Strah nije analiza: Šta kolumna o berzi u Brčkom ne govori građanima
Piše: Stefan Marjanović, dipl. inž. elektrotehnike, aktivista u oblasti sajber bezbjednosti, Brčko*
Portal Plural objavio je 6. novembra kolumnu „Digitalni Černobil u najavi“, u kojoj se tvrdi da je buduća berza u Brčkom „opasna kocka sa novcem građana“ i da odgovor na pitanje njenog pokretanja, dok država ne dobije operativan tim za sajber incidente, mora biti „trenutno NE“. Kolumna se završava pozivom na široku javnu i stručnu raspravu, i u tome je treba podržati: projekat ovakvog značaja takvu raspravu zaslužuje, a ovaj tekst je upravo doprinos njoj. Ali stručna rasprava počinje od činjenica. Tvrdnja takve težine direktno pogađa povjerenje investitora i javnosti, pa bi morala počivati na provjerljivim podacima i priznatoj metodologiji procjene rizika. Kolumna nema ni jedno ni drugo. Njen zaključak ne proizlazi iz analize konkretnog sistema, nego iz opštih opasnosti koje važe za svaku finansijsku platformu na svijetu, a primjeri na koje se poziva govore protiv njega.
Černobil koji to nije
Černobil je bio katastrofa koja je odnijela živote i raselila stotine hiljada ljudi. Ta riječ ne nosi se olako. Upotrijebiti je za projekat koji još nije ni počeo da radi nije stručno upozorenje, nego zastrašivanje.
Naslov ide i korak dalje i govori o „kocki sa novcem građana“. U samoj kolumni, međutim, nema nijednog podatka da se u berzu ulaže javni novac. Berza je mjesto gdje investitori, preko licenciranih brokera i pod nadzorom regulatora, svojevoljno ulažu sopstveni kapital. Ko to predstavlja kao kockanje novcem građana, plaši ljude za njihov novčanik bez ikakvog osnova u činjenicama.
Takvi naslovi imaju i skrivenu cijenu. Kad se najavljena katastrofa ne desi, ljudi prestanu da vjeruju i onim upozorenjima koja su zaista opravdana. A to je za sajber bezbjednost najveća šteta.
Presuda bez ijednog pitanja
U struci je pravilo jednostavno: rizik se ne procjenjuje nabrajanjem opasnosti, nego provjerom šta se štiti, od koga, gdje su slabosti i koje mjere zaštite postoje. Tek kad se sve to sagleda, zna se koliki je rizik stvarno.
Kolumna nabraja opasnosti, od prevara preko e-pošte do sjevernokorejskih hakera, ali o zaštiti ne kaže ništa. U njoj nema nijednog sagovornika iz projekta. Nema podatka da je iko pitao Komisiju za papire od vrijednosti ili osnivače berze šta planiraju. Nema nijednog izvora osim mišljenja autora.
To nije analiza, nego pretpostavka obučena u stručne izraze.
Milion maraka i jedno pogrešno poređenje
Kolumna poredi osnivački kapital od milion KM sa mogućom štetom od napada i zaključuje da je projekat ranjiv. Zvuči uvjerljivo, ali nema veze sa sigurnošću. Osnivački kapital je zakonski minimum za osnivanje društva. To nije budžet za zaštitu, niti kasa iz koje se pokrivaju gubici klijenata.
To je kao da neko izmjeri koliko je novca uloženo u osnivanje banke i iz toga zaključi koliko su sigurni depoziti u njenom trezoru. Sigurnost se ne mjeri upisanim kapitalom, nego zaštitom, nadzorom i time da je novac klijenata odvojen od novca firme.
Ista pravila, a samo Brčko krivo?
Glavni argument kolumne je da Bosna i Hercegovina nema operativan državni tim za sajber incidente i da zakoni nisu usklađeni sa evropskom direktivom NIS2. To nije nikakva novost, a nije ni pitanje koje je u nadležnosti Brčko distrikta.
U potpuno istom okruženju Sarajevska i Banjalučka berza rade više od dvadeset godina. Banke svakog dana obrađuju milionske promete, isplaćuju plate i penzije i provode digitalna plaćanja cijele zemlje, i to pouzdano, sa kapacitetima koje danas imaju i bez čekanja na državni CERT. Ako bez državnog CERT-a ne smije da radi berza u Brčkom, zašto onda smiju one? Sigurnost finansijskog sistema nikada nije počivala na jednom državnom timu, nego na pravilima koja primjenjuju same institucije, na nadzoru regulatora i na odgovornosti uprave. Argument koji važi samo za Brčko, a ne i za sve ostale, nije stručni argument.
Binance: Lekcija koju kolumna nije pročitala
Kolumna se poziva na napad na Binance krajem oktobra, kada je ukradeno oko 6,3 milijarde dolara, najviše u istoriji. Ali kad se taj slučaj pogleda pažljivo, on ruši njen zaključak.
Kako je napad počeo? Prema pisanju medija, napadači su preko LinkedIna i lažnih razgovora za posao prevarili jednog inženjera. Analitičari napad pripisuju sjevernokorejskoj hakerskoj grupi. Binance, dakle, nije pao zato što u nekoj državi nije postojao CERT. Pao je zato što je jedan čovjek povjerovao pogrešnoj poruci. Zahtjev kolumne da se čeka državni CERT nema nikakve veze sa uzrokom napada kojim se kolumna služi.
Kolumna buduću berzu kritikuje i zato što nema fond za nadoknadu poput Binanceovog. Taj fond od oko milijardu dolara bio je manji od šestine ukradenog. Primjer koji kolumna nudi kao uzor pokazuje upravo suprotno: fond nije zaštita, nego posljednja nada kad zaštita već nije uspjela.
I na kraju, razmjera. Binance je najveća kripto mjenjačnica na svijetu i čuva desetine milijardi dolara tuđe imovine. Prije njega rekordna krađa od oko 1,5 milijardi dolara pogodila je Bybit, i to preko dobavljača softvera. Obje kompanije imale su novac i stručnjake kakve nema nijedna institucija u regionu, i obje su napadnute. Pouka je jasna: sigurnost zavisi od ljudi, kontrole pristupa i dobavljača, a ne od toga da li je država završila svoje zakone. Pri tome niko ne spori da država ovu oblast treba da uredi, ali to je posao nadležnih tijela i njima ga treba prepustiti, a ne pretvarati ga u uslov za jedan projekat.
Papir ne zaustavlja hakere
Kolumna se poziva na evropske propise NIS2 i MiCA kao da su argument protiv berze. Oni su upravo suprotno. NIS2 i MiCA su jasan evropski okvir i pravac kojim idemo svi mi iz struke, a njihova svrha nije da zaustave nove projekte, nego da odrede pravila po kojima rade. Evropska uredba DORA od finansijskih firmi od januara 2025. traži da redovno dokazuju da njihovi sistemi odolijevaju napadima. Međunarodna pravila za finansijsku infrastrukturu traže da se rad nastavi najkasnije dva sata nakon ozbiljnog incidenta.
Ono što kolumna prešućuje jeste da se ti standardi mogu tražiti već danas, kao uslov za rad berze, bez čekanja da se uskladi cijela država. Brčko distrikt pri tome nije na početku. Zakon o informacionoj bezbjednosti je u proceduri, Reformska agenda BiH predviđa konkretne korake i na nivou distrikta, a Komisija za papire od vrijednosti je, prema riječima njenog predsjednika, donijela više od četrdeset podzakonskih akata. Zakoni su važni, ali ni najstroži propisi nisu sačuvali najveće svjetske platforme. Hakere ne zaustavlja papir, nego ljudi, pravila i nadzor.
„Trenutno NE“: uslov na pogrešnoj adresi
Na kraju kolumna kaže „trenutno NE“, sve dok država ne dobije operativan CERT. Ali državni CERT nije u nadležnosti Brčko distrikta. To je posao drugih nivoa vlasti i njihovih institucija, i Brčko ga ne može ni uspostaviti ni ubrzati. Uslovljavati berzu u Brčkom nečim što ne zavisi od Brčkog isto je kao zabraniti nekome da otvori radnju dok se ne izgradi autoput koji ne gradi on.
Ono što zavisi od Brčkog, Brčko radi, od zakona o informacionoj bezbjednosti do pravila za tržište kapitala. Distrikt čini sve što je u njegovoj nadležnosti i kapacitetu, i po tome ga treba mjeriti. Ozbiljno upravljanje rizikom kaže tačno šta mora biti urađeno, ko to provjerava i do kada. Kolumna ne nudi nijedan takav uslov za Brčko. Nudi samo uslov za druge, a to nije procjena rizika, nego zastoj.
A taj zastoj ima svoju cijenu. Investitori ne bježe od rizika, nego od nepredvidivosti. Kad ih dočeka strah umjesto jasnih pravila, odu drugdje, a sa njima odlaze i radna mjesta za mlade stručnjake iz Brčkog. Oni bi na ovim projektima mogli raditi posao svjetskog nivoa kod kuće, a ne u tuđini.
Šta zaista čuva novac investitora
Sigurnost novca investitora ne zavisi od toga hoće li se berza zabraniti, nego od pravila po kojima radi. A ta pravila nisu stvar dobre volje ni lokalnog dogovora. Svaka ozbiljna berza na svijetu, bez obzira na to gdje je registrovana i kakav joj je poslovni model, radi po međunarodnim standardima za finansijsku infrastrukturu i informacionu bezbjednost. Nijedan odgovoran regulator ne izdaje dozvolu bez dokaza da su ti standardi ispunjeni.
Ti standardi nisu tajna. Prije početka rada sistem prolazi nezavisnu provjeru stručnjaka izvana. Novac klijenata čuva se odvojeno od novca firme. Pristup kritičnim funkcijama nikada nije u rukama jedne osobe. Postoji razrađen plan za slučaj napada i za brz nastavak rada. Zaposleni se redovno obučavaju, a dobavljači i softver provjeravaju. To su upravo tačke na kojima su pali Binance i Bybit, i upravo zato ih danas traži svaki ozbiljan nadzor.
Kod ozbiljnih investitora ništa od ovoga nije predmet pregovora, nego se podrazumijeva. Niko ko u projekat ulaže sopstveni kapital i ugled neće pustiti u rad platformu koja ne ispunjava osnovne svjetske zahtjeve, jer bi time prvo ugrozio sebe. Kolumna, međutim, pretpostavlja da će se berza u Brčkom pokrenuti mimo svih tih pravila, a za takvu pretpostavku ne nudi nijedan dokaz.
Brčko zaslužuje argumente, a ne strah
Kolumna ne procjenjuje rizik, nego ga pretpostavlja. Naslov plaši bez osnova, poređenja ne stoje, primjer kojim se služi govori protiv nje, a uslov koji postavlja upućen je na pogrešnu adresu. Takav tekst ne štiti građane, nego ih plaši opasnošću koju nije ni izmjerio.
Svaka berza na svijetu je jednom počela. Nijedna nije počela tako što je neko rekao „ne, dok sve ne bude savršeno“. Investitori ne traže mjesto bez rizika, nego mjesto gdje se rizikom ozbiljno upravlja.
Brčko je na dobrom putu da postane upravo takvo mjesto. Ne čeka da se stvari dese same, nego pravi iskorake. Ima odgovorne ljude, oslanja se na evropske i svjetske standarde i odlučio je da rizicima upravlja znanjem, a ne strahom. Zato zaslužuje ozbiljnu raspravu zasnovanu na činjenicama, a ne naslove koji plaše. Strašiti građane projektom kojem nije pružena ni prilika da pokaže šta može ne čuva njihov novac, nego im oduzima šansu.
*Stavovi izneseni u ovom tekstu lični su stavovi autora i ne odražavaju nužno uređivačku politiku nula49.com
