To ureja naš IT-izvajalec. Ali res?

Izdaja 05 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za vodstvo slovenskih podjetij in za zunanje IT-izvajalce, ki zanje skrbijo.

Nemški naročnik pošlje vprašanje o postkvantni kriptografiji. Direktor ga posreduje IT-izvajalcu, s katerim podjetje sodeluje že deset let. Čez teden dni pride odgovor: »Požarne pregrade bomo nadgradili prihodnje leto.« Direktor ga pošlje naprej v Nemčijo. Zadeva je zaključena. Ali pa se je šele začela.

V tem članku: Kaj izvajalec ve in česa ne · Štiri vloge, ena odgovornost · Za izvajalce · Primer · Kaj mora vodstvo urediti · Kaj manjka v pogodbi · Matrika RACI brez birokracije · Vprašanje za naročnika · Priloga: matrika RACI

Dober IT-izvajalec pozna vaše omrežje, strežnike in naprave, ki jih vzdržuje. Ve, kateri proizvajalec bo kdaj izdal posodobitev, ki podpira nove postopke. Ve, kako se nastavi VPN.

Ne ve pa, kako dolgo morajo ostati zaupne risbe, ki vam jih pošilja nemški naročnik. Ne ve, da je razvojni studio pred tremi leti napisal povezavo z naročnikovim sistemom, ki podpisuje sporočila s ključem, shranjenim v sami aplikaciji. Ne ve, da vaše računovodstvo vsak mesec s pametno kartico oddaja podatke. In če tega ne ve, tega tudi ne bo omenil, ker ni v njegovi pogodbi.

Izvajalec ni kriv, da tega ne ve. Kriva je predpostavka, da ve.

Odgovornost za odločitev pa ostane pri vodstvu. Evropski načrt za prehod na postkvantno kriptografijo priporoča, da kvantno tveganje postane del upravljanja tveganj na najvišji ravni in da se o njem razpravlja na ravni uprave. Za zavezance po direktivi NIS 2, ki jo v Sloveniji od junija 2025 prenaša ZInfV-1, velja še več: vodstvo mora ukrepe za obvladovanje tveganj odobriti in nadzirati njihovo izvajanje.

Delo lahko predate. Odločitve o tem, kaj je za vaše podjetje sprejemljivo tveganje, ne morete, ker je izvajalec ne more sprejeti namesto vas.

Ta del je namenjen vam, če ste IT-izvajalec in ta članek berete, ker vam ga je poslala stranka.

Postkvantna kriptografija je za vas priložnost in past hkrati. Priložnost, ker vas bodo stranke spraševale za nasvet. Past, ker vas bodo ob prvem incidentu vprašale, zakaj jih niste opozorili. Varuje vas samo eno: da jasno poveste, kje se vaš obseg konča.

• Ko odgovarjate na vprašanje o PQC, napišite, za katere sisteme velja vaš odgovor.
• Naštejte, česa ne pokrivate: lastni razvoj stranke, aplikacije drugih proizvajalcev, storitve v oblaku, povezave, ki jih določa naročnik.
• Povejte, kaj od stranke potrebujete, da bi lahko svetovali: čas zaupnosti podatkov, prioritete, register kriptografskih mest.
• Opozorila dajte pisno. Ne kot obrambo, ampak ker jih bo vodstvo potrebovalo za odločitev.

Izvajalec, ki tako odgovori, ne izgubi posla. Pridobi vlogo svetovalca, ki je stranka sicer ne bi znala naročiti.

Tipičen primer: kovinsko-predelovalno podjetje s 150 zaposlenimi izdeluje zvarjene sklope za nemškega proizvajalca kmetijskih strojev. Pri IT sodelujejo:

• zunanji izvajalec iz bližnjega mesta, ki vzdržuje omrežje, požarne pregrade, strežnike in Microsoft 365;
• domači proizvajalec ERP, ki sistem dobavlja kot standardni izdelek z letnim vzdrževanjem;
• razvojni studio, ki je pred tremi leti izdelal povezavo med ERP in naročnikovim dobaviteljskim portalom: naročila prihajajo kot podpisana sporočila, dobavnice gredo nazaj;
• interni IT z enim sodelavcem, ki skrbi za uporabnike in tiskalnike (predvsem za tiskalnike).

Naročnik vpraša, kako podjetje načrtuje prehod. Izvajalec odgovori za svoj del. Odgovor je pravilen, a o povezavi s portalom ne pove ničesar, ker zanjo ni pristojen. Ko naročnik leto pozneje sporoči, da bo portal začel uporabljati nove podpisne postopke, podjetje ugotovi, da razvojni studio povezave ne vzdržuje več, ker za to ni pogodbe. Izvorna koda je pri studiu. Ključ za podpisovanje je v konfiguracijski datoteki na strežniku.

Nihče ni naredil napake. Samo nihče ni bil odgovoren.

• Določite osebo, ki prehod drži skupaj. Ni nujno, da je strokovnjak za kriptografijo. Mora pa imeti pooblastilo, da sprašuje vse udeležene, in dostop do vodstva.
• Vsako mesto v registru naj ima ime. Register iz izdaje 04 dobi stolpec »kdo izvede spremembo«. Prazna polja so vidna takoj.
• Izvajalca vprašajte tudi za nasvet zunaj njegovega obsega in to plačajte. Njegovo znanje o proizvajalcih je dragoceno, a ni brezplačno.
• Preverite pogodbe z razvijalci. Kdo ima izvorno kodo, kdo sme spreminjati, kdo vzdržuje? Ta vprašanja so pri postkvantni kriptografiji enako pomembna kot pri vsaki drugi spremembi.

Če pogodba z zunanjim izvajalcem opisuje storitve po sistemih (vzdrževanje požarne pregrade, posodabljanje strežnikov, odziv v štirih urah), v njej za prehod na postkvantno kriptografijo manjkajo tri stvari, ki jih je preprosto dodati:

• Vzdrževanje registra za sisteme, ki jih izvajalec upravlja. Vpisi o postopkih, potrdilih, rokih veljavnosti in različicah. Izvajalec jih tako ali tako pozna najbolje.
• Letno poročilo o načrtih proizvajalcev. Za izdelke v njegovem obsegu enkrat na leto zapiše, kateri proizvajalec bo kdaj podprl postkvantne postopke in kaj je že na voljo.
• Dolžnost opozorila zunaj lastnega obsega. Če opazi kriptografsko odvisnost, ki je ne upravlja, na primer povezavo razvojnega studia, ki uporablja potrdilo z njegovega strežnika, to pisno sporoči.

Nobena od teh točk ne prenaša odgovornosti na izvajalca. Vse tri poskrbijo, da vodstvo odloča na podlagi popolnih informacij.

Ko je izvajalec en sam človek. V manjših slovenskih podjetjih IT pogosto vzdržuje samostojni podjetnik, ki ga vsi poznajo in mu zaupajo. To je lahko odlična rešitev, dokler je vse znanje samo v njegovi glavi. Za kriptografijo to pomeni: gesla za požarno pregrado, nastavitve VPN in dostop do strežnika potrdil morajo biti zapisani tudi pri vas, v zaprti ovojnici ali v upravitelju gesel z nadzorovanim dostopom. Ne iz nezaupanja, ampak zato, ker bo prehod trajal dlje, kot bo morda trajalo vaše sodelovanje.

Matrika RACI pokaže, kdo pri vsaki nalogi izvaja (R), kdo odloča in prevzame rezultat (A), koga je treba vprašati (C) in koga obvestiti (I). Ni treba, da je popolna. Mora pa biti iskrena:

1. Naštejte naloge, ne sistemov. Predloga v prilogi ima dvanajst nalog.
2. Za vsako nalogo določite natanko enega A. Dva A pomenita nobenega.
3. Matriko pokažite izvajalcu in razvijalcu. Vsak naj potrdi svoj R.
4. Kar nihče ne potrdi, je odprto. To je vaš seznam za naslednji sestanek vodstva.

„Für welche Teile unserer Verbindung zu Ihnen sind auf Ihrer Seite welche Stellen zuständig: Ihre IT, ein Dienstleister oder der Anbieter Ihres Portals?“

Prevod: Kdo je na vaši strani pristojen za posamezne dele naše povezave z vami: vaš IT, izvajalec ali ponudnik vašega portala?

Zakaj tako? Ker ima tudi naročnik izvajalce in proizvajalce. Ko boste nekoč usklajevali spremembo, morate vedeti, s kom. Vprašanje hkrati pokaže, da ste svojo stran že uredili, in povabi naročnika, da uredi svojo.

Nemška izdaja te teme se obrača na naročnike IT-storitev: „PQC lässt sich nicht einfach an den Dienstleister delegieren“ (v nemščini). Prejšnja izdaja: Kriptografijo uporabljate vsak dan. Ali veste, kje vse?

Predloga za podjetje z internim in zunanjim IT. Razporeditev prikazuje tipično izhodišče, ne priporočila za vsak primer. V nemški izdaji je vsebinsko enaka.

Stolpci: VOD = vodstvo · OO = odgovorna oseba za varnost oziroma PQC · IT = interni IT · IZV = zunanji IT-izvajalec · RAZ = razvijalec po naročilu oziroma integrator · PRO = proizvajalec programske opreme · PAR = partner na drugi strani (naročnik ali dobavitelj)

Kontrolna vprašanja: ima vsaka vrstica natanko en A? So vsi R svoj R potrdili? Ali je kje R pri nekom, s komer nimate pogodbe?

Meja predloge: matrika ne nadomešča pogodb. Pokaže, kje pogodbe manjkajo ali ne ustrezajo.

Vse objavljene izdaje serije: pregled »Postkvantna varnost v dobavni verigi«

Naslednja izdaja (1. 12. 2025): »Naročnik zahteva postkvantno varnost. Kaj ga morate najprej vprašati?«

Viri (stanje 3. 11. 2025): Direktiva (EU) 2022/2555 (NIS 2), 20. in 21. člen; Zakon o informacijski varnosti (ZInfV-1), Uradni list RS, št. 40/2025; NIS Cooperation Group, »A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography«, različica 1.1 (junij 2025), poglavje 6.2.

Če želite matriko izpolniti skupaj z nekom, ki ni del nobene od vlog, nam pišite.