and privacy. The massive volume of sensitive data that fuels AI systems is an attractive target for malicious actors, increasing the likelihood of data breaches and privacy violations. The complex and often opaque nature of AI algorithms can also lead to unintended biases and inaccurate predictions. This can erode public trust and cause reputational harm.

CISOs need to think beyond traditional reactive measures and focus on embedding trust throughout the entire AI lifecycle. They must work closely with governance colleagues to address the challenges of data quality and classification, and ensure the information used to train AI models is accurate, unbiased, and properly secured.

It is similarly important to collaborate with IT and business stakeholders to develop robust security frameworks that keep pace with the threat landscape, closing the gap between innovation and protection. On an encouraging note, KPMG research has found that in 76 percent of government and public sector organizations, cybersecurity is typically involved from the earliest planning stages of decision-making process for technology investment and has a significant influence.²

Key challenges

Vulnerability in AI models

Simply stated, AI models are vulnerable to adversarial attacks. Malicious inputs can deceive systems, leading to inaccurate decisions that can jeopardize safety and trust. Additional threats, such as model poisoning and data leakage, can further compromise reliability and confidentiality.

Continuous monitoring and risk

Maintaining trust requires real-time monitoring to detect anomalies and evolving threats, as well as adaptive risk assessments to address vulnerabilities like model drift and cyber-physical risks and attacks. Organizations are encouraged to develop and implement scalable, proactive frameworks to safeguard AI systems and ensure resilience.

Key opportunities

Embedding security throughout the AI lifecycle – By integrating security measures into the AI development lifecycle, organizations can be better prepared to identify and mitigate vulnerabilities prior to deployment. This proactive approach can help avoid the costly retrofitting of security measures and reduce the likelihood of broad, disruptive cyberattacks.

Addressing the monitoring challenge – By deploying advanced anomaly detection algorithms and optimizing logging and auditing frameworks, organizations can significantly enhance their capability to detect and respond to potential security threats in real-time.

Despite the appreciation of AI's potential and importance within Gov/PS, preparedness levels remain relatively low. Slow adoption, limited funding, and a shortage of specialized personnel continue to be impediments. The lack of expertise in critical areas like AI security and risk management leaves organizations vulnerable to risks such as system design vulnerabilities and insufficient data protection. To overcome these obstacles, CISOs at Gov/PS organizations must prioritize proactive planning, allocate adequate resources, and invest in upskilling their staff.

The digital identity imperative

As organizations embrace digitization to enhance service delivery and improve efficiency, the need for secure and reliable digital identity systems has become paramount. Digital identities serve as the foundation for secure access to a wide range of critical services, from banking and healthcare to government functions. By enabling individuals to verify their identity online, these systems facilitate seamless and secure interactions.

However, the rise of sophisticated threats such as deepfakes, identity theft, and digital fraud has exposed the limitations of traditional authentication methods. Organizations are increasingly concerned about the rise of machine identities, especially privileged non-human service accounts that have access to sensitive data for specific applications. As the Internet of Things becomes more prevalent, managing machine identities is also becoming a major challenge.

For CISOs in the Gov/PS sector, the stakes are particularly high. Digital identity systems play a vital role in safeguarding individual privacy, preventing fraud, and ensuring the integrity of sensitive data. A breach or failure of these systems can have far-reaching consequences, eroding public trust, disrupting essential services, and even compromising national security. As such, CISOs must prioritize the development and implementation of secure, transparent, and compliant digital identity frameworks. They must work closely with their teams to embed security and privacy considerations throughout the digital identity lifecycle.

Key challenges

Upholding public trust and data privacy

Individuals are more aware than ever of how their personal information is used and protected, especially when it comes to biometric data. There are concerns regarding how data is stored, processed, and shared. Privacy and data sovereignty remain top-of-mind issues.

Biometric data and authentication security

With advanced attacks being increasingly automated and scaled through AI, attackers’ efficiency has risen significantly. For example, multiple deepfakes can be generated simultaneously, and AI systems can continuously learn from the behavior of defenders to refine their strategies. This advancement makes it easier to circumvent traditional authentication methods, such as facial recognition or fingerprint scans, and amplifies the security vulnerabilities within these systems.

Key opportunities

Public-private collaboration – Acknowledging governments, technology companies, and other related organizations all play critical roles in shaping digital identity frameworks, cyber security teams can act as collaboration facilitators in the development of secure and interoperable systems. By driving cross-sector discussion and partnerships, cyber security professionals can help bridge gaps in standardization, regulatory compliance, and best practices.

Regulatory alignment – While navigating regulatory challenges is complex, alignment with regulations like General Data Protection Regulation (GDPR), DORA, NIS2 or eIDAS provides an opportunity for cyber security teams to establish best practices in compliance and strengthen trust in digital identity systems.

Most Gov/PS organizations have low levels of preparedness relative to other sectors when it comes to securing digital identities. Often, this is attributable to insufficient investment and a lack of effective public-private collaboration. The complexity of challenges such as trust, privacy concerns, and user experience is often underestimated. In federated government systems, alignment and cooperation across levels adds to the complexity. To overcome these obstacles and achieve a cohesive approach to digital identity, organizations must prioritize investment and collaboration.

Stvarna kibernetička sigurnost u javnom sektoru

Dok vlade provode velike digitalne inicijative koje donose koristi građanima, ravnoteža između sigurnosti i praktičnosti ostaje ključna.

Primjer je nacionalni sustav digitalne obrade temeljen na biometriji koji je revolucionirao iskustvo putovanja u zračnim lukama u Indiji. Aplikacija koristi lice pojedinca kao jedinstveni identifikacijski token, povezujući identitet, putne dokumente i informacije o putovanju. Od implementacije krajem 2022., program je postigao izvanredne stope usvajanja, s gotovo 10 milijuna korisnika i desecima tisuća novih preuzimanja dnevno. Sustav je aktivan u više od 20 zračnih luka u Indiji.

Implementacija ove tehnologije donijela je brojne prednosti, uključujući poboljšano korisničko iskustvo, veću učinkovitost i povećanu sigurnost. Sustav bez papira ograničava dijeljenje podataka i osigurava da se osobni identifikacijski podaci (PII) putnika sigurno pohranjuju u mobilni novčanik korisnika. Kako usvajanje raste, ovaj sustav postaje primjer kako se biometrijske tehnologije mogu koristiti za poboljšanje sigurnosti i praktičnosti u javnom sektoru.

stream

KPMG-ov multidisciplinarni pristup i sveobuhvatno, praktično znanje o industriji pomažu klijentima da se suoče s izazovima i iskoriste poslovne prilike.

Saznajte više