Упатства

Системите за супервизорска контрола и аквизиција на податоци (SCADA) и индустриските контролни системи (ICS) се фундаментот на енергетскиот сектор.

Архитектурни барања:

Purdue Model (ISA-95/IEC 62443) — препорачана сегментација:

• Ниво 0-1: Физички процеси и контролери (PLC, RTU)
• Ниво 2: Контролни системи (HMI, SCADA сервери)
• Ниво 3: Оперативно управување (historians, MES)
• Ниво 3.5: DMZ — Демилитаризирана зона (ПРЕПОРАЧАНА)
• Ниво 4-5: Корпоративна IT мрежа и интернет

Критични правила:

• НИКОГАШ директна конекција помеѓу IT и OT мрежа
• Unidirectional gateway (data diode) за пренос IT→OT
• Белисти (application whitelisting) на сите OT работни станици
• Забрана за USB уреди на OT опрема (физичко блокирање на портови)
• Сите промени на OT конфигурација мора да минат низ change management
• Посебни корисничка акаунти за OT — одвоени од корпоративен AD

Iec 62443 compliance:

• Security Level 1 (SL1): Заштита од случајни нарушувања
• Security Level 2 (SL2): Заштита од намерни напади со мали ресурси
• Security Level 3 (SL3): Заштита од софистицирани напади (ПРЕПОРАЧАНО)
• Security Level 4 (SL4): Заштита од напади со државна поддршка

Мониторингот на OT мрежата бара специјализиран пристап — стандардните IT алатки НЕ СЕ ДОВОЛНИ.

Препорачан мониторинг:

Мрежно следење:

• Passive network monitoring (не инјектира сообраќај во OT мрежа!)
• Deep Packet Inspection (DPI) за индустриски протоколи:
  • Modbus TCP/RTU (порт 502)
  • DNP3 (порт 20000)
  • IEC 61850 (MMS, GOOSE, SV)
  • IEC 60870-5-104 (порт 2404)
  • OPC UA (порт 4840)
  • EtherNet/IP (порт 44818)
• Детекција на аномалии: baseline на нормален сообраќај → алармирање на девијации
• Asset discovery: континуирана инвентаризација на сите OT уреди

Логирање и корелација:

• Централизирано логирање во OT-специфичен SIEM
• Корелација на IT и OT настани за откривање на cross-domain напади
• Задржување на логови согласно политиката за чување и применливите прописи
• Интегритет на логови (write-once / WORM складирање, криптографски хеш)

Алармирање — приоритетни настани:

• Неавторизиран пристап до PLC/RTU (КРИТИЧНО)
• Промена на firmware на контролери (КРИТИЧНО)
• Нов уред на OT мрежа (ВИСОКО)
• Аномален протоколен сообраќај (ВИСОКО)
• Обид за Remote Desktop кон OT систем (ВИСОКО)
• DNS барања од OT сегмент кон интернет (СРЕДНО)

Енергетскиот сектор е цел на најсофистицирани APT групи и државно-спонзорирани актери.

Познати закани за енергетскиот сектор:

Историски напади:

• BlackEnergy/Sandworm (2015-2016): Напад на украинската електромрежа
• TRITON/TRISIS (2017): Напад на SIS системи во петрохемиска фабрика
• Industroyer/CrashOverride (2016, 2022): Малвер за ICS протоколи
• Colonial Pipeline (2021): Ransomware кој прекина снабдување со гориво
• Volt Typhoon (2023-2024): Кинески APT во критична инфраструктура

Mitre att&ck for ics — приоритетни техники:

Initial Access:

• T0817 — Drive-by Compromise
• T0886 — Remote Services (RDP, VNC на OT системи)
• T0847 — Replication Through Removable Media (USB)
• T0862 — Supply Chain Compromise

Execution:

• T0807 — Command-Line Interface (PLC programming)
• T0823 — Graphical User Interface (HMI манипулација)

Impact:

• T0831 — Manipulation of Control (промена на setpoints)
• T0882 — Theft of Operational Information
• T0813 — Denial of Control (блокирање на оператори)

Специфични митигации:

• Редундантни контролни системи (diverse redundancy)
• Физички прекинувачи за критични процеси (manual override)
• Регуларни OT penetration тестови (минимум годишно)
• Threat intelligence sharing со EU CERT мрежата
• Учество во EE-ISAC (European Energy — ISAC)

Континуитетот на електроснабдувањето е од витално значење — планот за обнова мора да е приоритет.

Business continuity plan (bcp):

Recovery Time Objectives (RTO):

• Електропреносна мрежа: максимум 4 часа
• SCADA централа: максимум 2 часа
• Корпоративни IT системи: максимум 24 часа
• Финансиски системи: максимум 12 часа

Recovery Point Objectives (RPO):

• SCADA конфигурации: 0 (real-time репликација)
• Historian податоци: максимум 1 час
• Корпоративни податоци: максимум 4 часа

Бекап стратегија за ot:

• PLC/RTU конфигурации: бекап при секоја промена + верзионирање
• HMI проекти: дневен бекап + offsite копија
• SCADA бази: real-time репликација на secondary site
• Historian: инкрементален бекап на секои 4 часа
• Сите бекапи: шифрирани + integrity verification

Вежби и тестирање:

• Табли вежби (tabletop exercises): квартално
• Функционални вежби со failover: полугодишно
• Полна симулација на сајбер инцидент: годишно
• Учество во национални/меѓународни вежби (Cyber Europe)
• Тестирање на manual override процедури: месечно

Авијацијата е еден од најрегулираните сектори — сајбер-безбедноста мора да ги следи истите стандарди.

Критични системи:

Air Traffic Management (ATM):

• Radar системи и surveillance (ADS-B, MLAT)
• Комуникациски системи (VHF, CPDLC, SATCOM)
• Системи за управување со летови (Flight Data Processing)
• Метеоролошки системи (AWOS, ATIS)

Аеродромска инфраструктура:

• Системи за навигација (ILS, VOR, DME)
• Осветлување на писти (AGL — Aeronautical Ground Lighting)
• Багажни системи (BHS — Baggage Handling Systems)
• Контрола на пристап и видеонадзор (CCTV)
• Системи за проверка на патници (border control)

Безбедносни барања:

Мрежна сегментација:

• Safety-critical системи (ATM) — целосна изолација
• Operational системи — ограничен пристап
• Administrative системи — стандардна корпоративна мрежа
• Public WiFi — целосно изолирана

Специфични мерки:

• ADS-B верификација (заштита од spoofing)
• GPS jamming/spoofing детекција
• Redundant communication links
• Backup navigation системи
• Редовни безбедносни тестирања на ATM/ANS системите (EUROCAE ED-205)

Модерните железнички системи се високо дигитализирани — од сигнализација до продажба на билети.

Критични системи:

Сигнализација и контрола:

• ERTMS/ETCS (European Train Control System)
• Interlocking системи (електронски заклучувања)
• Level crossing контроли
• Automatic Train Protection (ATP)
• GSM-R/FRMCS комуникации

Оперативни системи:

• Системи за диспечирање
• Passenger Information Systems (PIS)
• Ticketing и платежни системи
• Video surveillance на станици

Безбедносни мерки:

За safety-critical системи:

• IEC 62278 (RAMS) — Reliability, Availability, Maintainability, Safety
• IEC 62280 — Communication safety на железница
• EN 50129 — Safety-related electronic systems
• Целосна изолација од корпоративна мрежа
• Dual-channel voting за критични одлуки

За оперативни системи:

• Шифрирање на GSM-R комуникации
• Автентикација на ETCS пораки
• Мониторинг за GPS spoofing/jamming
• Физичка безбедност на trackside опрема

Интелигентните транспортни системи (ITS) носат нови сајбер ризици.

Критични системи:

Управување со сообраќај:

• Семафорски системи (Traffic Light Controllers)
• Variable Message Signs (VMS) — електронски табли
• Automatic Number Plate Recognition (ANPR)
• Системи за наплата на патарини
• Тунелски системи за управување

Connected/Autonomous Vehicles:

• V2X (Vehicle-to-Everything) комуникација
• C-ITS (Cooperative Intelligent Transport Systems)
• OBU (On-Board Units) безбедност
• Charging инфраструктура за EV

Клучни ризици:

• Манипулација со семафори → сообраќајни несреќи
• Ransomware на системи за патарини → финансиски загуби
• Spoofing на VMS табли → паника и хаос
• GPS jamming → нарушување на логистика
• Напад на EV charging → каскадни ефекти на електромрежа

Митигации:

• Физичка и логичка сегментација на ITS мрежа
• Шифрирани и автентицирани C-ITS пораки (PKI)
• Редундантни комуникациски линкови
• Out-of-band management за критична инфраструктура
• Регуларни безбедносни ревизии на ITS системи

Медицинските информациски системи содржат најчувствителни лични податоци — нивната заштита е законска и етичка обврска.

Болнички информациски систем (his/bis):

Критични компоненти:

• Electronic Health Records (EHR) — електронски здравствени картони
• Computerized Provider Order Entry (CPOE) — електронско пропишување
• Clinical Decision Support Systems (CDSS)
• Радиолошки информациски системи (RIS)
• Picture Archiving and Communication System (PACS)
• Лабораториски информациски системи (LIS)
• Pharmacy Information Systems (PIS)
• Nursing Information Systems (NIS)

Безбедносни барања:

Контрола на пристап:

• Role-Based Access Control (RBAC) — строго дефинирани улоги
• Break-the-glass процедура за итни случаи (со полна ревизија)
• Автоматски session timeout (максимум 15 минути неактивност)
• MFA за далечински пристап и привилегирани акаунти
• Биометриска автентикација за POS терминали на одделенија
• Audit trail за секој пристап до пациентски записи

Шифрирање:

• At-rest: AES-256 за сите пациентски податоци
• In-transit: TLS 1.3 за сите интерни и надворешни конекции
• DICOM шифрирање за медицински слики
• HL7 FHIR безбедносни екстензии за интероперабилност

Compliance рамка:

• ЗБМИС — задолжително известување за инциденти
• Закон за заштита на лични податоци (ЗЗЛП)
• ISO 27001 + ISO 27799 (здравствена информациска безбедност)
• IEC 80001 — безбедност на медицински IT мрежи

Internet of Medical Things (IoMT) — поврзаните медицински уреди создаваат нова атак-површина.

Категории на поврзани медицински уреди:

Класа III (Високоризични):

• Инфузиони пумпи (IV pumps)
• Пациентски монитори
• Вентилатори / респиратори
• Пејсмејкери и импланти
• Инсулински пумпи

Класа II (Среден ризик):

• MRI, CT, X-ray скенери
• Ултразвук апарати
• Лабораториски анализатори
• Дефибрилатори

Класа I (Низок ризик):

• Smart кревети
• Температурни сензори
• Wearable мониторинг уреди

Клучни ризици:

• Застарен OS на медицинска опрема (Windows XP, Windows 7)
• Hardcoded credentials во firmware
• Некриптирана комуникација (Telnet, HTTP)
• Немање на patch management процес за медицинска опрема
• Supply chain ризици од производители

Клучни мерки:

• Инвентар на СИТЕ поврзани медицински уреди (CMDB)
• Мрежна микросегментација — секој тип уред во посебен VLAN
• Network Access Control (NAC) за медицинска мрежа
• Vulnerability scanning прилагодено за медицинска опрема
• Координација со производители за безбедносни закрпи
• Компензирачки контроли за уреди кои не можат да се закрпат
• Мониторинг на аномален сообраќај од медицински уреди

Здравствениот сектор е ПРИМАРНА ЦЕЛ за ransomware — платената загрозеност е директна закана за животи.

Статистика:

• Просечно време на прекин: 3-4 недели
• Просечен финансиски штета: €1.5-5 милиони по инцидент

Специфична превенција:

Техничка заштита:

• Immutable бекапи — WORM storage (Write Once Read Many)
• Air-gapped бекап систем за критични системи
• Offline копија на EHR базите — ажурирање минимум дневно
• EDR на сите крајни точки (вклучувајќи медицински работни станици)
• Email gateway со sandbox анализа
• Блокирање на макра од надворешни извори

Организациска заштита:

• Downtime процедури — хартиени процедури за секое одделение
• Тренинг на медицински персонал — квартално
• Симулирани фишинг тестови — месечно
• Designated offline работни станици за итни случаи
• Комуникациски план — како да се информираат пациенти

ПЛАН ЗА ОДГОВОР (првите 4 часа):

1. Активирање на Incident Response тим

2. Изолирање на засегнати системи (НЕ исклучување!)

3. Активирање на downtime процедури

4. Првично известување до MKD-CIRT најдоцна 3 часа од дознавањето, рано предупредување во рок од 24 часа (член 33 од ЗБМИС)

5. Проценка на опсегот и влијанието на пациентска нега

6. Форензичко зачувување на докази

7. Комуникација со персонал и јавност

Системите за управување со водоснабдување имаат специфични карактеристики кои ги разликуваат од другите ICS системи.

Критични процеси:

Водозафаќање и третман:

• Пумпни станици за сирова вода
• Коагулација и флокулација (хемиски дозирачки системи)
• Седиментација и филтрација
• Дезинфекција (хлорирање, UV, озон)
• pH контрола и корекција

Дистрибуција:

• Резервоари (ниво, притисок, температура)
• Пумпни станици за дистрибуција
• Вентили и flow control
• Квалитет на вода мониторинг (turbidity, residual chlorine, pH)
• Leak detection системи

Критични сценарија на напад:

• Манипулација на хемиски дозирачки системи (пр. хлор → токсични нивоа)
• Прекин на пумпни станици → губење на водоснабдување
• Манипулација на сензори → лажни читања → неправилна реакција
• Ransomware на SCADA → губење на визибилност

БЕЗБЕДНОСНИ МЕРКИ (специфични за вода):

• Physical safety limits — хардверски лимити кои не можат да се менуваат преку софтвер
• Dual verification за промена на хемиски параметри
• Независни аналогни инструменти како backup за дигитални сензори
• Manual override за критични процеси (хлорирање, pH)
• Регуларно калибрирање на сензори + cross-verification

Континуираниот мониторинг на квалитетот на водата е критична функција која мора да биде заштитена.

Real-time мониторинг:

Параметри за следење:

• Residual chlorine (0.2-0.5 mg/L) — КРИТИЧЕН за безбедност
• pH вредност (6.5-8.5)
• Турбидитет (<1 NTU)
• Температура
• Conductivity / TDS
• Dissolved oxygen
• Нитрати, нитрити
• Микробиолошки контаминанти (E. coli, Coliform)

Алармни прагови и автоматски одговор:

За секој параметар дефинирајте:

• Нормален опсег → Зелено
• Предупредување → Жолто (автоматска нотификација)
• Критично → Црвено (автоматско затворање + известување)
• Сензорски failure → Алармирање + мануелен мониторинг

Заштита на мониторинг систем:

• Integrity checking на сензорски податоци
• Cross-correlation помеѓу соседни сензори
• Аномалија детекција (ML-базирана baseline анализа)
• Физичка заштита на сензори и комуникациска опрема
• Redundant комуникација (cellular + wired + radio)
• Бекап лабораториско тестирање при сензорски аномалии

Core banking системите се срцето на финансиската инфраструктура — нивната безбедност е врвен приоритет.

Критични системи:

Core Banking:

• Transaction Processing System (TPS)
• Account Management System
• Loan Management System
• Treasury Management System
• General Ledger

Платежни системи:

• КИБС — Клириншки интербанкарски систем
• SWIFT — меѓународни трансфери
• Card Processing — Visa/Mastercard авторизации
• Real-Time Gross Settlement (RTGS)
• Direct Debit / Direct Credit

Канали:

• Онлајн банкарство (web + mobile)
• ATM мрежа
• POS терминали
• Open Banking APIs (PSD2)
• Contact центар

Безбедносни барања:

Автентикација:

• Strong Customer Authentication (SCA) — PSD2 compliance
• Adaptive authentication (risk-based)
• Биометрија за mobile banking
• Hardware token за привилегирани пристапи
• Session management со anti-hijacking мерки

Трансакциска безбедност:

• Real-time fraud detection (ML-базиран)
• Transaction signing за критични операции
• Velocity checks (лимити на трансакции)
• Geolocation verification
• Device fingerprinting
• 3D Secure 2.0 за картични трансакции

Regulatory compliance:

• ЗБМИС — задолжително известување за инциденти
• PCI DSS v4.0 — за картични операции
• SWIFT CSP — Customer Security Programme
• НБРСМ регулативи за ИТ ризици
• DORA (Digital Operational Resilience Act) — подготовка за EU compliance

Финансискиот fraud е во постојан пораст — комбинација на технички и социјален инженеринг.

Типови на финансиски fraud:

Дигитален fraud:

• Account Takeover (ATO) — преземање на кориснички акаунти
• Business Email Compromise (BEC) — лажни фактури/налози
• Authorized Push Payment (APP) fraud — манипулација на жртвата
• Card-Not-Present (CNP) fraud — online картичен fraud
• SIM Swapping → MFA bypass → account takeover
• Synthetic Identity Fraud — креирање на лажен идентитет

ATM напади:

• Jackpotting — малвер кој го тера ATM да исфрла пари
• Skimming — физички уреди за крадење на картични податоци
• Shimming — напад на EMV чип картици
• Black Box — директна конекција на ATM controller
• Transaction Reversal Fraud (TRF)

Anti-fraud систем:

Технички мерки:

• Machine Learning моделе за детекција на аномалии
• Behavioral analytics — профилирање на корисничко однесување
• Device intelligence — познавање на легитимни уреди
• Network intelligence — IP репутација, proxy детекција
• Biometric verification за високоризични трансакции

Процесни мерки:

• Dual authorization за трансакции над дефиниран праг
• Cooling-off период за нови бенефицијари
• Out-of-band verification за критични промени
• Customer education програма
• Fraud reporting механизам (24/7 hotline)

SWIFT Customer Security Programme (CSP) е задолжителен за сите банки поврзани на SWIFT мрежа.

Swift csp framework — задолжителни контроли:

1. Restrict Internet Access:

• Сегментација на SWIFT инфраструктура во Secure Zone
• Firewall со explicit deny-all правило
• Нема директен интернет пристап за SWIFT компоненти

2. Reduce Attack Surface:

• Хардверски inventory на сите SWIFT компоненти
• Минимален software footprint (само потребните апликации)
• Деактивирање на непотребни сервиси и портови
• Редовно закрпување (patch management)

3. Physically Secure the Environment:

• Физичка контрола на пристап до SWIFT опрема
• CCTV мониторинг
• Clean desk политика
• Secure disposal на storage медиуми

4. Prevent Compromise of Credentials:

• MFA за SWIFT оператори — ЗАДОЛЖИТЕЛНО
• Password policy (минимум 12 карактери, complexity)
• Посебни акаунти за SWIFT — не корпоративни
• Regular credential rotation

5. Manage Identities and Privileges:

• Least privilege за сите SWIFT корисници
• Segregation of duties (maker-checker)
• Редовна ревизија на пристапни права
• Деактивирање на неактивни акаунти

6. Detect Anomalous Activity:

• Логирање на сите SWIFT трансакции и пристапи
• Real-time мониторинг за аномалии
• Integrity checking на SWIFT софтвер и бази
• Incident response план специфичен за SWIFT

Телеком операторите се основата на дигиталната комуникација — нивната безбедност е од национален интерес.

Критични системи:

Core мрежа:

• 4G/5G Core (EPC/5GC) — управување со мобилен сообраќај
• IMS (IP Multimedia Subsystem) — гласовни услуги
• HSS/UDM — база на претплатници
• PCRF/PCF — политики за квалитет на услуга
• Charging системи — тарифирање

Transport мрежа:

• DWDM оптичка мрежа
• IP/MPLS backbone
• Microwave линкови
• Submarine/terrestrial кабли

Пристапна мрежа:

• Radio Access Network (RAN) — базни станици
• FTTH/FTTB — оптика до дома
• xDSL инфраструктура
• Fixed Wireless Access

Безбедносни мерки:

Signaling безбедност:

• SS7 firewall — заштита од SS7 напади (location tracking, call interception)
• Diameter Edge Agent (DEA) — заштита на 4G signaling
• SBI Security — заштита на 5G Service Based Interface
• SEPP (Security Edge Protection Proxy) за 5G roaming

BGP безбедност:

• RPKI (Resource Public Key Infrastructure) — препорачано
• ROA (Route Origin Authorization) за сите prefix-и
• BGP community филтрирање
• Prefix length филтри
• Мониторинг за route hijacking (BGPStream, RIPE RIS)

DDoS заштита:

• Scrubbing центар со доволен капацитет (>100 Gbps)
• BGP Flowspec за автоматска митигација
• Anycast DNS за .mk домен
• Rate limiting на infrastructure сервиси

DNS е критична инфраструктура — без DNS, интернетот практично не функционира.

Заштита на .mk домен:

DNS инфраструктура:

• Authoritative DNS сервери за .mk TLD
• Recursive resolvers на ISP ниво
• Root DNS mirror серверт во земјата

DNSSEC имплементација:

• Потпишување на .mk зоната (DNSSEC) — препорачано
• Key management процедури (KSK rotation: годишно, ZSK: квартално)
• DNSSEC validation на resolvers
• Мониторинг за DNSSEC failures
• DS record management кон IANA/root

Оперативна безбедност:

• Anycast deployment на NS серверт (минимум 3 PoP)
• Географска дистрибуција на сервери
• Rate limiting за DNS query-а (заштита од amplification)
• Response Rate Limiting (RRL) на authoritative серверт
• Automated zone integrity checking

Dns закани и митигации:

DNS Amplification DDoS:

• Response Rate Limiting (RRL)
• BCP38/BCP84 — Source Address Validation
• Coordination со ISP за upstream филтрирање

DNS Cache Poisoning:

• DNSSEC validation на сите resolvers
• Source port randomization
• Query name randomization (0x20 encoding)

DNS Tunneling (C2 communication):

• Мониторинг за невообичаено долги DNS query-а
• DNS request analysis (entropy detection)
• Блокирање на директни DNS query-а од internal hosts

Domain Hijacking:

• Registrar lock за критични домени (.gov.mk, .edu.mk)
• DNSSEC DS records мониторинг
• Certificate Transparency мониторинг за .mk домени

Со растот на cloud adoption, безбедноста на cloud и data centre инфраструктурата е критична.

Cloud безбедност:

Shared Responsibility Model:

• IaaS: Корисникот одговара за OS, апликации, податоци
• PaaS: Корисникот одговара за апликации и податоци
• SaaS: Корисникот одговара за податоци и конфигурација
• Cloud провајдерот: физичка безбедност, hypervisor, мрежа

Владин облак (Government Cloud):

• Користење облак услуги во јавниот сектор согласно насоките на Министерството за дигитална трансформација
• Security classification на податоци пред миграција
• Data residency — податоците мора да останат во земјата

Data centre безбедност:

Физичка безбедност:

• Повеќеслојна физичка контрола (perimeter → building → hall → rack)
• Биометриска автентикација + PIN + badge
• Man-trap влезови
• 24/7 физичко обезбедување и CCTV
• Environmental мониторинг (температура, влажност, вода, дим)

Логичка безбедност:

• Мрежна микросегментација (NSX, ACI)
• East-West traffic мониторинг
• Hypervisor hardening
• Encryption at rest (AES-256) за сите storage системи
• Key Management System (KMS) — HSM backed
• Regular penetration testing

Дигитализацијата на јавните услуги мора да биде придружена со соодветна сајбер-безбедност.

е-УСЛУГИ БЕЗБЕДНОСТ:

Автентикација на граѓани:

• eIDAS-компатибилна електронска идентификација
• Квалификуван електронски потпис
• MFA за сите е-услуги кои обработуваат лични податоци
• SSO (Single Sign-On) со централен Identity Provider
• Session management — timeout, anti-CSRF, secure cookies

Веб апликациска безбедност (OWASP Top 10):

• A01: Broken Access Control — RBAC + attribute-based access
• A02: Cryptographic Failures — TLS 1.3, strong ciphers
• A03: Injection — parameterized queries, input validation
• A04: Insecure Design — threat modeling во SDLC
• A05: Security Misconfiguration — hardening benchmarks
• A06: Vulnerable Components — dependency scanning
• A07: Identity Failures — secure auth, session management
• A08: Software Integrity — supply chain verification
• A09: Logging Failures — comprehensive audit logging
• A10: SSRF — input validation, network segmentation

Препорачани тестирања:

• Static Application Security Testing (SAST) — при секој build
• Dynamic Application Security Testing (DAST) — пред секој release
• Penetration testing — минимум годишно, или по секоја голема промена
• Bug bounty програма — опционално, но препорачано
• Code review за безбедносно-критични функционалности

Државните бази содржат податоци за целото население — нивната заштита е од највисок приоритет.

Критични бази на податоци:

Категоризација по чувствителност:

• СТРОГО ДОВЕРЛИВО: Безбедносни и разузнавачки податоци
• ДОВЕРЛИВО: Лични здравствени податоци, даночни евиденции
• ИНТЕРНО: Административни податоци, корпоративна пошта
• ЈАВНО: Отворени податоци, јавни регистри

Безбедносни мерки по ниво:

За ДОВЕРЛИВО и СТРОГО ДОВЕРЛИВО:

• Шифрирање at-rest со AES-256 (database-level + storage-level)
• Шифрирање in-transit со TLS 1.3
• Database Activity Monitoring (DAM) — логирање на сите query-а
• Data Loss Prevention (DLP) — превенција од ексфилтрација
• Data masking за тест и развојни околини
• Database firewall — блокирање на SQL injection на DB ниво
• Privileged Access Management за DBA акаунти
• Segregation of duties — DBA ≠ security admin
• Backup шифрирање со посебни клучеви

Data governance:

• Data classification — секој запис да е класифициран
• Data retention политика — минимално потребно време
• Right to erasure — ЗЗЛП compliance
• Data minimization — собирајте само неопходни податоци
• Purpose limitation — користете само за оригиналната намена
• Regular data quality audits

Модерното прехранбено производство користи автоматизација и IoT — ова создава нови ризици.

Критични системи:

Производствена автоматизација:

• PLC контролери за производствени линии
• SCADA за мониторинг на процеси
• Системи за мешање и дозирање (рецептури)
• Пастеризација / стерилизација контроли
• Пакување и етикетирање системи

Квалитет и безбедност на храна:

• HACCP мониторинг системи
• Температурен мониторинг (cold chain)
• Лабораториски информациски системи (LIMS)
• Системи за следливост (batch tracking)
• Алерген менаџмент системи

Критични сценарија:

• Манипулација на рецептури → погрешни состојки/дози
• Промена на температурни параметри → расипување
• Прекин на cold chain мониторинг → безбедносен ризик
• Ransomware на ERP → прекин на производство и дистрибуција
• Манипулација со етикети → погрешни алергенски информации

Безбедносни мерки:

• Сегментација: IT мрежа ↔ DMZ ↔ OT мрежа (производство)
• Read-only пристап за мониторинг од IT кон OT
• Change management за рецептури и параметри (dual approval)
• Integrity monitoring на критични конфигурации
• Backup на сите рецептури и производствени параметри
• Физички safety limits кои не зависат од софтвер