Nije da nismo znali

Sedamnaestog avgusta u 22.50 sajt Republičkog fonda za zdravstveno osiguranje prestao je da radi, uz poruku o prekidu servisa. Do jutra se vratio, na novoj adresi i sa loše podešenim sertifikatom. Saopštenje je stiglo, objašnjenje nije.

Šta se tačno dogodilo, ne znamo. U toku su odgovor na incident i forenzika, i dok se to ne završi, svaka priča o uzroku je nagađanje. Ovaj tekst se time neće baviti. Baviće se pitanjem koje ne zavisi od ishoda ovog slučaja: zašto se ovakve stvari u državnim sistemima uopšte dešavaju, i zašto se to ponavlja, iznova i iznova. Odgovor na to ne treba da se čeka. Dobrim delom je već napisan, rukom same države.

Dvadeset drugog novembra 2023. Državna revizorska institucija objavila je izveštaj od osamdeset strana o jednom od informacionih sistema pogođene ustanove. Nije reč o tajnom dokumentu ni o curenju podataka — izveštaj stoji na sajtu Institucije, a RTS je o njemu izvestio osmog februara 2024.

Šta kaže izveštaj

Predmet revizije je bio sistem Matične evidencije i ostvarivanja prava, skraćeno MEOP, u Republičkom fondu za zdravstveno osiguranje. To je evidencija o osiguranicima, članovima njihovih porodica, obveznicima doprinosa i pravima iz obaveznog zdravstvenog osiguranja. Kroz tu aplikaciju je, stoji u izveštaju, evidentirano preko osam miliona osiguranika koji ostvaruju ili su ostvarivali svoja prava.

Prvi zaključak revizije glasi da Fond nije u potpunosti uspostavio efektivno IT upravljanje — zbog nedostatka kadrovskih kapaciteta i neprepoznavanja mogućih IT rizika. Uz njega ide i nalaz da IT strategija za period 2022–2024. uopšte ne postoji.

Drugi zaključak je precizniji, i vredi ga preneti onako kako je napisan:

„RFZO nije u potpunosti uspostavio upravljanje informacionom bezbednošću IS MEOP jer nije popunio radna mesta u Sektoru za informacionu bezbednost i zaštitu podataka i ne prati i ne kontroliše dodeljena prava pristupa IS MEOP, što može dovesti do neovlašćenog pristupa podacima osiguranika i ostvarenim pravima u zdravstvenoj zaštiti."

Rečenica „nije popunio radna mesta" zvuči kao trenutna okolnost dok se ne pogleda tabela u telu izveštaja. U Sektoru za informacionu bezbednost i zaštitu podataka sistematizovano je dvanaest radnih mesta. Popunjeno — nijedno. Nema direktora sektora, nema zamenika, pa ni celog Odeljenja za kontinuitet poslovanja sa pripadajućim načelnikom. To odeljenje se, inače, bavi time šta se radi kad je sistem u krizi. Nije, dakle, reč o manjku nego o nuli.

Tu su i ostale brojke. U Sektoru za razvoj i informacione tehnologije u Direkciji u Beogradu sistematizovana su 34 radna mesta, popunjeno 15 — 44 odsto. U 29 filijala sistematizovano je 150 radnih mesta za IT poslove, popunjeno 95. Pokrajinski fond u Novom Sadu nema ni sektor ni odeljenje, pa ni zaposlene u njima. Na dan 28. juna 2023. u Fondu je bilo zaposleno 2.148 ljudi.

Ustanova koja vodi evidenciju o zdravstvenom osiguranju celokupnog stanovništva imala je, dakle, 2.148 zaposlenih i nijednog u sektoru zaduženom za bezbednost tih podataka. Podataka osam miliona ljudi.

Uz to: prava pristupa se redovno dodeljuju, ali se ne prate adekvatno. Posledica je imenovana unapred, u službenom dokumentu.

Preporuci da se Sektor za informacionu bezbednost kadrovski ojača dodeljen je prioritet dva, a u metodologiji Institucije to znači nesvrsishodnost „koju je moguće otkloniti u roku do godinu dana". Prioritet tri, za teže slučajeve, nosi rok od tri godine. Nema ni zavere ni prikrivanja. Sistem je odradio ono što se od njega tražilo: pogledao je, izmerio, zapisao, objavio i dao rok.

Ali to je samo jedan sistem

Revizija je gledala MEOP. Jedan sistem, u jednoj ustanovi. Koliko ih još ima, vidi se iz zabeleženih nabavki Fonda. Tu su sistem za upravljanje dokumentacijom, skladište podataka sa poslovnom analitikom, informacioni sistem dobrovoljnog osiguranja, integracija sa elektronskim bolovanjem, SAP licence, uvođenje sistema za upravljanje IT uslugama. Svaki od njih ima svoj ugovor, svog dobavljača i svoju istoriju. Nijedan od njih nije bio predmet ove revizije.

Ni sam MEOP nije pregledan ceo. Priručnik po kojem se ovakva revizija radi nudi sedam oblasti — IT upravljanje, razvoj i nabavku, IT operacije, saradnju sa pružaocima usluga, planove kontinuiteta, informacionu bezbednost i aplikativne kontrole. Revizor je procenio rizik i odabrao tri. Razvoj i nabavka, IT operacije i aplikativne kontrole nisu otvarani, a ispitivani period se završava sa 31. decembrom 2022.

Ono što danas javno postoji, dakle, nije snimak stanja. To je snimak tri sedmine stanja, star tri godine. O onome što je ostalo izvan fokusa revizor nije rekao ništa.

Digitalizacija kod nas nije novost. Državni sistemi se pišu, nadograđuju i krpe decenijama unazad, kroz smene tehnologija, dobavljača i generacija ljudi. Svaki taj sloj je ostavio trag za sobom.

Nalog koji se teško izvršava

Preporuka je glasila da se radna mesta popune.

U decembru 2013. uvedeno je ograničenje zapošljavanja u javnom sektoru, kao mera fiskalne konsolidacije koja je trebalo da traje dve godine. Mera se od tada neprekidno produžava i trenutno je na snazi do 31. decembra 2026 — ukupno trinaest godina. Po važećoj uredbi, ukupno povećanje broja zaposlenih na neodređeno kod svih korisnika javnih sredstava ne sme da pređe dva odsto u odnosu na stanje od 31. decembra 2023, a o svakom novom zapošljavanju odlučuje komisija Vlade.

Jedan državni organ je, dakle, drugom državnom organu dao rok od godinu dana da uradi nešto što treći državni organ uslovljava kvotom i saglasnošću. Ali i da je saglasnost samo formalna stvar, pitanje je ko bi došao na ta upražnjena mesta.

Radno mesto u državnoj upravi opisano je katalogom koji za svaku poziciju propisuje stručnu spremu i potreban nivo obrazovanja. Za poslove informacione bezbednosti po pravilu to znači fakultetsku diplomu — a dobar deo informatički pismenih je do svog znanja došao mimo fakulteta. Nažalost, sistematizacija ih ne prepoznaje, pa ne mogu ni da konkurišu.

Koliko se nudi onima koji imaju diplomu, ne mora da se nagađa, jer javni konkursi objavljuju ponuđene iznose. Ministarstvo državne uprave i lokalne samouprave raspisalo je ove godine konkurs za radno mesto za informatičke poslove, u zvanju savetnika. Uslov: visoko obrazovanje od najmanje 240 bodova, tj. pune četiri godine fakulteta. Osnovna plata: 82.849,66 dinara neto. Na to ide minuli rad i ostali dodaci, pa konačan iznos bude nešto viši. Ali polazna tačka je ta.

Prosečna neto zarada u Srbiji u maju ove godine bila je 118.398 dinara. S tim u vidu, državni informatičar sa fakultetskom diplomom počinje osetno ispod republičkog proseka — a prosek u samoj IT industriji je daleko veći. Sabrano: država traži čoveka kojeg ne sme da zaposli bez odobrenja, kojeg ne prepoznaje ako nema diplomu, i kojem nudi manje od prosečne zarade.

Nalaz je bio tačan, rok razuman i preporuka neizvodljiva. Nevolja je u tome što to troje u nas mogu da žive zajedno.

Ko onda održava sistem

Ako u ustanovi nema ko, taj posao radi neko sa strane. Tu revizija ima i treći zaključak. Fond, stoji u izveštaju, nije u potpunosti uredio odnos sa pružaocem usluge održavanja sistema MEOP, kao ni mere kojima se obezbeđuje kontinuitet poslovanja ako ta saradnja prestane.

Razloženo, dva su nalaza. Prvi: nije definisano kojim informacijama i sredstvima pružalac usluge sme da pristupi, na koji način i pod čijim nadzorom — iako Uredba o bližem uređenju mera zaštite IKT sistema od posebnog značaja traži da se to uredi sporazumom. Drugi: nisu predviđene mere za slučaj da se saradnja prekine, iako Zakon o informacionoj bezbednosti operatora čini odgovornim i za kontinuitet u vanrednim okolnostima.

Pružalac usluge ne obrađuje podatke o ličnosti, jer se nad bazom vrši pseudonimizacija — i to u izveštaju stoji u korist Fonda.

Ostaje, međutim, začarani krug iz kojeg se teško izlazi. Znanje odlazi tamo gde se lakše prihvata i bolje plaća, ustanova ga posle iznajmljuje po nepovoljnijim uslovima, a pravila pod kojima taj čovek ulazi u sistem nisu adekvatno postavljena. I ne postoji odgovor na pitanje šta se dešava onog dana kada pružalac usluge podigne cenu, promeni vlasnika ili prestane sa radom.

Zašto je lakše kupiti nego zaposliti

Ugovor o održavanju MEOP-a Fond obnavlja kroz godine. Na dan 28. juna 2023. u Sektoru za informacionu bezbednost nije radio niko. Razlika je u propisima. Plata je trajna obaveza budžeta, ulazi u kvotu i traži saglasnost komisije Vlade. Ugovor o održavanju je nabavka — planira se, sprovede i potpiše u redovnom postupku, bez uplitanja komisije. Jedno je prepreka, drugo je procedura.

Da je zapošljavanje otežano stoji i u samom izveštaju: revizor među ograničenjima navodi nedovoljan broj zaposlenih u Sektoru za razvoj i IT i smanjenu mogućnost zapošljavanja novih kadrova. Uredbu koja na to direktno utiče, revizor ne imenuje. Posledica je da ustanova kojoj nedostaje bezbednosni tim ne dobija bezbednosni tim, nego novog dobavljača.

Vrednosti tih ugovora stoje na Portalu javnih nabavki. Za partiju koja pokriva baš Matičnu evidenciju i ostvarivanje prava, Fond je ugovarao ovako: krajem 2020. nešto ispod 19,6 miliona dinara bez PDV-a, početkom 2023. oko 23,6 miliona, početkom 2024. oko 30,7 miliona, a od početka 2025. i u 2026. po 42,996 miliona — odnosno 51,6 miliona sa porezom. Održavanje MEOP-a je, znači, poskupelo za pet godina više od dva puta.

Dvanaest radnih mesta u Sektoru za informacionu bezbednost, po platama iz konkursa Ministarstva državne uprave, koštalo bi Fond oko devetnaest miliona dinara godišnje, sa svim doprinosima. Taj iznos je uzet kao mera — plate koje Fond nudi za ta mesta nisam našao objavljene. Za spoljno održavanje MEOP-a Fond je, dakle, plaćao više nego dvostruko od toga. Prevedeno u ljude, tih 43 miliona godišnje može da plaća od 15 do 28 radnih mesta sa svim doprinosima, zavisno od specijalnosti.

To nisu iste stavke — održavalac piše i popravlja softver, a bezbednosni sektor nadzire njegov rad. Poređenje, dakle, ne kaže da je jedno trebalo umesto drugog. Govori šta je od to dvoje plaćeno.

Na čemu bi ti ljudi radili

Majstor bez alata ne vredi puno. Nema svrhe zaposliti dvanaest ljudi ako nemaju sa čime da rade, a licence za bezbednosne sisteme koštaju koliko i plate. Prigovor je tačan kao pravilo. Samo što u ovom slučaju ne stoji, jer su alati već nabavljeni.

Uzmimo samo jedan od njih, sistem za upravljanje privilegovanim pristupima, poznat kao PAM. U septembru 2025. Fond je produžio serverske licence za PAM rešenje, za 16,85 miliona dinara bez poreza. U oktobru je ugovorio održavanje tog rešenja, za blizu pet miliona. U martu ove godine potpisao je njegovo proširenje, za 83,69 miliona. Sabrano, samo za PAM — 105,49 miliona dinara bez PDV-a, odnosno oko 126,6 miliona sa porezom.

Uz to je početkom marta ugovoreno i unapređenje mrežne bezbednosti kroz arhitekturu nultog poverenja, za dodatnih 49,57 miliona. Sve zajedno, preko 155 miliona dinara na bezbednosne alate za nepunih šest meseci.

Dvanaest praznih radnih mesta, po osnovici iz konkursa MDULS-a, košta oko devetnaest miliona dinara godišnje. Stvarni iznos je viši, jer bezbednosni sektor treba da ima načelnika, direktora, inženjere, savetnike i operatere, ali njihovi koeficijenti u Fondu nisu objavljeni. I sa tom ogradom, ono što je za šest meseci dato na alate dovoljno je da se ceo taj sektor plaća godinama — a on bi, pored PAM-a, radio još štošta.

PAM je alat koji radi tačno ono što je revizor tražio: vodi računa o tome ko ima privilegovan pristup i šta sa njim radi. Na nalaz „ne prati i ne kontroliše dodeljena prava pristupa" odgovoreno je kupovinom sistema koji to prati. Sistem, međutim, ne nadgleda sam sebe. Neko mora da čita šta je zabeleženo, da primeti šta odudara i da reaguje na vreme.

U aplikaciji MEOP aktivno je 1.832 naloga. To nije brojka koja traži armiju — to je brojka koju popunjen bezbednosni sektor prolazi nalog po nalog, vidi se ko šta ima i zašto, oduzme se šta ne treba i to se periodično ponavlja. PAM na takvoj skali ne zamenjuje ljude nego im skraćuje posao.

Revizija je kadrovski deficit zapisala 28. juna 2023, a ove nabavke su iz 2025. i 2026. Da li je sektor u međuvremenu popunjen, nemam podatak — odazivni izveštaj Fonda nisam našao objavljen, a iz iskustva znam da bezbednosni sektori niču tek nakon ozbiljnog incidenta. Ako jeste popunjen, ovaj deo priče ima srećan kraj i to bi vredelo čuti. Koliko je od tih dvanaest mesta popunjeno danas, može da pita svako. Zakon o slobodnom pristupu informacijama od javnog značaja daje to pravo prema svakom organu vlasti, a organ je dužan da odgovori bez odlaganja, najkasnije u roku od petnaest dana.

Šta se zapravo kupuje

Manjak zaposlenih nije jedini razlog zbog kojeg se posao predaje eksternim kućama, a možda ni glavni. Kad se posao radi interno i nešto pođe naopako, krivi se ustanova. Kad ga radi firma po ugovoru, u petlju ulazi i neko drugi — ime, potpis, obaveza. Prenošenje odgovornosti je sasvim razumljiva kupovina, i onda kad se tako ne zove ni u jednom dokumentu.

Odgovornost se, po zakonu, ne prenosi. Operator IKT sistema je odgovoran za svoju bezbednost, bez obzira na to ko je faktički održava. Ugovor može da raspodeli nadležnosti, ali ne i zakonsku obavezu. U ovom slučaju nije preneo ni nadležnosti. Revizija je, podsetimo, utvrdila da nije definisano čemu pružalac usluge sme da pristupi, na koji način i pod čijim nadzorom. Kupljen je, dakle, osećaj da je neko drugi odgovaran — bez dokumenta koji nečiju nadležnost temeljno razrađuje i potvrđuje.

Jedino mesto gde takva kupovina radi su naslovi po tabloidima. Kad krene objašnjavanje ko je za šta kriv, pamti se ime firme koja je „bila dužna da obezbedi, a nije". Ustanova ne može biti kriva, zar ne. Realna krivica dobavljača je što na tu igru često pristaju, samo da bi sa velikima završili posao.

Odgovornost se sa ugovorom ne prenosi. Premešta se samo meta za prozivanje kad kola krenu nizbrdo.

Dobavljač radi ono što piše u ugovoru i ugovor mu ograničava odgovornost. To nije nepoštenje nego način na koji taj posao jedino može da postoji — niko razuman ne preuzima neograničenu odgovornost za kuću koju nije zidao i ne zna sve njene skrivene prostorije. Dok je problem u aplikaciji, popraviće ga. Ali nije zadužen za probleme oko aplikacije, a njih često ima više nego što ustanova želi da prizna.

Kad se ispostavi da koren problema nije u aplikaciji nego u organizaciji — gde je aplikacija izložena, ko kome daje prava, šta je nasleđeno i zašto se stari i novi registri ne slažu — to izlazi iz opsega ugovora. Dobavljaču tada ostaje da predloži rešenje, ponudi aneks ako ume da izađe na kraj sa problemom, ili ode kad istekne ugovor. Postoji i četvrta opcija, da se problem gurne pod tepih i nastavi sa radom. Bilo kako bilo, uzroci ostaju u okruženju i za njih su odgovorni oni unutra, kojima je to posao, i koji će biti tu i kad ugovor sa dobavljačem istekne. Da podsetimo, to su onih dvanaest kojih je 2023. bilo nula.

Šta je ostalo od prve digitalizacije

MEOP nije oduvek radio ovako. Centralizacija sistema izvršena je 2017. godine; do tada je aplikacija stajala na lokalnim serverima po filijalama. Kad je revizor zatražio obrasce kojima se odobrava pristup — OBI-1006 i OBI-1010, zahteve za registraciju, promenu i odjavu korisnika — deo uzorka je bio iz vremena pre centralizacije. Po svemu sudeći, pristupi koji i danas rade odobravani su u starijoj postavci, pre migracije. To je tehnološki dug u najizvornijem obliku. Odluka doneta u jednoj epohi važi i u sledećoj, jer je niko nije preispitao. Sistem se u međuvremenu preselio, promenio oblik i dobio nove korisnike, uz prethodno nasleđene.

Revizor je isti problem video i u budućnosti, pa je devetom preporukom tražio da se plan kontinuiteta proširi na izmene i doradu MEOP-a i na eventualnu migraciju podataka, ako saradnja sa pružaocem usluge prestane. Prioritet dva. Rok godinu dana. Opet, to je trebalo da uradi tada nepostojeća bezbednosna ekipa.

Koliko takvih državnih sistema ima, sam đavo zna. Ali znamo kako nastaju: svaka tehnološka generacija ostavila je po jedan sloj operative koji sledeća nije smela da dira, niti je imala vremena da ga zameni. Ono što se danas zove nasleđeni sistem obično je zbir desetina takvih odluka, od kojih je svaka u svoje vreme bila sasvim razumna. Uvođenje novog rešenja retko kad skida stari sloj, već uklapa još jedan novi. Kupovina reši deo problema, a ostatak — ono što je pogrešno posloženo, nedosledno i nedokumentovano — nastavlja da čeka nekog ko će sesti to da razmrsi. A taj posao se ne isporučuje po ugovoru, jer nema rok i jasan obim.

Po Deloitteovoj studiji o tehnološkom rukovođenju za 2026, tehnološki dug guta od jedne do dve petine ukupne potrošnje za IT. Nijedan budžet, međutim, nema liniju koja se tako zove. Postoji održavanje, postoji licenca, postoji ugovor sa dobavljačem. Kamata na odluke donete pre deset, petnaest ili dvadeset godina, ne postoji.

Kamata se plaća u incidentima

Revizor je, podsetimo, otvorio tri oblasti od sedam. IT operacije nisu bile među njima — a tu žive ranjivosti i zakrpe, i tu se dugovi najbrže nagomilavaju.

U 2025. objavljeno je 48.185 novih ranjivosti, oko sto trideset svakog dana. Od 1999. naovamo skupilo ih se preko tristo osam hiljada. Nijedan tim to ne može fizički da isprati i ta se tema obično prećutkuje. Ali brojka koja sledi je važnija: dokaz da se propust stvarno koristi u sajber napadima postoji za svega dva do tri odsto njih. U katalogu potvrđeno zloupotrebljenih ranjivosti danas živi oko 1.670 stavki. Taj katalog na srpskom vodimo i mi, na crvenapilula.rs/ranjivosti, gde se osvežava na svakih šest sati. Uz ogradu koja tamo piše: to je globalna slika, a ne procena vašeg okruženja.

Od tih potvrđeno zloupotrebljenih propusta, 58 odsto je u trenutku potvrde bilo starije od godinu dana, a 364 starije od pet godina. Napadači se ne oslanjaju samo na ono što je otkriveno juče, nego i strpljivo proveravaju propuste koji postoje odavno, a nisu sanirani na vreme. Kako to izgleda u praksi pokazuje botnet AryStinger, koji je ove godine preko četiri hiljade zastarelih rutera pretvorio u infrastrukturu za sajber napade. I to sa eksploatacijom trinaest godina starog propusta, ali i dalje upotrebljivog, jer ko još ažurira ruter, zaboga. Ne diraj ništa dok ima interneta i lampice trepću.

Šta bi se našlo da je revizor otvorio i IT operacije, ne možemo da znamo, kao ni šta bi bilo da je Pera ranije otišao u policiju.

Tehnološke dugove obično naplaćuju momci sa one strane zakona.

Komšiluk

Četrnaestog jula ove godine napadnut je rumunski katastar. Po izveštaju rumunskog DNSC-a, provaljeno je kroz ranjivu platformu za prijavljivanje, izloženu na internetu; odatle je napadač došao do administratorskih lozinki i centralne infrastrukture. Šifrovao je i obrisao deo virtuelizacije, a vlada tvrdi da baza nije pogođena. Tržište nekretnina, notarski poslovi i sudski postupci su stali sa radom.

Za dvadeset godina digitalizacije, rumunski katastar je potrošio 135 miliona evra. Kod nas bi, imajući u vidu cenu kilometra autoputa, ta suma bila najmanje dupla. Ipak, na bezbednost Rumuni troše tek 0,2 odsto te sume — nekih 305.000 evra. Da nesreća bude veća, njihov CERT je na te ranjivosti, kasnije iskorišćene u napadu, blagovremeno upozoravao.

Mesec dana kasnije Poljska saopštava da su ukradeni medicinski podaci blizu devetnaest miliona njenih građana, sa platforme koju koristi oko dvanaest hiljada zdravstvenih ustanova. Njihovo ministarstvo je objavilo da nema tragova da iza napada stoji druga država, i da je najverovatnije posredi ljudski faktor ili nemar firme koja taj sistem održava. Znači, ni oni ne poznaju razliku između nadležnosti i odgovornosti.

Nismo jedini, ali to je daleko od utehe.

Protuteža i antiteza

Prvo, nije novac jedina promenljiva. Rumunski katastar je potrošio 135 miliona evra i opet pao. Problem nije bio budžet, nego preraspodela — 0,2 odsto je odluka, a ne posledica manjka resursa. Ko tvrdi da bi veći budžet rešio problem, ima ispred sebe sto trideset pet miliona argumenata protiv.

Drugo, ograničenje zapošljavanja nije apsolutna zabrana. Postoji kvota i postoji komisija koja daje saglasnost. Teško jeste, nemoguće nije, a razlika između ta dva je razlika između objašnjenja i izgovora. Znam da će kolege iz državnih organa sad da prevrnu očima, ali tako je.

Treće: tvrdnja „ne stižemo da krpimo" ne stoji u obliku u kojem se obično izgovara. Ne mora se krpiti tristo osam hiljada propusta, nego onih oko 1.670 za koje postoji dokaz da se koriste — a od toga na opremi jedne ustanove sleti dvadesetak. Neka je i sto. To je razlika između nemogućeg posla i planiranog procesa, i za nju ne treba nova sistematizacija nego popis opreme.

Ima tu još za i protiv, ali ova tri najviše smetaju u našoj priči.

Zavrni rukave

Odgovor nije jedan i srebrnog metka nema, ali postoji spisak. Radna mesta ne mogu da se popune ako se ograničavaju i potplaćuju. Kupovina alata ne rešava problem kad ga niko ne gleda. Odgovornost se ne prebacuje, a tehnološki dug ne nestaje preko noći. Na taj način mogu samo da nestanu podaci, kad nas neko namiriše gde smo ranjivi.

Ništa od toga nije nerešivo, samo treba volje pre nego što se incident desi.

Sa tehničke strane, prvo se popiše imovina. Onda se napravi spisak naloga sa povlašćenim pravima, i odgovor na pitanje zašto svaki od njih postoji. Svako jutro se pogleda šta je alat za prethodni dan zabeležio. To je posao od nekoliko nedelja, ne od nekoliko godina, i ne traži svečano otvaranje da se započne. Za mesec dana sistem koji je bio ničiji dobija postupak, vlasnika i datum poslednje provere. Za sve to je potrebna odluka rukovodstva i podrška administratoru da se proces sprovede do kraja.

Jednostavno jeste, lako nije, kao ni skupljanje nagomilanog đubreta po ulicama.

Seli sve u Kragujevac

Državni data centar u Kragujevcu ima dva objekta na četiri hektara i oko četrnaest hiljada kvadrata, sertifikovan je po najvišem Tier 4 standardu i, po rečima samog operatora, prvi je takav u ovom delu Evrope. U njemu stoje podaci državnih organa, ali i komercijalnih korisnika, pa i deo podataka iz švajcarskog CERN-a.

Za bezbednost to rešava niz stvari. Deo standarda i zakonske okvire, struju, hlađenje, fizički pristup, redundansu opreme — a to pojedinačna ustanova ne može ni da sagradi ni da održava, a kamoli da popuni ljudima. Ali selidba u Tier 4 datacentar ne rešava nijedan od nalaza iz ovog teksta. Ne definiše šta pružalac usluge sme da radi, ne prati prava pristupa, ne preispituje tehnološke dugove. Samo bi preselili stari način rada u novu zgradu, sa istim teretom obaveza.

Takođe, centralizacija državnih sistema u jednu tačku, bez obzira na njene performanse, predstavlja koncentrisanje rizika. Što je više servisa na jednom mestu, to je ono važnija meta za neprijatelja. Ako ne za sajber kriminal, onda možda za taktičke bespilotne letelice koje imaju sve veću razornu moć. Na stranici operatora nisam našao opis rezervne lokacije — da li postoji je prvo pitanje koje bih postavio.

Ono što je već rečeno, važi i ovde: po zakonu za bezbednost sistema odgovara njegov operator, bez obzira na to gde se sistem fizički nalazi.

Svetlo na kraju tunela

Ko je dovoljno dugo u ovom poslu, video je i jedno i drugo: ustanove u kojima se problemi uporno ignorišu, i ustanove u kojima se sve rešava u rekordnom roku. Na granici između njih, u demilitarizovanoj zoni kroz koju svi u jednom trenutku moraju da prođu, čeka jedan ozbiljan sajber incident. Nakon susreta sa njim, za tren oka se ispravljaju sve krive Drine, ulaže u rešenja i opremu, sertifikuju timovi i ukazuje dužno poštovanje prema ljudima i profesiji. Reci šta treba, samo da radi. Pre incidenta — vidi šta možeš, samo molim te, bez dodatnih troškova. Izuzeci od ovog pravila su obično institucije od kojih država zavisi, ne one od kojih građani zavise.

Zbog svega toga, ja veliku nadu polažem u veštačku inteligenciju. U Crvenoj Piluli, AI radi posao za dvanaest ljudi koji meni nedostaju. Zadatke koji su donedavno zahtevali timove i neprestani rad — pročitati, ispraviti i napisati novi kod, popisati i pratiti zavisnosti, istraživati i primenjivati, uvesti adekvatne bezbednosne mere, konfigurisati mrežu, dizajnirati, osmišljavati i voditi šest projekata istovremeno — danas može da vodi samo jedan čovek. Prvi put u ovoj priči nešto radi u našu korist, i bila bi šteta da se to propusti. Znanje i istrajnost više nisu problem, ostaje samo promišljeno upravljanje.

Da ne ostane na načelu, evo živog primera. Za ovaj tekst je istraživanje i kostur radila veštačka inteligencija. Ono za šta bi mi inače trebalo deset dana uz sve ostale obaveze — pročitati osamdeset strana revizorskog izveštaja, analizirati tabele, povući ugovore sa Portala javnih nabavki, proveriti navode i uporediti brojke — svelo se na jedan dan. Nisam dobio konačan proizvod, ali sam dobio odličnu osnovu i želju za radom. Ovo drugo je važnije, jer kad vidite svetlo na kraju tunela, nije teško pogurati malo.

Veštačka inteligencija pritom nije stvar izbora. Nije svemoguća, ume da pogreši, i kao svaka tehnologija pre nje, ima i svoju mračnu stranu, tj. ljude koji operišu iz nje. Iste sposobnosti koje meni pomažu istovremeno otvaraju frontove kakvih do juče nije bilo, ali to je tema za neki drugi tekst. Za ovaj je bitno da shvatimo da za stare greške više nema mesta, jer smo, ranjivi i aljkavi, previše laka meta. Drugim rečima, najmanje što možemo da uradimo je da se dovedemo u red, pre nego što stignu zaista veliki problemi. A za to će nam, nasuprot opštem utisku, ipak trebati i ljudi. Sem ako ne želite sve da prepustite mašinama?

Zašto se to dešava

Vratimo se na pitanje sa početka. Ne na ono šta se dogodilo sedamnaestog avgusta — tu još ne znamo detalje i sačekaćemo rezultate — nego na to zašto se u državnim sistemima ovakve stvari uopšte dešavaju. Sem uzroka, posledica i potencijalnih rešenja o kojima smo pričali, postoji i efekat koji se često zaboravi. Veliki sistemi, pa sa tim i velike greške, teže se kriju od malih. Privatna firma od par desetina ili stotina računara će svoju sramotu pokušati da prikrije, dok velika državna organizacija to sebi ne može da priušti. A verujete mi na reč, ni kod malih nije ništa bolja situacija. Čast izuzecima.

I da, ima još jedna stvar. Prestanite da tragate za krivcima. Od predsednika države, preko ministara i rukovodilaca do poslednjeg zaposlenog ili nezaposlenog, od proizvođača, preko dobavljača do uzbunjivača, niko za ovu situaciju nije kriv. Ovi problemi se gomilaju duže od bilo kog ustrojstva i većina je iz domena savladavanja izazova koje savremeno društvo nosi.

Najlakše je uperiti prst u nekog i daj da ga streljamo, ali taj neko ne postoji. Ako iko treba da se strelja, to je taj osećaj u nama koji nam kaže da sve ovo nije naš problem, nije naš domen delovanja i nije naša država, ali da smo kompetentni da o svemu sudimo. Mi smo dobri kad je ratno stanje, i tome sam svedočio u svakom sajber napadu. Kad je mirno, ne setimo se ni lutalicama vodu da iznesemo, dok napolju nebo i zemlja gori. Ima nečeg i do nas.

Dugove možemo da otplatimo samo posvećenim radom. Najbolje alate već imamo.

Izvori

• Izveštaj o reviziji svrsishodnosti: Efektivnost informacionog sistema MEOP u RFZO — Državna revizorska institucija, 22. novembar 2023, 80 strana
• Informacioni sistem MEOP u RFZO — DRI, prilog RTS-a od 8. februara 2024.
• Ograničenje broja zaposlenih u javnom sektoru produženo do kraja 2026. — N1
• Zabrana zapošljavanja: kakvi su efekti Vladine mere uvedene pre 10 godina — Danas
• Katalog radnih mesta — Ministarstvo državne uprave i lokalne samouprave
• Javni konkurs za popunjavanje izvršilačkih radnih mesta — MDULS, sa objavljenom osnovnom platom za radno mesto za informatičke poslove
• Zarade — Republički zavod za statistiku
• Revizori uočili propuste — zašto je sistem RFZO nebezbedan — RTS
• Portal javnih nabavki — registar ugovora, vrednosti navedene u tekstu
• Zakon o slobodnom pristupu informacijama od javnog značaja — član 16, rok od petnaest dana
• Raport DNSC posle napada na ANCPI — go4it, o ulazu preko poznate ranjivosti
• Poland hit by theft of 19 million patients’ data from medical platform — Notes From Poland, 13. avgust 2026.
• Državni data centar u Kragujevcu — Kancelarija za informacione tehnologije i elektronsku upravu
• Registar aktivno zloupotrebljenih ranjivosti — Crvena pilula, po katalogu CISA KEV i EPSS bodovima
• Cost of Technical Debt — Software Improvement Group, sa procenom iz Deloitteove studije za 2026.
• Sopstvena arhiva vesti, po datumima: AryStinger i zastareli ruteri (22. jun), registar potvrđeno zloupotrebljenih ranjivosti (20. jul), obrisan rumunski katastar (21. jul)