Регулиране на киберсигурността: закони, стандарти и задължения

Алфа ръководство » Juegos » Регулиране на киберсигурността: закони, стандарти и задължения

Регулациите за киберсигурност са се превърнали във основен стълб, за да могат бизнеса, публичните администрации и гражданите да работят с относително спокойствие във все по-агресивна дигитална среда. Атаките с ransomware, масовите нарушения на данните, кражбата на самоличност и саботажът на критична инфраструктура вече не са футуристични сценарии, а по-скоро ежедневни явления за организации от всякакъв мащаб.

В тази ситуация решението не може да се ограничи до инсталиране на антивирусен софтуер и надежда за най-доброто: необходима е стабилна, съгласувана и постоянно развиваща се регулаторна рамка, която да определя ясни задължения, да установява минимални стандарти за сигурност и да насърчава международното сътрудничество. В следващите параграфи ще намерите подробен преглед на испанската и европейската правна рамка, най-важните технически стандарти (ISO, NIST, ENS), задълженията за компаниите и нововъзникващите регулаторни тенденции.

Какво е киберсигурност и какви видове заплахи регулира законът?

Когато говорим за киберсигурност, говорим за защита на системи, мрежи и данни от всякакъв неоторизиран достъп, употреба, модификация или унищожаване. Дефиницията, използвана от Националната инициатива за кариери и изследвания в областта на киберсигурността на САЩ (NICCS), я описва като дейност, процес или способност, чрез която информационните и комуникационните системи и информацията, която те съдържат, се защитават от повреда или експлоатация.

На практика това се изразява в набор от технически, организационни, правни и обучителни мерки , насочени към защита на цифровата информация във взаимосвързана мрежова среда. Киберсигурността попада в обхвата на информационната сигурност, но с много ясен фокус върху рисковете, които възникват конкретно в киберпространството.

В този контекст се появяват свързани понятия, върху които регулирането също се фокусира, като например киберпрестъпления, киберзаплахи и самото киберпространство . Киберпрестъпността обхваща престъпно поведение, извършвано чрез интернет (онлайн измами, системни атаки, изнудване чрез ransomware и др.). Киберзаплахите са възможностите или възможностите за причиняване на вреда с помощта на цифрови средства. А киберпространството се разбира като взаимосвързаната реалност, която се простира отвъд интернет и интегрира мрежи, устройства и системи по целия свят.

Незаконните дейности, които попадат в това понятие, са много разнообразни: от измами в електронната търговия или кражба на идентификационни данни до внедряването на зловреден софтуер в системите на компанията, разпространението на фалшиви новини с цел нараняване на дадено лице, представяне за друга марка или умишлени атаки срещу критична инфраструктура. Следователно, киберсигурността е свързана с различни клонове на правото, като наказателно право, гражданско право, защита на данните и правото на чест и личен живот.

Ключът се крие в онлайн измерението на поведението и неговото въздействие : когато атака е извършена в дигитална среда, скоростта на разпространение, географският обхват и трудността на атрибуцията напълно променят правилата на играта. Това оправдава бързото адаптиране на законодателството, за да обхване ситуации, които дори не са били разглеждани във физическия свят.

Европейската регулаторна рамка за киберсигурност

Европейският съюз е разработил всеобхватна регулаторна рамка за справяне с киберзаплахите , съчетаваща директиви, регламенти и специфични стратегии. Целта е двойна: първо, да се повиши минималното ниво на сигурност във всички държави членки; и второ, да се предотврати превръщането на уязвимостта на една държава във врата за компрометиране на други.

Директивите за NIS и NIS2: сърцевината на киберсигурността в ЕС

Първата важна стъпка в този процес беше Директива 2016/1148, известна като Директивата за МИС , която установи мерки за гарантиране на общо ниво на сигурност за мрежите и информационните системи в целия ЕС. Този регламент изисква от държавите членки да приемат национални стратегии за киберсигурност, да създадат екипи за реагиране при инциденти с компютърната сигурност (CSIRT) и да наблюдават операторите на основни услуги и доставчиците на цифрови услуги.

Директивата за информационна и информационна сигурност (NIS) урежда конкретно задълженията на операторите на основни услуги (като енергетика, транспорт, здравеопазване и банково дело) и някои доставчици на цифрови услуги. Те са длъжни да приемат технически и организационни мерки, пропорционални на риска, да осигурят адекватно ниво на сигурност и своевременно да уведомяват компетентния орган или националния CSIRT за значителни инциденти.

Въпреки това, нарастването на киберпрестъпността и ускоряването на дигитализацията след пандемията демонстрираха необходимостта от по-нататъшни действия. Това доведе до приемането на Директива (ЕС) 2022/2555, известна като NIS2 , която разширява обхванатите сектори, засилва изискванията за управление на риска и значително съкращава сроковете за докладване на инциденти (24 часа за първото уведомление).

NIS2 включва нови задължения за сигурност, установява по-строги надзорни режими и съответни икономически санкции за основни и важни субекти и изрично посочва отговорността на управителните органи, които трябва да участват в управлението на киберсигурността и могат да бъдат санкционирани в случай на груба небрежност.

Регламент на ЕС за киберсигурност и система за сертифициране

Друг ключов стълб е Регламентът на ЕС за киберсигурност от 2019 г. , който засилва мандата на ENISA (Агенцията на Европейския съюз за киберсигурност) и създава европейска рамка за сертифициране на киберсигурността за ИКТ продукти, услуги и процеси.

Благодарение на тази рамка, една компания може да сертифицира продукт или услуга за киберсигурност само веднъж и този сертификат да бъде признат в целия ЕС, което опростява вътрешната търговия и повишава доверието на пазара. Сертифицирането се превръща в печат за качество, който улеснява демонстрирането на съответствие с изискванията за сигурност, изисквани от клиентите и регулаторните органи.

Европейската комисия усъвършенства тази рамка и предложи специфични изменения, като например одобрената през януари 2025 г., които да позволят прилагането на европейски схеми за сертифициране за управлявани услуги за сигурност (реагиране при инциденти, тестове за проникване, одити на сигурността, консултации и др.). Целта е да се засили доверието в услугите, които са критични за предотвратяване, откриване и възстановяване след кибератаки.

Нова роля за ENISA

ENISA се е развила от предимно технически и консултативен орган до орган с постоянен и засилен мандат . Ключовите ѝ функции включват подготовка на основите за схеми за сертифициране, публично отчитане на издадените сертификати, подкрепа на оперативното сътрудничество между държавите членки и действие като отправна точка при големи трансгранични инциденти.

Освен това Комисията предложи ENISA да разработи общ капацитет за управление на уязвимостите в целия ЕС , който да предоставя услуги на заинтересованите страни и да управлява единна точка за докладване на инциденти, както е предвидено в инициативи като „Цифровия омнибус“. Всичко това има за цел да хармонизира управлението на уязвимостите и да подобри координирания отговор на сложни атаки.

GDPR, eIDAS, DORA и други ключови елементи

Наред с NIS2 и Регламента за киберсигурността, други европейски регламенти имат пряко въздействие върху киберсигурността. Общият регламент относно защитата на данните (GDPR) изисква приемането на подходящи технически и организационни мерки за гарантиране на поверителността, целостта и достъпността на личните данни, като санкциите могат да достигнат до 4% от глобалния оборот.

Регламентът eIDAS , от своя страна, установява рамката за електронна идентификация и доверителни услуги (електронни подписи, печати, времеви печати, сертифицирана електронна доставка, удостоверяване на уебсайтове). Чрез определянето на много строги изисквания за сигурност, той се превръща в съществен елемент за гарантиране на доверие в цифровите транзакции както в публичния, така и в частния сектор.

Във финансовия сектор, регламентът DORA (Закон за цифрова оперативна устойчивост) добавя допълнителен слой задължения по отношение на цифровата устойчивост, усъвършенстваното тестване за проникване, управлението на критични ИКТ от трети страни и уведомяването за инциденти, в съответствие с духа на NIS2, но с много специфичен фокус върху финансовите услуги.

Регулиране на киберсигурността в Испания

Испания адаптира законодателството си, за да го приведе в съответствие с европейските изисквания, като същевременно отговаря на собствените си нужди от защита. Ключова отправна точка е Кодексът за киберсигурност, публикуван в Държавен вестник (BOE), който обобщава основните разпоредби, засягащи тази област.

Кралски декрет-закон 12/2018 и последващо развитие

Кралски декрет-закон 12/2018 относно сигурността на мрежите и информационните системи е регламентът, който транспонира първата Директива за МИС в испанското законодателство. Той определя изискванията за сигурност и задълженията за докладване на инциденти за операторите на основни услуги и някои доставчици на цифрови услуги (онлайн пазари, търсачки и услуги за облачни изчисления, които не са микро- или малки предприятия).

Сред най-важните задължения за средните и големите доставчици на цифрови услуги са: съобщаване на дейността им на компетентния орган (Министерството на цифровата трансформация) в рамките на първите три месеца, приемане на подходящи технически и организационни мерки за управление на рисковете за сигурността и уведомяване за значителни инциденти на съответния CSIRT (където е приложимо, INCIBE-CERT).

Тези мерки трябва да вземат предвид сигурността на ИТ инфраструктурата , управлението на инциденти, осигуряването на непрекъснатост на бизнеса, мониторинга и одита, както и спазването на международните стандарти. Въпреки че стандартът не предоставя изчерпателен списък с контроли, той ясно определя областите, които трябва да бъдат обхванати, за да се постигне разумно и пропорционално управление на риска.

Регулаторното развитие е резултат от Кралски указ 43/2021 , който определя допълнителни задължения за операторите на електронни комуникационни мрежи и услуги, засилвайки сигурността и устойчивостта на телекомуникационните инфраструктури, един от най-критичните сектори, изложен на кибератаки.

Защита на данните, надеждни услуги и критична инфраструктура

По отношение на поверителността, испанският Органичен закон за защита на данните и гарантиране на цифровите права (LOPDGDD) допълва и разширява GDPR в Испания, като установява допълнителни гаранции и задължения за използването на лични данни в цифрова среда. Това законодателство изисква от организациите да внедрят надеждни контроли за киберсигурност, за да предотвратят нарушения и изтичане на данни.

В областта на електронната идентификация и доверителните услуги, Закон 6/2020 адаптира испанските разпоредби към Регламента eIDAS, като определя задълженията на доставчиците на доверителни услуги (електронен подпис и печат, заверена доставка, сертификати за удостоверяване и др.) и установява подробна рамка за киберсигурността на тези критични услуги.

От друга страна, Закон 8/2011 за защита на критичната инфраструктура установява правната рамка за защита на системи и активи, които са от съществено значение за обществото, икономиката и националната сигурност. Въпреки че произходът му е по-тясно свързан с физическата защита, законът изрично признава, че много от тези инфраструктури зависят от ИКТ мрежи и системи, като по този начин включва киберсигурността като неразделна част от цялостната защита.

Към всичко това се добавя Общият закон за телекомуникациите от 2022 г., който задължава комуникационните оператори да предприемат мерки за сигурност и да уведомяват властите за съответните инциденти, както и Националната схема за сигурност (ENS) , актуализирана през 2025 г., която установява задължителни принципи, изисквания и нива на сигурност за публичните администрации и техните доставчици на технологии.

Схема за национална сигурност и публични администрации

Националната рамка за сигурност (ENS) на практика е рамката за киберсигурност за публичния сектор в Испания. Тя определя основните принципи (превенция, откриване, реагиране, възстановяване, непрекъснато усъвършенстване) и определя набор от мерки, които трябва да се прилагат в съответствие с нивата на сигурност (ниско, средно, високо), свързани с всяка информационна система.

Тази схема изисква администрациите и доставчиците, които работят с тях, да преминават периодични одити и контроли за сигурност , да поддържат актуализирани политики, да управляват правилно самоличността и достъпа, да прилагат криптиране, когато е уместно, и да записват и анализират активността с цел откриване на инциденти.

NIS2 в Испания: следващата регулаторна вълна

Испания вече работи по Кралски указ, който ще транспонира NIS2 и значително ще разшири броя на секторите и субектите, подлежащи на строги задължения за киберсигурност. В допълнение към вече обхванатите сектори, ще бъдат включени нови области, като например някои производители, пощенски услуги, научни изследвания, доставчици на съвременни ИКТ и други.

Сред най-важните очаквани промени е общо намаляване на сроковете за уведомяване на властите за сериозни инциденти, които в много случаи ще бъдат намалени до 24 часа, и засилване на управленските отговорности и режимите за санкциониране , съобразени с европейските цифри (глоби до 10 милиона евро или процент от глобалния оборот).

Международни технически стандарти и норми за киберсигурност

Отвъд законодателството, организациите разчитат на технически стандарти и международни рамки , които определят кои контроли, процеси и най-добри практики да се внедрят. Тези стандарти не само помагат за осигуряване на съответствие с регулаторните изисквания, но и демонстрират дължимата грижа към клиенти, партньори и власти.

Семейство ISO/IEC 27000 и ISO информационна сигурност

Семейството стандарти ISO/IEC 27000 е де факто стандартът в управлението на информационната сигурност . В основата му е ISO/IEC 27001, който определя изискванията за внедряване на система за управление на информационната сигурност (СУИС), базирана на цикъла на непрекъснато усъвършенстване: анализ на рисковете, дефиниране на контроли, внедряването им, прегледът им и подобряването им.

Стандартът е базиран на ISO/IEC 27002, който предоставя изчерпателни насоки относно организационните, техническите и физическите контроли (политики, контрол на достъпа, криптиране, физическа сигурност, сигурни операции, управление на инциденти и др.). Свързаните стандарти включват ISO/IEC 27005 (управление на риска), ISO/IEC 27032 (киберсигурност в тесен смисъл) и ISO/IEC 27701 (поверителност).

В много сектори, сертифицирането по ISO 27001 се е превърнало в почти задължително условие за влизане, тъй като значително намалява вероятността от сериозни инциденти , улеснява одитите за съответствие (GDPR, NIS2, ENS) и подобрява имиджа на организацията сред клиентите и инвеститорите.

ISO/IEC 27032: Киберсигурност в киберпространството

Докато ISO 27001 се фокусира върху цялостното управление на информационната сигурност, ISO/IEC 27032 се фокусира конкретно върху киберсигурността, разбирана като защита на киберпространството, където взаимодействат потребители, системи, мрежи и свързаност , социални мрежи, мобилни устройства и критична инфраструктура.

Този стандарт предоставя насоки за борба със заплахи като усъвършенстван зловреден софтуер, шпионски софтуер, фишинг и социално инженерство , укрепване на сигурността на мрежите и онлайн услугите, насърчаване на сътрудничеството между правителства, бизнеси и потребители и установяване на рамки за споделяне на информация за инциденти и уязвимости.

Внедряването му е особено полезно за организации, които разчитат на облачни услуги, онлайн платформи и екосистеми за сътрудничество, тъй като им предоставя структуриран поглед върху заплахите във взаимосвързани среди и приоритетните контроли, които трябва да адресират.

ISO/IEC 27701: Поверителност и защита на данните

ISO /IEC 27701 разширява ISMS на ISO 27001, за да обхване управлението на поверителността на личните данни. Той определя допълнителни роли, отговорности и контроли както за администраторите, така и за обработващите данни и е тясно съгласуван с изискванията на GDPR.

Чрез прилагането на този стандарт, организацията може ясно да демонстрира, че е интегрирала поверителността в своя модел на управление , управлява специфични рискове, свързани с личните данни, и е формализирала процеси за справяне с правата на субектите на данни, управление на нарушенията и ограничаване на международните трансфери на данни.

ISO 22301: Непрекъснатост на бизнеса

Киберсигурността не се измерва само със способността да се издържи на атака, но и със скоростта, с която организацията може да се възстанови и да продължи да работи . Тук влиза в действие ISO 22301, фокусиран върху управлението на непрекъснатостта на бизнеса.

Този стандарт изисква оценки на въздействието върху бизнеса (BIA), установяване на стратегии за непрекъснатост, документирани планове за възстановяване, редовно тестване и поддържане на механизми за комуникация и координация по време на кризи. Киберинцидент без план за непрекъснатост може да парализира компанията за седмици и да генерира загуби в милиони.

NIST рамка за киберсигурност

В Съединените щати, Рамката за киберсигурност на NIST се е превърнала в еталон, който е възприет и от европейски организации. Тя е структурирана около пет ключови функции: идентифициране, защита, откриване, реагиране и възстановяване.

Този подход позволява на компаниите да оценят своята зрялост във всяка функция , да приоритизират инвестициите и да разработят балансирана програма за киберсигурност. Той е особено полезен за допълване на изискванията на стандартите NIS2 или ISO, тъй като осигурява общ език и много ясна концептуална рамка.

Схема за национална сигурност (ENS) и сертификати в Испания

В испанския контекст, Схемата за национална сигурност (ENS) действа като локален и задължителен превод на много принципи на международните стандарти , особено за публичния сектор. Организациите, които предоставят услуги на правителството, често са задължени да се придържат към тази схема, което на практика ги подтиква да приемат модели, подобни на ISO 27001 и 27002.

Наред с Националната схема за сигурност (ENS), нараства и приемането на сертификати като ISO 27001 и NIST . Испания се нарежда сред водещите страни в Европа по брой сертифицирани организации, а проучванията показват, че сертифицираните компании намаляват сериозните инциденти и подобряват капацитета си за реагиране на атаки.

Задължения за киберсигурност и най-добри практики за компаниите

Отвъд буквата на закона, всяка организация, която обработва чувствителна информация или предоставя цифрови услуги, трябва да признае киберсигурността като стратегическа отговорност . Дори когато дадена компания попада извън строгия обхват на NIS2 или Кралски декрет-закон 12/2018, властите препоръчват прилагането на надежден план за сигурност.

Анализ на риска и първоначален одит

Първата разумна стъпка е да се проведе анализ на риска, който идентифицира критични активи (данни, системи, процеси), технически и организационни уязвимости, най-вероятните заплахи (рансъмуер, фишинг, DDoS, вътрешни течове) и потенциалното въздействие на всеки сценарий.

Успоредно с това, одитът на киберсигурността позволява оценка на текущото ниво на зрялост: съществуващи политики, технически конфигурации, нива на инсталиране на корекции, обучение на персонала, зависимост от трети страни и др. Този цялостен преглед позволява разработването на реалистичен план за действие, като се приоритизират мерките с най-голяма възвръщаемост на инвестициите в намаляване на риска.

Дефиниране на вътрешни политики и процедури

След като рискът бъде разбран, е време решенията да се превърнат в ясни вътрешни политики и оперативни процедури . Това включва определяне на това кои приложения са разрешени, как се управляват потребителските акаунти, какви изисквания за пароли се прилагат, как се използват личните устройства (BYOD), какво се прави с външни носители за съхранение, как се извършват и тестват резервни копия и т.н.

Също така е важно да се установят процедури за управление на инциденти (кой какво прави, кога да се уведоми, до кого да се ескалира), правила за използване на корпоративни комуникационни медии (имейл, инструменти за сътрудничество), правила за физически достъп до съоръженията и критерии за сигурност, които да се изискват от доставчиците на облачни или хостинг услуги.

Автоматизация и технологични инструменти

Сами по себе си политиките са безсмислени без технологичните инструменти, които улесняват тяхното прилагане . Ключовите компоненти включват системи за откриване и предотвратяване на прониквания (IDS/IPS), решения за управление на самоличността и достъпа (IAM), платформи за корелация на информация за сигурност и събития (SIEM) и решения за криптиране на данни за данни в покой и в пренос.

Автоматизацията е жизненоважна и за управлението на жизнения цикъл на цифровите сертификати , чиито лошо управлявани срокове на валидност причиняват повече инциденти, отколкото изглежда: прекъсвания на услугите, неуспехи при удостоверяване или дори нарушения на сигурността, ако компрометираните сертификати не бъдат отменени навреме.

Управление на цифрови сертификати и подписване на код

Цифровите сертификати на сървъра и потребителя (DV, OV, EV) са от съществено значение за гарантиране на автентичността на уебсайта, поверителността на комуникациите и целостта на обменяните данни. Организациите трябва да гарантират, че избират подходящия тип сертификат, централизират управлението му, получават известия за изтичане и автоматизират подновяванията, когато е възможно.

Успоредно с това, за компаниите, които разработват софтуер или разпространяват приложения, цифровото подписване на код е основен контрол: то гарантира, че кодът не е бил подправен от пускането му и предотвратява инсталирането от потребителите на изпълними файлове, променени със зловреден софтуер. Сертификатите за подписване на код, особено тези с разширена валидация (EV), отговарят на стандартите за доверие, изисквани от операционните системи и браузърите.

Сигурност на имейлите и обучение на персонала

Имейлът остава предпочитаният вектор за атакуващите: фишинг кампаниите и разпространяваният по имейл зловреден софтуер са причина за по-голямата част от инцидентите . За да се намали този риск, е необходимо да се внедрят протоколи като SPF, DKIM и DMARC, да се използва криптиране и цифрови подписи в чувствителни имейли, да се внедрят усъвършенствани решения за филтриране и да се използват защитени разширения за браузър.

Въпреки това, технологиите сами по себе си са недостатъчни без непрекъснато обучение и повишаване на осведомеността . Опитът показва, че над 80% от инцидентите имат човешки компонент: неоторизирани кликвания, споделени идентификационни данни, слаби пароли, небрежно използване на лични устройства и т.н. Интегрирането на киберсигурността в корпоративната култура е също толкова важно, колкото и инсталирането на добра защитна стена.

Ролята на международните организации в регулирането на киберсигурността

Киберсигурността по дефиниция е трансграничен проблем и затова организации като ООН, НАТО, Г-7 или Г-20 са поели съответна роля в разработването на принципи, препоръки и рамки за сътрудничество, които пряко влияят на испанското и европейското законодателство.

Съветът на Европа насърчи Будапещенската конвенция за киберпрестъпленията , която остава еталонният международен договор за наказателно преследване на киберпрестъпления. Испания е привела своя Наказателен кодекс и процедури за съдебно сътрудничество в съответствие с тази конвенция, улеснявайки разследването и наказателното преследване на престъпления, които преминават граници.

Успоредно с това, форуми като Г-7 и Г-20 поеха политически ангажименти относно защитата на критичната инфраструктура, борбата с киберпрестъпността, управлението на интернет и защитата на данните . Тези насоки влияят върху изготвянето на национални стратегии за киберсигурност и правни реформи, които укрепват устойчивостта на финансовата система, енергийния сектор и електронното управление.

НАТО, от своя страна, включи киберпространството като друга оперативна област на колективната отбрана . Участието на Испания в учения като „Заключени щитове“ и „Кибер коалиция“ допринася за подобряване на способностите за кибер отбрана, адаптиране на националното законодателство и засилване на сътрудничеството със съюзниците в случай на мащабни кибератаки.

И накрая, ООН, чрез Международния съюз по телекомуникации (ITU) и други организации, насърчава глобални стандарти, технически препоръки и програми за обучение , които помагат на страните да разработят съгласувани регулаторни рамки, да защитават правата на човека в киберпространството и да се координират по-добре срещу общи киберзаплахи.

Цялата тази международна рамка оказва силен натиск върху Испания и останалите държави от ЕС да поддържат своите правни рамки актуализирани и съобразени със световните стандарти , както по отношение на превенцията, така и по отношение на реагирането на инциденти.

Като цяло, регулирането на киберсигурността се е превърнало в един вид регулаторен щит, който се развива със същата трескава скорост като заплахите: европейски директиви като NIS2, регламенти като GDPR, DORA или eIDAS, национални закони, схеми за обществена сигурност, ISO стандарти и NIST рамки се вписват като парчета от пъзел, който принуждава организациите да приемат управлението на дигиталните рискове много сериозно, да професионализират програмите си за сигурност и да приемат, че киберустойчивостта вече не е допълнително, а съществено условие за продължаване на конкуренцията и работа с гаранции в днешната икономика.