IT bezbednosna politika za male firme: šablon od 10 pravila
Autor: Nemanja Vukmirović, Lizzard Solutions. Poslednje ažuriranje: 12. novembar 2026.
Većina malih firmi ima pravila o bezbednosti. Samo što ona postoje u glavi jedne osobe. Svi znaju da se lozinka za Wi-Fi ne deli, ali niko ne zna ko odobrava administratorski pristup, za koliko vremena se prijavljuje izgubljen laptop i da li sme ugovor sa klijentom da završi u nečijem privatnom Dropboxu.
Ovaj šablon IT bezbednosne politike pretvara ta nepisana pravila u dokument od dve do četiri strane koji će zaposleni zaista pročitati. Ima deset odeljaka sa tekstom spremnim za izmenu, odgovornu osobu za svako pravilo i plan uvođenja koji završavate za nedelju dana.
Ukratko
- IT bezbednosna politika je kratak pisani skup pravila o tome kako firma koristi i štiti uređaje, naloge i podatke.
- Maloj firmi je dovoljno deset odeljaka: obim, uloge, nalozi i lozinke, uređaji, podaci, mejl i plaćanja, rad od kuće, rezervne kopije, incidenti i dolazak/odlazak zaposlenih.
- Politika radi samo ako svako pravilo ima odgovornu osobu, ako je zaposleni potpišu i ako je pregledate jednom godišnje.
Šta je IT bezbednosna politika?
IT bezbednosna politika je pisani dokument koji određuje kako zaposleni koriste i štite uređaje, naloge, mrežu i podatke firme, ko je odgovoran za koje pravilo i šta se dešava kada se pravilo prekrši. Za malu firmu treba da bude kratka, konkretna i proverljiva, a ne prepisan priručnik velike korporacije.
Razlikuje se od ostalih bezbednosnih dokumenata. Politika kaže koja su pravila. Uputstva, kao naš vodič za dvofaktorsku autentifikaciju, objašnjavaju kako se primenjuju. Šablon plana za reagovanje na incidente kaže šta radite kada je nešto već pošlo naopako.
| Dokument | Odgovara na pitanje | Ko ga čita |
|---|---|---|
| IT bezbednosna politika | Koja su pravila? | Ceo tim |
| Procedure i uputstva | Kako da poštujem pravilo? | Ko obavlja taj zadatak |
| Plan za reagovanje na incidente | Šta radimo tokom incidenta? | Vlasnik, IT partner, ključni ljudi |
Ključna poruka
Ako pravilo ne može da se proveri, to još nije pravilo. Napišite „MFA je uključen na svakom poslovnom nalogu“, a ne „koristite jaku zaštitu“.
Uradite danas: zapišite pravila koja ljudi već neformalno poštuju. Ta lista je vaša prva verzija.
Zašto maloj firmi treba pisana bezbednosna politika?
Besplatni vodiči državnih agencija stalno ponavljaju iste osnove: sigurna prijava, ažuriranja, rezervne kopije i zaposleni koji znaju šta da rade. I vodič britanskog NCSC-a za mala preduzeća i CISA Cyber Essentials bezbednost opisuju kao navike celog tima, a ne samo kao tehnologiju. Pisana politika je način da te navike novi zaposleni nauče prvog dana.
Postoje i vrlo praktični razlozi:
- Klijenti to traže. Veći kupci i strani partneri često pošalju upitnik o bezbednosti pre potpisivanja ugovora. Sa politikom odgovarate za nekoliko minuta.
- Lični podaci. Zakon o zaštiti podataka o ličnosti traži odgovarajuće tehničke i organizacione mere zaštite. Pisana pravila su deo toga, više u vodiču ZZPL i vaš sajt.
- Manje rasprava. Kada je pravilo zapisano, pitanje „smem li da radim sa svog laptopa?“ ima isti odgovor bez obzira koga pitate.
- Brži odlazak zaposlenog. Politika već kaže koji se pristupi gase i kada.
Uradite danas: setite se poslednjeg pitanja o bezbednosti koje vam je postavio klijent ili partner. Proverite da li će ga politika pokriti.
Šablon IT bezbednosne politike: 10 odeljaka
Prekopirajte svaki blok u dokument, zamenite delove u uglastim zagradama i obrišite ono što se na vas ne odnosi. Pišite jednostavno. Ako pravilo traži više od tri reda, detalje prebacite u posebno uputstvo.
1. Svrha i obim
Šablon: Svrha i obim
☐ Ova politika važi za sve zaposlene, saradnike i praktikante firme [Naziv firme] koji koriste uređaje, naloge ili podatke firme.
☐ Obuhvata laptopove, telefone, mejl, aplikacije u oblaku, sajt i svaki privatni uređaj koji se koristi za posao.
☐ Verzija [1.0], odobrio/la [vlasnik] dana [datum], sledeći pregled [datum + 12 meseci].
2. Uloge i odgovornosti
Šablon: Uloge
☐ [Vlasnik/direktor] odobrava politiku i svaki izuzetak, pisano.
☐ [IT osoba ili IT partner] upravlja nalozima, uređajima, ažuriranjima i rezervnim kopijama.
☐ Svaki zaposleni poštuje politiku i prijavljuje problem u roku od [1 sata].
3. Nalozi, lozinke i MFA
Šablon: Nalozi
☐ Svako ima svoj nalog. Zajednički nalozi za prijavu nisu dozvoljeni.
☐ Lozinke se čuvaju u firminom menadžeru lozinki i jedinstvene su za svaki servis.
☐ Dvofaktorska autentifikacija je uključena za mejl, skladište u oblaku, e-bankarstvo, SEF, administraciju sajta i društvene mreže.
☐ Administratorska prava imaju samo [navedene uloge], a pregledaju se svaka [3 meseca].
Kako to praktično podesiti, pročitajte u vodiču menadžer lozinki za firme.
4. Uređaji
Šablon: Uređaji
☐ Poslovni uređaji imaju zaključavanje ekrana, šifrovan disk i uključena automatska ažuriranja.
☐ Izgubljen ili ukraden uređaj se odmah prijavljuje [IT osobi], najkasnije istog dana.
☐ Privatni uređaji smeju da pristupaju samo [mejlu/četu] i moraju imati zaključan ekran i ažuran sistem.
☐ Programi se instaliraju samo iz zvaničnih prodavnica ili uz odobrenje [IT osobe].
5. Rukovanje podacima
Šablon: Podaci
☐ Podaci klijenata i lični podaci čuvaju se samo u [odobrenim sistemima, npr. Google Drive / Microsoft 365].
☐ Privatna skladišta, USB memorije i privatni mejl se ne koriste za podatke firme.
☐ Osetljivi fajlovi se dele sa imenovanim osobama, ne preko opcije „svako ko ima link“.
☐ Podaci se čuvaju samo onoliko koliko je potrebno, prema [pravilu o čuvanju].
6. Mejl, fišing i plaćanja
Šablon: Mejl i plaćanja
☐ Ne otvarajte neočekivane priloge i ne prijavljujte se preko linkova iz mejla ili Vibera. Sajt otvorite direktno.
☐ Svaka promena broja računa ili hitan zahtev za plaćanje proverava se pozivom na poznat broj telefona.
☐ Sumnjive poruke se prosleđuju [IT osobi], a zatim brišu.
7. Rad od kuće i Wi-Fi
Šablon: Rad od kuće
☐ Sa javnog Wi-Fi-ja radi se samo preko [VPN-a / hotspota sa telefona].
☐ Kancelarijski Wi-Fi koristi WPA2 ili WPA3 i jaku lozinku. Gosti koriste posebnu mrežu za goste.
☐ Ekran se zaključava kad god se udaljite od uređaja, kod kuće ili u kancelariji.
8. Rezervne kopije
Šablon: Rezervne kopije
☐ Ključni podaci se automatski kopiraju po pravilu 3-2-1.
☐ [IT osoba] najmanje svaka [3 meseca] testira vraćanje podataka i beleži rezultat.
Naš vodič za rezervne kopije po pravilu 3-2-1 objašnjava podešavanje i testiranje.
9. Prijava incidenata
Šablon: Incidenti
☐ Ko god posumnja na upad, virus ili izgubljen uređaj, odmah javlja [IT osobi] na [telefon].
☐ Niko ne snosi krivicu zato što je rano prijavio problem. Pravilo krši samo skrivanje greške.
☐ Incidenti se rešavaju prema firminom planu za reagovanje na incidente.
10. Dolazak i odlazak zaposlenih, izuzeci
Šablon: Promene u timu
☐ Novi zaposleni pročitaju i potpišu politiku pre nego što dobiju pristupe.
☐ Kada neko odlazi, svi pristupi se gase poslednjeg radnog dana, prema kontrolnoj listi za odlazak.
☐ Izuzetke pisano odobrava [vlasnik], uz datum do kada važe.
Lista IT koraci kada zaposleni odlazi navodi svaki nalog koji treba zatvoriti.
Uradite danas: popunite zagrade u odeljcima 1 do 3. Oni već pokrivaju najčešće rizike.
Ko je odgovoran za koje pravilo?
Politika bez odgovornih osoba postaje PDF koji niko ne otvara. Svakom odeljku dodelite jedno ime.
| Odeljak | Odgovorna osoba | Kako se proverava |
|---|---|---|
| Nalozi, lozinke, MFA | IT osoba | Administratorska konzola pokazuje MFA za svakog korisnika |
| Uređaji | IT osoba | Spisak uređaja sa statusom šifrovanja i ažuriranja |
| Rukovanje podacima | Vlasnik/direktor | Podešavanja deljenja se pregledaju svakog kvartala |
| Mejl i plaćanja | Svi; računovodstvo potvrđuje | Promene računa se beleže uz kontrolni poziv |
| Rezervne kopije | IT osoba | Zabeleženi datum i rezultat testa vraćanja |
| Dolazak i odlazak | Vlasnik/direktor | Potpisana politika i zatvoreni nalozi po osobi |
Uradite danas: upišite ime pored svakog reda. Ako u malom timu sve vodi jedna osoba, to je u redu, ali neka bude zapisano.
Kako da uvedete politiku za nedelju dana
- 1. dan: popunite šablon i izbacite ono što vam ne treba.
- 2. dan: proverite da li se tehnika slaže sa tekstom. Ako piše da je MFA uključen, proverite da zaista jeste.
- 3. dan: prođite kroz politiku sa timom na sastanku od 30 minuta. Objasnite razlog iza svakog pravila.
- 4. dan: prikupite potpis ili pisano „pročitao/la sam“ od svake osobe.
- 5. dan: sačuvajte je tamo gde je svi lako nalaze i podesite podsetnik za godišnji pregled.
Česta greška
Prepisivanje korporativne politike od 40 strana. Niko je ne čita i ne možete da dokažete da je poštujete. Počnite kratko, a pravila dodajte tek kada se pojavi stvarna potreba.
Za detaljnije teme, SANS šabloni bezbednosnih politika pokrivaju pojedinačne oblasti kao što su prihvatljivo korišćenje i lozinke, a na stranici NIST-ovog centra za sajber bezbednost malih firmi ima besplatnih vodiča pisanih za male firme (na engleskom). Koristite ih da proširite pojedine odeljke, ne da zamenite ovu kratku verziju.
I vaš sajt je deo bezbednosti. Pokrenite besplatnu proveru bezbednosti sajta da vidite da li HTTPS i bezbednosna zaglavlja odgovaraju onome što politika obećava. Za širu sliku pročitajte naš vodič za sajber bezbednost malih preduzeća.
Uradite danas: zakažite sastanak sa timom od 30 minuta za ovu nedelju.
Šablon IT bezbednosne politike: česta pitanja
Šta treba da sadrži IT bezbednosna politika?
Politika male firme treba da sadrži obim, uloge, pravila za naloge, lozinke i MFA, zaštitu uređaja, rukovanje podacima, proveru mejlova i plaćanja, rad od kuće, rezervne kopije, prijavu incidenata i dolazak i odlazak zaposlenih. Svako pravilo treba da ima odgovornu osobu, način provere i datum godišnjeg pregleda.
Koliko dugačka treba da bude bezbednosna politika male firme?
Za većinu malih firmi dovoljno je dve do četiri strane. Cilj je dokument koji svaki zaposleni pročita i zapamti. Uputstva korak po korak, na primer kako se uključuje MFA ili vraća rezervna kopija, stavite u posebna kratka uputstva i povežite ih iz politike umesto da je produžavate.
Koliko često treba ažurirati IT bezbednosnu politiku?
Pregledajte je najmanje jednom godišnje, ali i posle svakog bezbednosnog incidenta, uvođenja novog važnog sistema kao što je novi mejl servis ili CRM, ili velike promene u načinu rada, na primer prelaska na rad od kuće. Promenite broj verzije i datum da svi znaju koja verzija važi.
Da li zaposleni treba da potpišu bezbednosnu politiku?
To je dobra praksa. Potpis ili pisana potvrda pokazuje da je svaka osoba pročitala pravila, što pomaže kod upitnika klijenata i osiguranja i jasno postavlja očekivanja. Neka novi zaposleni potpišu pre dobijanja pristupa, a ceo tim ponovo posle svake veće izmene.
Napomena: ovaj tekst nije pravni savet. Za obaveze iz propisa koji se odnose baš na vašu firmu konsultujte pravnika.
Želite politiku koja odgovara vašem stvarnom sistemu?
Prilagodićemo šablon vašim alatima, proveriti da li MFA, rezervne kopije i uređaji zaista prate pravila i obučiti tim.
Zakažite besplatne konsultacije