Kyberturvallisuussääntely: lait, standardit ja velvoitteet

Alfa-opas » Pelit » Kyberturvallisuussääntely: lait, standardit ja velvoitteet

Kyberturvallisuussäännöksistä on tullut perustavanlaatuinen tukipilari yrityksille , julkishallinnoille ja kansalaisille, jotta he voivat toimia suhteellisen mielenrauhalla yhä aggressiivisemmassa digitaalisessa ympäristössä. Kiristysohjelmahyökkäykset, massiiviset tietomurrot, identiteettivarkaudet ja kriittisen infrastruktuurin sabotaasi eivät ole enää futuristisia skenaarioita, vaan pikemminkin arkipäivää kaikenkokoisille organisaatioille.

Tässä tilanteessa ratkaisua ei voida rajoittaa virustorjuntaohjelmiston asentamiseen ja parhaan toivomiseen: tarvitaan vankka, johdonmukainen ja jatkuvasti kehittyvä sääntelykehys, jolla määritellään selkeät velvoitteet, vahvistetaan vähimmäisturvallisuusstandardit ja edistetään kansainvälistä yhteistyötä. Seuraavista kappaleista löydät kattavan yleiskatsauksen Espanjan ja eurooppalaisesta lainsäädäntökehyksestä, tärkeimmistä teknisistä standardeista (ISO, NIST, ENS), yritysten velvoitteista ja nousevista sääntelytrendeistä.

Mitä on kyberturvallisuus ja minkä tyyppisiä uhkia laki säätelee?

Kun puhumme kyberturvallisuudesta, tarkoitamme järjestelmien, verkkojen ja datan suojaamista luvattomalta käytöltä, muokkaamiselta tai tuhoamiselta. Yhdysvaltain kansallisen kyberturvallisuusalan ura- ja opiskelualoitteen (NICCS) käyttämä määritelmä kuvaa sitä toimintana, prosessina tai ominaisuutena, jolla tieto- ja viestintäjärjestelmiä ja niiden sisältämiä tietoja suojataan vahingoittumiselta tai hyväksikäytöltä.

Käytännössä tämä tarkoittaa joukkoa teknisiä, organisatorisia, oikeudellisia ja koulutustoimenpiteitä , joiden tarkoituksena on suojata digitaalista tietoa yhteenliitetyssä verkkoympäristössä. Kyberturvallisuus kuuluu tietoturvallisuuden piiriin, mutta siinä keskitytään selkeästi erityisesti kyberavaruudessa syntyviin riskeihin.

Tässä yhteydessä esiin nousee samankaltaisia ​​käsitteitä, joihin sääntely myös keskittyy, kuten kyberrikollisuus, kyberuhat ja itse kyberavaruus . Kyberrikollisuus kattaa internetin kautta tehdyn rikollisen toiminnan (verkkopetokset, järjestelmähyökkäykset, kiristysohjelmilla tehtävät kiristystoimet jne.). Kyberuhat ovat mahdollisuuksia tai tilaisuuksia aiheuttaa vahinkoa digitaalisten keinojen avulla. Ja kyberavaruudella tarkoitetaan sitä toisiinsa yhteydessä olevaa todellisuutta, joka ulottuu internetin ulkopuolelle ja yhdistää verkkoja, laitteita ja järjestelmiä maailmanlaajuisesti.

Tämän sateenvarjon alle kuuluvat laittomat toimet ovat hyvin vaihtelevia: verkkokauppapetoksista tai tunnistetietojen varastamisesta haittaohjelmien asentamiseen yritysten järjestelmiin, valeuutisten levittämiseen yksilön vahingoittamiseksi, brändin henkilöllisyyden anastamiseen tai tahallisiin hyökkäyksiin kriittistä infrastruktuuria vastaan. Siksi kyberturvallisuus liittyy useisiin oikeudenaloihin, kuten rikosoikeuteen, siviilioikeuteen, tietosuojaan sekä kunnian ja yksityisyyden suojaan.

Avain piilee käyttäytymisen verkkoulottuvuudessa ja sen vaikutuksessa : kun hyökkäys tehdään digitaalisessa ympäristössä, sen leviämisnopeus, maantieteellinen ulottuvuus ja syyllisen osoittamisen vaikeus muuttavat täysin pelin säännöt. Tämä oikeuttaa lainsäädännön nopean mukauttamisen kattamaan tilanteita, joita ei fyysisessä maailmassa ole edes otettu huomioon.

Eurooppalainen kyberturvallisuuden sääntelykehys

Euroopan unioni on kehittänyt kattavan sääntelykehyksen kyberuhkien torjumiseksi yhdistämällä direktiivejä, asetuksia ja erityisiä strategioita. Tavoite on kaksitahoinen: ensinnäkin nostaa vähimmäisturvallisuustasoa kaikissa jäsenvaltioissa ja toiseksi estää yhden maan haavoittuvuuden muuttuminen portiksi muiden maiden vaarantamiseen.

NIS- ja NIS2-direktiivit: EU:n kyberturvallisuuden ydin

Ensimmäinen merkittävä askel tässä prosessissa oli direktiivi 2016/1148, joka tunnetaan nimellä NIS-direktiivi ja jossa vahvistettiin toimenpiteet verkkojen ja tietojärjestelmien yhteisen turvallisuustason varmistamiseksi kaikkialla EU:ssa. Asetuksessa edellytetään, että jäsenvaltiot hyväksyvät kansalliset kyberturvallisuusstrategiat, perustavat tietoturvahäiriöihin reagoivia ryhmiä (CSIRT) ja valvovat keskeisten palvelujen tarjoajia ja digitaalisten palvelujen tarjoajia.

Verkko- ja tietoturvadirektiivi sääntelee erityisesti keskeisten palvelujen (kuten energia-, liikenne-, terveydenhuolto- ja pankkipalvelut) tarjoajien ja tiettyjen digitaalisten palveluntarjoajien velvoitteita. Niiden on toteutettava riskiin nähden oikeasuhteisia teknisiä ja organisatorisia toimenpiteitä, varmistettava riittävä turvallisuustaso ja ilmoitettava merkittävistä poikkeamista viipymättä toimivaltaiselle viranomaiselle tai kansalliselle CSIRT-ryhmälle.

Pandemian jälkeinen kyberrikollisuuden lisääntyminen ja digitalisaation kiihtyminen osoittivat kuitenkin tarpeen mennä pidemmälle. Tämä johti direktiivin (EU) 2022/2555 eli NIS2:n hyväksymiseen . Se laajentaa katettuja toimialoja, tiukentaa riskienhallintavaatimuksia ja lyhentää merkittävästi poikkeamien raportoinnin määräaikoja (ensimmäinen ilmoitus 24 tuntia).

NIS2 sisältää uusia turvallisuusvelvoitteita, vahvistaa tiukemmat valvontajärjestelmät ja asiaankuuluvat taloudelliset seuraamukset olennaisille ja tärkeille toimijoille sekä viittaa nimenomaisesti johtoelinten vastuuseen, joiden on osallistuttava kyberturvallisuuden hallintaan ja joille voidaan määrätä seuraamuksia törkeän huolimattomuuden tapauksessa.

EU:n kyberturvallisuusasetus ja sertifiointijärjestelmä

Toinen keskeinen pilari on vuoden 2019 EU:n kyberturvallisuusasetus , joka vahvistaa ENISAn (Euroopan unionin kyberturvallisuusvirasto) toimeksiantoa ja luo eurooppalaisen kyberturvallisuuden sertifiointikehyksen tieto- ja viestintätekniikan tuotteille, palveluille ja prosesseille.

Tämän viitekehyksen ansiosta yritys voi sertifioida kyberturvallisuustuotteen tai -palvelun vain kerran ja saada sertifikaatin tunnustetuksi kaikkialla EU:ssa, mikä yksinkertaistaa sisäistä kauppaa ja lisää markkinoiden luottamusta. Sertifioinnista tulee laatutakuu, joka helpottaa asiakkaiden ja sääntelyviranomaisten vaatimien turvallisuusvaatimusten noudattamisen osoittamista.

Euroopan komissio on hionut tätä kehystä ja on ehdottanut erityisiä muutoksia, kuten tammikuussa 2025 hyväksyttyä muutosta, joka mahdollistaa eurooppalaisten sertifiointijärjestelmien soveltamisen hallinnoituihin tietoturvapalveluihin (tietoturvaongelmiin reagointi, penetraatiotestaus, tietoturvatarkastukset, konsultointi jne.). Tavoitteena on vahvistaa luottamusta palveluihin, jotka ovat kriittisiä kyberhyökkäysten ehkäisemisessä, havaitsemisessa ja niistä toipumisessa.

ENISAn uusi rooli

ENISA on kehittynyt ensisijaisesti teknisestä ja neuvoa-antavasta elimestä pysyväksi ja vahvistetummaksi elimeksi . Sen keskeisiin tehtäviin kuuluvat sertifiointijärjestelmien pohjatyön valmistelu, myönnetyistä sertifikaateista raportointi julkisesti, jäsenvaltioiden välisen operatiivisen yhteistyön tukeminen ja toimiminen viitepisteenä merkittävissä rajat ylittävissä häiriötilanteissa.

Lisäksi komissio on ehdottanut, että ENISA kehittää yhteisen EU:n laajuisen haavoittuvuuksien hallintavalmiuden , joka tarjoaa palveluja sidosryhmille ja ylläpitää keskitettyä yhteyspistettä tietoturvaloukkausten raportointiin, kuten esimerkiksi Digital Omnibus -aloitteissa on suunniteltu. Kaiken tämän tavoitteena on yhdenmukaistaa haavoittuvuuksien hallintaa ja parantaa koordinoitua reagointia monimutkaisiin hyökkäyksiin.

GDPR, eIDAS, DORA ja muut keskeiset elementit

NIS2:n ja kyberturvallisuusasetuksen ohella muillakin eurooppalaisilla säädöksillä on suora vaikutus kyberturvallisuuteen. Yleinen tietosuoja-asetus (GDPR) edellyttää asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttamista henkilötietojen luottamuksellisuuden, eheyden ja saatavuuden takaamiseksi, ja seuraamukset voivat olla jopa 4 % maailmanlaajuisesta liikevaihdosta.

eIDAS-asetus puolestaan ​​luo sähköisen tunnistamisen ja luottamuspalvelujen (sähköiset allekirjoitukset, leimat, aikaleimat, varmennettu sähköinen toimitus, verkkosivustojen todennus) puitteet. Asettamalla erittäin tiukat turvallisuusvaatimukset siitä tulee olennainen osa digitaalisten transaktioiden luottamuksen varmistamista sekä julkisella että yksityisellä sektorilla.

Finanssialalla DORA-asetus (Digital Operational Resilience Act) lisää digitaaliseen resilienssiin, edistyneeseen penetraatiotestaukseen, kriittisen kolmannen osapuolen ICT-hallintaan ja poikkeamailmoittamiseen liittyviä velvoitteita NIS2-hengen mukaisesti, mutta keskittyen erityisesti finanssipalveluihin.

Kyberturvallisuussääntely Espanjassa

Espanja on mukauttanut lainsäädäntöään eurooppalaisten vaatimusten mukaiseksi ja samalla vastannut omiin suojaustarpeisiinsa. Keskeinen viitekohta on virallisessa lehdessä (BOE) julkaistu kyberturvallisuuslaki , joka kokoaa yhteen tähän alaan vaikuttavat tärkeimmät säännökset.

Kuninkaallinen asetus 12/2018 ja sitä seuraava kehitys

Kuninkaallinen asetus 12/2018 verkkojen ja tietojärjestelmien turvallisuudesta on asetus, jolla ensimmäinen verkko- ja tietoturvadirektiivi saatetaan osaksi Espanjan lainsäädäntöä. Siinä määritellään keskeisten palvelujen tarjoajien ja tiettyjen digitaalisten palveluntarjoajien (verkkomarkkinapaikat, hakukoneet ja pilvipalvelut, jotka eivät ole mikro- tai pienyrityksiä) turvallisuusvaatimukset ja tietoturvaloukkausilmoitusvelvollisuudet.

Keskisuurten ja suurten digitaalisten palveluntarjoajien olennaisimpia velvoitteita ovat: toiminnastaan ​​tiedottaminen toimivaltaiselle viranomaiselle (digitaalisen muutoksen ministeriö) kolmen ensimmäisen kuukauden aikana, asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttaminen turvallisuusriskien hallitsemiseksi ja merkittävien tapahtumien ilmoittaminen vastaavalle CSIRT-ryhmälle (tarvittaessa INCIBE-CERT).

Näissä toimenpiteissä on otettava huomioon IT-infrastruktuurin turvallisuus , tapausten hallinta, liiketoiminnan jatkuvuus, valvonta ja auditointi sekä kansainvälisten standardien noudattaminen. Vaikka standardi ei tarjoa tyhjentävää luetteloa kontrolleista, se määrittelee selvästi alueet, jotka on katettava kohtuullisen ja oikeasuhteisen riskienhallinnan saavuttamiseksi.

Sääntelyn kehitys on lähtöisin kuninkaan asetuksesta 43/2021 , jossa määritellään sähköisten viestintäverkkojen ja -palvelujen operaattoreille lisävelvoitteita ja vahvistetaan televiestintäinfrastruktuurien turvallisuutta ja sietokykyä, sillä ne ovat yksi kriittisimmistä aloista ja alttiimpia kyberhyökkäyksille.

Tietosuoja, luotettavat palvelut ja kriittinen infrastruktuuri

Yksityisyyden suojan osalta Espanjan tietosuojaa ja digitaalisten oikeuksien takaamista koskeva orgaaninen laki (LOPDGDD) täydentää ja laajentaa GDPR:ää Espanjassa luomalla lisäsuojatoimia ja -velvoitteita henkilötietojen käytölle digitaalisissa ympäristöissä. Tämä lainsäädäntö edellyttää organisaatioilta vankkojen kyberturvallisuustoimenpiteiden toteuttamista tietomurtojen ja -vuotojen estämiseksi.

Sähköisen tunnistamisen ja luottamuspalvelujen alalla laki 6/2020 mukauttaa Espanjan säädöksiä eIDAS-asetukseen määrittelemällä luottamuspalvelujen tarjoajien (sähköinen allekirjoitus ja leima, varmennettu toimitus, todennustodistukset jne.) velvoitteet ja luomalla yksityiskohtaisen kehyksen näiden kriittisten palvelujen kyberturvallisuudelle.

Toisaalta laki 8/2011 kriittisen infrastruktuurin suojelusta luo oikeudellisen kehyksen yhteiskunnan, talouden ja kansallisen turvallisuuden kannalta olennaisten järjestelmien ja omaisuuden suojaamiselle. Vaikka sen alkuperä liittyy läheisemmin fyysiseen suojeluun, laissa tunnustetaan nimenomaisesti, että monet näistä infrastruktuureista ovat riippuvaisia ​​​​tieto- ja viestintätekniikkaverkoista ja -järjestelmistä, jolloin kyberturvallisuus on olennainen osa kokonaisvaltaista suojelua.

Kaiken tämän lisäksi on vuoden 2022 yleinen televiestintälaki , joka velvoittaa viestintäoperaattorit toteuttamaan turvatoimenpiteitä ja ilmoittamaan viranomaisille asiaankuuluvista tapahtumista, sekä vuonna 2025 päivitetty kansallinen turvallisuusjärjestelmä (ENS) , joka asettaa pakolliset turvallisuusperiaatteet, -vaatimukset ja -tasot julkishallinnoille ja niiden teknologiatoimittajille.

Kansallinen turvallisuusjärjestelmä ja julkishallinto

Kansallinen turvallisuuskehys (ENS) on käytännössä Espanjan julkisen sektorin kyberturvallisuuskehys . Se määrittelee perusperiaatteet (ennaltaehkäisy, havaitseminen, reagointi, toipuminen, jatkuva parantaminen) ja täsmentää joukon toimenpiteitä, joita on sovellettava kuhunkin tietojärjestelmään liittyvien turvallisuustasojen (matala, keskitaso, korkea) mukaisesti.

Tämä järjestelmä edellyttää, että hallinnot ja niiden kanssa työskentelevät toimittajat suorittavat säännöllisiä tietoturvatarkastuksia ja -valvontaa , ylläpitävät ajan tasalla olevia käytäntöjä, hallitsevat identiteettejä ja käyttöoikeuksia asianmukaisesti, käyttävät salausta tarvittaessa sekä tallentavat ja analysoivat toimintaa häiriöiden havaitsemiseksi.

NIS2 Espanjassa: seuraava sääntelyaalto

Espanja työstää jo kuninkaallista asetusta, jolla NIS2 saatetaan osaksi kansallista lainsäädäntöä ja laajennetaan merkittävästi niiden sektorien ja toimijoiden määrää, joihin sovelletaan tiukkoja kyberturvallisuusvelvoitteita. Jo katettujen sektorien lisäksi mukaan otetaan uusia alueita, kuten tietyt valmistajat, postipalvelut, tutkimus, edistyneet tieto- ja viestintätekniikan tarjoajat ja muut.

Merkittävimpiä odotettuja muutoksia ovat vakavien vaaratilanteiden viranomaisille ilmoittamisen määräaikojen yleinen lyhentäminen, joka monissa tapauksissa lyhenee 24 tuntiin, sekä johdon vastuiden ja seuraamusjärjestelmien vahvistaminen eurooppalaisten lukujen mukaisesti (sakot jopa 10 miljoonaa euroa tai tietty prosenttiosuus maailmanlaajuisesta liikevaihdosta).

Kansainväliset kyberturvallisuustekniset standardit ja normit

Lainsäädännön lisäksi organisaatiot luottavat teknisiin standardeihin ja kansainvälisiin viitekehyksiin , jotka määrittelevät, mitä valvontatoimia, prosesseja ja parhaita käytäntöjä on otettava käyttöön. Nämä standardit eivät ainoastaan ​​auta varmistamaan säännösten noudattamista, vaan myös osoittavat asianmukaista huolellisuutta asiakkaille, kumppaneille ja viranomaisille.

ISO/IEC 27000 -perhe ja ISO-tietoturva

ISO/IEC 27000 -standardiperhe on tosiasiallinen standardi tietoturvallisuuden hallinnassa . Sen ytimessä on ISO/IEC 27001, joka määrittelee vaatimukset tietoturvallisuuden hallintajärjestelmän (ISMS) toteuttamiselle jatkuvan parantamisen syklin pohjalta: riskien analysointi, kontrollien määrittely, niiden käyttöönotto, tarkastelu ja parantaminen.

Standardi perustuu ISO/IEC 27002 -standardiin, joka tarjoaa kattavat ohjeet organisatorisiin, teknisiin ja fyysisiin valvontamekanismeihin (käytännöt, pääsynhallinta, salaus, fyysinen turvallisuus, turvalliset toiminnot, tapausten hallinta jne.). Asiaan liittyviä standardeja ovat ISO/IEC 27005 (riskienhallinta), ISO/IEC 27032 (kyberturvallisuus suppeassa merkityksessä) ja ISO/IEC 27701 (yksityisyys).

Monilla toimialoilla ISO 27001 -sertifioinnista on tullut lähes aloitusvaatimus, sillä se vähentää merkittävästi vakavien vaaratilanteiden todennäköisyyttä , helpottaa vaatimustenmukaisuustarkastuksia (GDPR, NIS2, ENS) ja parantaa organisaation imagoa asiakkaiden ja sijoittajien silmissä.

ISO/IEC 27032: Kyberturvallisuus kyberavaruudessa

ISO 27001 keskittyy tietoturvallisuuden kokonaisvaltaiseen hallintaan, kun taas ISO/IEC 27032 keskittyy erityisesti kyberturvallisuuteen, joka ymmärretään kyberavaruuden suojaamisena, jossa käyttäjät, järjestelmät, verkot ja yhteydet , sosiaaliset verkostot, mobiililaitteet ja kriittiset infrastruktuurit ovat vuorovaikutuksessa keskenään.

Tämä standardi tarjoaa ohjeita uhkien, kuten kehittyneiden haittaohjelmien, vakoiluohjelmien, tietojenkalasteluohjelmien ja sosiaalisen manipuloinnin , torjumiseksi, verkkojen ja verkkopalveluiden turvallisuuden vahvistamiseksi, hallitusten, yritysten ja käyttäjien välisen yhteistyön edistämiseksi sekä puitteiden luomiseksi tiedon jakamiseksi vaaratilanteista ja haavoittuvuuksista.

Sen käyttöönotto on erityisen hyödyllinen organisaatioille, jotka ovat riippuvaisia ​​pilvipalveluista, verkkoalustoista ja yhteistyöekosysteemeistä, koska se tarjoaa niille jäsennellyn kuvan uhkista toisiinsa kytkeytyneissä ympäristöissä ja prioriteettitoimenpiteistä, joihin niiden on puututtava.

ISO/IEC 27701: Tietosuoja ja tietosuoja

ISO /IEC 27701 laajentaa ISO 27001 -standardin mukaista tietoturvan hallintajärjestelmää kattamaan henkilötietojen yksityisyyden hallinnan. Se määrittelee sekä rekisterinpitäjien että henkilötietojen käsittelijöiden lisärooleja, vastuita ja valvontaa ja on tiiviisti linjassa GDPR:n vaatimusten kanssa.

Tämän standardin käyttöönotolla organisaatio voi selvästi osoittaa, että se on integroinut yksityisyyden suojan hallintomalliinsa , hallitsee henkilötietoihin liittyviä erityisiä riskejä ja on virallistanut prosessit rekisteröityjen oikeuksien käsittelemiseksi, tietoturvaloukkausten hallitsemiseksi ja kansainvälisten tiedonsiirtojen rajoittamiseksi.

ISO 22301: Liiketoiminnan jatkuvuus

Kyberturvallisuutta ei mitata pelkästään kyvyllä kestää hyökkäystä, vaan myös sillä, kuinka nopeasti organisaatio pystyy toipumaan ja jatkamaan toimintaansa . Tässä kohtaa liiketoiminnan jatkuvuuden hallintaan keskittyvä ISO 22301 -standardi tulee mukaan kuvaan.

Tämä standardi edellyttää liiketoimintavaikutusten arviointeja (BIA), jatkuvuusstrategioiden laatimista, dokumentoituja palautumissuunnitelmia, säännöllistä testausta sekä viestintä- ja koordinointimekanismien ylläpitoa kriisien aikana. Kyberturvallisuuspoikkeama ilman jatkuvuussuunnitelmaa voi lamauttaa yrityksen viikoiksi ja aiheuttaa miljoonien tappioita.

NIST-verkkoturvallisuuskehys

Yhdysvalloissa NIST:n kyberturvallisuuskehyksestä on tullut vertailukohta, jota myös eurooppalaiset organisaatiot ovat ottaneet käyttöön. Se rakentuu viiden keskeisen toiminnon ympärille: tunnistaa, suojata, havaita, reagoida ja toipua.

Tämä lähestymistapa antaa yrityksille mahdollisuuden arvioida kypsyyttään kussakin toiminnossa , priorisoida investointeja ja suunnitella tasapainoisen kyberturvallisuusohjelman. Se on erityisen hyödyllinen NIS2- tai ISO-standardien vaatimusten täydentämisessä, koska se tarjoaa yhteisen kielen ja erittäin selkeän käsitteellisen viitekehyksen.

Kansallinen turvallisuusjärjestelmä (ENS) ja sertifioinnit Espanjassa

Espanjan kontekstissa kansallinen turvallisuusjärjestelmä (ENS) toimii paikallisena ja pakollisena käännöksenä monista kansainvälisten standardien periaatteista , erityisesti julkisella sektorilla. Valtionhallinnolle palveluja tarjoavien organisaatioiden on usein yhdenmukaistettava toimintansa tämän järjestelmän kanssa, mikä käytännössä pakottaa ne omaksumaan ISO 27001- ja 27002-standardien kaltaisia ​​malleja.

Kansallisen turvallisuusjärjestelmän (ENS) ohella sertifiointien, kuten ISO 27001- ja NIST-viitekehysten, käyttöönotto on kasvanut. Espanja on Euroopan kärkimaiden joukossa sertifioitujen organisaatioiden määrässä, ja tutkimukset osoittavat, että sertifioidut yritykset vähentävät vakavia vaaratilanteita ja parantavat reagointikykyään hyökkäyksiin.

Yritysten kyberturvallisuusvelvoitteet ja parhaat käytännöt

Lain kirjaimen lisäksi jokaisen organisaation, joka käsittelee arkaluonteisia tietoja tai tarjoaa digitaalisia palveluita, on tunnustettava kyberturvallisuus strategiseksi vastuuksi . Vaikka yritys ei kuuluisi NIS2:n tai kuninkaallisen asetuksen 12/2018 tiukan soveltamisalaan, viranomaiset suosittelevat vankan tietoturvasuunnitelman toteuttamista.

Riskianalyysi ja alustava tarkastus

Ensimmäinen järkevä askel on suorittaa riskianalyysi , jossa tunnistetaan kriittiset resurssit (tiedot, järjestelmät, prosessit), tekniset ja organisatoriset haavoittuvuudet, todennäköisimmät uhat (kiristysohjelmat, tietojenkalastelu, palvelunestohyökkäykset, sisäiset vuodot) ja kunkin skenaarion mahdollinen vaikutus.

Samanaikaisesti kyberturvallisuusauditointi mahdollistaa nykyisen kypsyystason arvioinnin: olemassa olevat käytännöt, tekniset kokoonpanot, korjauspäivitysten tasot, henkilöstön koulutus, riippuvuus kolmansista osapuolista jne. Tämä kattava yleiskatsaus mahdollistaa realistisen toimintasuunnitelman kehittämisen, jossa priorisoidaan riskien vähentämiseen tähtääviä toimenpiteitä, joilla on suurin sijoitetun pääoman tuotto.

Sisäisten käytäntöjen ja menettelytapojen määritelmä

Kun riski on ymmärretty, on aika muuttaa päätökset selkeiksi sisäisiksi käytännöiksi ja toimintatavoiksi . Tähän sisältyy sallittujen sovellusten määrittely, käyttäjätilien hallinta, salasanavaatimukset, henkilökohtaisten laitteiden (BYOD) käyttö, ulkoisten tallennusvälineiden käyttö, varmuuskopioiden suorittaminen ja testaus ja niin edelleen.

On myös tärkeää laatia tapausten hallintamenettelyt (kuka tekee mitä, milloin ilmoittaa, kenelle tiedottaa asiasta), säännöt yrityksen viestintävälineiden käytölle (sähköposti, yhteistyövälineet), säännöt tiloihin pääsylle sekä turvallisuuskriteerit, joita vaaditaan pilvi- tai hosting-palveluntarjoajilta.

Automaatio ja tekniset työkalut

Pelkät käytännöt ovat merkityksettömiä ilman niiden toteuttamista helpottavia teknologisia työkaluja . Keskeisiä komponentteja ovat tunkeutumisen havaitsemis- ja estojärjestelmät (IDS/IPS), identiteetin ja pääsynhallinnan (IAM) ratkaisut, tietoturvatietojen ja tapahtumien korrelaatioalustat (SIEM) sekä tietojen salausratkaisut sekä säilytettävälle että siirrettävälle tiedolle.

Automaatio on myös elintärkeää digitaalisten varmenteiden elinkaaren hallinnassa , sillä huonosti hallitut vanhenemiset aiheuttavat enemmän häiriöitä kuin miltä näyttää: palvelukatkoksia, todennusongelmia tai jopa tietoturvaloukkauksia, jos vaarantuneita varmenteita ei peruuteta ajoissa.

Digitaalisten varmenteiden hallinta ja koodin allekirjoittaminen

Palvelimen ja käyttäjän digitaaliset varmenteet (DV, OV, EV) ovat välttämättömiä verkkosivuston aitouden, viestinnän luottamuksellisuuden ja vaihdettujen tietojen eheyden varmistamiseksi. Organisaatioiden tulisi varmistaa, että ne valitsevat sopivan varmennetyypin, keskittävät sen hallinnan, vastaanottavat vanhenemisilmoitukset ja automatisoivat uusimiset aina kun mahdollista.

Samaan aikaan ohjelmistoja kehittäville tai sovelluksia jakeleville yrityksille digitaalinen koodin allekirjoitus on olennainen valvontakeino: se takaa, että koodia ei ole peukaloitu sen julkaisun jälkeen, ja estää käyttäjiä asentamasta haittaohjelmilla muokattuja suoritettavia tiedostoja. Koodiallekirjoitussertifikaatit, erityisesti laajennetulla validaatiolla (EV) varustetut, täyttävät käyttöjärjestelmien ja selainten edellyttämät luotettavuusstandardit.

Sähköpostin turvallisuus ja henkilöstön koulutus

Sähköposti on edelleen hyökkääjien ensisijainen väylä: tietojenkalastelukampanjat ja sähköpostitse levitettävät haittaohjelmat ovat valtaosan tapauksista taustalla . Tämän riskin vähentämiseksi on tarpeen ottaa käyttöön protokollia, kuten SPF, DKIM ja DMARC, käyttää salausta ja digitaalisia allekirjoituksia arkaluonteisissa sähköposteissa sekä ottaa käyttöön edistyneitä suodatusratkaisuja ja käyttää turvallisia selainlaajennuksia.

Pelkkä teknologia ei kuitenkaan riitä ilman jatkuvaa koulutusta ja tietoisuutta . Kokemus osoittaa, että yli 80 prosentissa tapauksista on inhimillinen komponentti: luvattomat klikkaukset, jaetut tunnistetiedot, heikot salasanat, henkilökohtaisten laitteiden huolimaton käyttö ja niin edelleen. Kyberturvallisuuden integrointi yrityskulttuuriin on aivan yhtä tärkeää kuin hyvän palomuurin asentaminen.

Kansainvälisten järjestöjen rooli kyberturvallisuuden sääntelyssä

Kyberturvallisuus on määritelmän mukaan rajat ylittävä ongelma, ja siksi YK:n, Naton, G7- tai G20-maiden kaltaiset järjestöt ovat ottaneet merkittävän roolin sellaisten periaatteiden, suositusten ja yhteistyökehysten kehittämisessä, jotka vaikuttavat suoraan Espanjan ja Euroopan lainsäädäntöön.

Euroopan neuvosto edisti Budapestin yleissopimusta kyberrikollisuudesta , joka on edelleen kansainvälinen vertailusopimus kyberrikosten syytteeseenpanossa. Espanja on yhdenmukaistanut rikoslakinsa ja oikeudellisen yhteistyön menettelynsä tämän yleissopimuksen kanssa, mikä helpottaa rajat ylittävien rikosten tutkintaa ja syytteeseenpanoa.

Samaan aikaan foorumit, kuten G7 ja G20, ovat antaneet poliittisia sitoumuksia kriittisen infrastruktuurin suojaamisesta, kyberrikollisuuden torjunnasta, internetin hallinnasta ja tietosuojasta . Nämä ohjeet vaikuttavat kansallisten kyberturvallisuusstrategioiden ja lainsäädäntöuudistusten laatimiseen, jotka vahvistavat rahoitusjärjestelmän, energiasektorin ja sähköisen hallinnon sietokykyä.

Nato on puolestaan ​​sisällyttänyt kyberavaruuden yhdeksi kollektiivisen puolustuksen operatiiviseksi osa-alueeksi . Espanjan osallistuminen harjoituksiin, kuten Locked Shields ja Cyber ​​Coalition, auttaa parantamaan kyberpuolustuskykyjä, mukauttamaan kansallista lainsäädäntöä ja vahvistamaan yhteistyötä liittolaisten kanssa laajamittaisten kyberhyökkäysten sattuessa.

Lopuksi YK edistää Kansainvälisen televiestintäliiton (ITU) ja muiden elinten kautta maailmanlaajuisia standardeja, teknisiä suosituksia ja koulutusohjelmia , jotka auttavat maita kehittämään yhtenäisiä sääntelykehyksiä, suojelemaan ihmisoikeuksia kyberavaruudessa ja koordinoimaan paremmin yleisiä kyberuhkia vastaan.

Tämä koko kansainvälinen kehys asettaa Espanjalle ja muille EU-maille voimakkaan paineen pitää lainsäädäntökehyksensä ajan tasalla ja yhdenmukaisina globaalien standardien kanssa sekä ennaltaehkäisyn että niihin reagoinnin osalta.

Kaiken kaikkiaan kyberturvallisuussääntelystä on tullut eräänlainen sääntelykilpi, joka kehittyy samaan tahtiin uhkien kanssa: eurooppalaiset direktiivit, kuten NIS2, asetukset, kuten GDPR, DORA tai eIDAS, kansalliset lait, julkisen turvallisuuden järjestelmät, ISO-standardit ja NIST-kehykset sopivat yhteen kuin palapelin palaset, jotka pakottavat organisaatiot ottamaan digitaalisen riskienhallinnan erittäin vakavasti, ammattimaisttamaan turvallisuusohjelmiaan ja olettamaan, että kyberturvallisuus ei ole enää lisä, vaan välttämätön edellytys kilpailun ja toiminnan jatkumiselle takuiden varassa nykytaloudessa.