- Kiberdrošība tiek regulēta vairākos līmeņos: Eiropas direktīvas un regulas, Spānijas nacionālie likumi un starptautiskie tehniskie standarti, piemēram, ISO un NIST.
- NIS2, GDPR, eIDAS, DORA, Nacionālā drošības shēma un Karaliskais dekrētlikums 12/2018 nosaka stingrus pienākumus riska pārvaldības un incidentu paziņošanas jomā.
- Standarti, piemēram, ISO/IEC 27001, 27032, 27701, 22301 un NIST ietvars, strukturē labu praksi kiberdrošības, uzņēmējdarbības nepārtrauktības un datu aizsardzības jomā.
- Lai sasniegtu patiesu kibernoturību, uzņēmumiem ir jāapvieno atbilstība tiesību aktiem, tehniskie pasākumi, sertifikātu pārvaldība un darbinieku apmācība.
Kiberdrošības noteikumi ir kļuvuši par pamatu uzņēmumiem , valsts pārvaldes iestādēm un iedzīvotājiem, lai tie varētu darboties ar relatīvu sirdsmieru arvien agresīvākā digitālajā vidē. Izspiedējvīrusu uzbrukumi, masveida datu noplūdes, identitātes zādzības un kritiskās infrastruktūras sabotāža vairs nav futūristiski scenāriji, bet gan ikdienas parādības visu lielumu organizācijās.
Ņemot vērā šo situāciju, risinājums nevar aprobežoties tikai ar pretvīrusu programmatūras instalēšanu un cerību uz labāko: ir nepieciešams stabils, saskaņots un pastāvīgi mainīgs tiesiskais regulējums, lai definētu skaidrus pienākumus, noteiktu minimālos drošības standartus un veicinātu starptautisko sadarbību. Turpmākajos punktos atradīsiet visaptverošu pārskatu par Spānijas un Eiropas tiesisko regulējumu, svarīgākajiem tehniskajiem standartiem (ISO, NIST, ENS), uzņēmumu pienākumiem un jaunākajām regulējuma tendencēm.
Kas ir kiberdrošība un kāda veida draudus regulē likums?
Runājot par kiberdrošību, mēs domājam sistēmu, tīklu un datu aizsardzību pret jebkādu nesankcionētu piekļuvi, izmantošanu, modificēšanu vai iznīcināšanu. ASV Nacionālās kiberdrošības karjeras un studiju iniciatīvas (NICCS) izmantotā definīcija to raksturo kā darbību, procesu vai spēju, ar kuru informācijas un komunikācijas sistēmas un tajās esošā informācija tiek aizsargāta pret bojājumiem vai izmantošanu.
Praksē tas nozīmē tehnisku, organizatorisku, juridisku un apmācības pasākumu kopumu, kuru mērķis ir aizsargāt digitālo informāciju savstarpēji savienotā tīkla vidē. Kiberdrošība ietilpst informācijas drošības jomā, taču ar ļoti skaidru uzsvaru uz riskiem, kas rodas tieši kibertelpā.
Šajā kontekstā parādās saistīti jēdzieni, uz kuriem arī koncentrējas regulējums, piemēram, kibernoziegumi, kiberdraudi un pati kibertelpa . Kibernoziegumi ietver noziedzīgu rīcību, kas izdarīta internetā (krāpšana tiešsaistē, sistēmu uzbrukumi, izspiešana ar izspiedējvīrusu palīdzību utt.). Kiberdraudi ir iespējas vai izdevības nodarīt kaitējumu, izmantojot digitālos līdzekļus. Un kibertelpa tiek saprasta kā savstarpēji saistīta realitāte, kas sniedzas ārpus interneta un integrē tīklus, ierīces un sistēmas visā pasaulē.
Nelikumīgās darbības, kas ietilpst šajā sadaļā, ir ļoti dažādas: sākot ar krāpšanu e-komercijā vai akreditācijas datu zādzību un beidzot ar ļaunprogrammatūras ieviešanu uzņēmumu sistēmās, viltus ziņu izplatīšanu, lai kaitētu indivīdam, zīmola personifikāciju vai apzinātiem uzbrukumiem kritiskajai infrastruktūrai. Tādēļ kiberdrošība ir saistīta ar dažādām tiesību nozarēm, piemēram, krimināltiesībām, civiltiesībām, datu aizsardzību un tiesībām uz godu un privātumu.
Galvenais ir uzvedības tiešsaistes dimensija un tās ietekme : kad uzbrukums tiek veikts digitālajā vidē, izplatīšanās ātrums, ģeogrāfiskais tvērums un attiecināšanas grūtības pilnībā maina spēles noteikumus. Tas attaisno tiesību aktu straujo pielāgošanu, lai aptvertu situācijas, kas fiziskajā pasaulē pat netika ņemtas vērā.
Eiropas kiberdrošības regulējums
Eiropas Savienība ir izstrādājusi visaptverošu tiesisko regulējumu kiberdraudu novēršanai , apvienojot direktīvas, regulas un īpašas stratēģijas. Mērķis ir divējāds: pirmkārt, paaugstināt minimālo drošības līmeni visās dalībvalstīs; un, otrkārt, novērst to, ka vienas valsts ievainojamība kļūst par vārtiem citu kompromitēšanai.
TID un TID2 direktīvas: kiberdrošības pamatā ES
Pirmais nozīmīgais solis šajā procesā bija Direktīva 2016/1148, kas pazīstama kā TID direktīva , ar kuru tika noteikti pasākumi, lai nodrošinātu vienotu tīklu un informācijas sistēmu drošības līmeni visā ES. Šī regula paredz, ka dalībvalstīm ir jāpieņem valsts kiberdrošības stratēģijas, jāizveido datordrošības incidentu reaģēšanas komandas (CSIRT) un jāuzrauga būtisko pakalpojumu sniedzēji un digitālo pakalpojumu sniedzēji.
TID direktīva īpaši regulē būtisku pakalpojumu (piemēram, enerģētikas, transporta, veselības aprūpes un banku pakalpojumu) operatoru un noteiktu digitālo pakalpojumu sniedzēju pienākumus . Tiem ir jāveic tehniski un organizatoriski pasākumi, kas ir samērīgi ar risku, jānodrošina atbilstošs drošības līmenis un nekavējoties jāpaziņo kompetentajai iestādei vai valsts CSIRT par būtiskiem incidentiem.
Tomēr kibernoziedzības pieaugums un digitalizācijas paātrināšanās pēc pandēmijas parādīja nepieciešamību rīkoties tālāk. Tas noveda pie Direktīvas (ES) 2022/2555, kas pazīstama kā NIS2 , pieņemšanas, kas paplašina aptverto nozaru loku, pastiprina riska pārvaldības prasības un ievērojami saīsina incidentu ziņošanas termiņus (24 stundas pirmajam paziņojumam).
NIS2 ietver jaunus drošības pienākumus, nosaka stingrākus uzraudzības režīmus un attiecīgas ekonomiskās sankcijas būtiskām un svarīgām struktūrām, kā arī skaidri norāda uz vadības struktūru atbildību, kurām jābūt iesaistītām kiberdrošības pārvaldībā un kurām var piemērot sankcijas rupjas nolaidības gadījumā.
ES kiberdrošības regulējums un sertifikācijas sistēma
Vēl viens svarīgs pīlārs ir 2019. gada ES kiberdrošības regula , kas stiprina ENISA (Eiropas Savienības Kiberdrošības aģentūras) pilnvaras un izveido Eiropas kiberdrošības sertifikācijas satvaru IKT produktiem, pakalpojumiem un procesiem.
Pateicoties šai sistēmai, uzņēmums var sertificēt kiberdrošības produktu vai pakalpojumu tikai vienu reizi un panākt, lai šis sertifikāts tiktu atzīts visā ES, vienkāršojot iekšējo tirdzniecību un palielinot tirgus uzticību. Sertifikācija kļūst par kvalitātes zīmogu, kas atvieglo atbilstības klientu un regulatoru pieprasītajām drošības prasībām pierādīšanu.
Eiropas Komisija ir pilnveidojusi šo sistēmu un ir ierosinājusi konkrētus grozījumus, piemēram, 2025. gada janvārī apstiprināto, lai Eiropas sertifikācijas shēmas varētu piemērot pārvaldītiem drošības pakalpojumiem (incidentu reaģēšana, ielaušanās testēšana, drošības auditi, konsultācijas utt.). Mērķis ir stiprināt uzticēšanos pakalpojumiem, kas ir kritiski svarīgi kiberuzbrukumu novēršanai, atklāšanai un atgūšanās no tiem.
Jauna ENISA loma
ENISA ir attīstījusies no galvenokārt tehniskas un padomdevējas iestādes par struktūru ar pastāvīgu un pastiprinātu mandātu . Tās galvenās funkcijas ietver sertifikācijas shēmu pamatu sagatavošanu, publisku ziņošanu par izsniegtajiem sertifikātiem, operatīvās sadarbības atbalstīšanu starp dalībvalstīm un darbību kā atskaites punktam nopietnu pārrobežu incidentu gadījumā.
Turklāt Komisija ir ierosinājusi, ka ENISA izstrādā kopīgu ES mēroga ievainojamību pārvaldības spēju , sniedzot pakalpojumus ieinteresētajām personām un pārvaldot vienotu piekļuves punktu incidentu ziņošanai, kā paredzēts tādās iniciatīvās kā Digital Omnibus. Visa šī mērķa ir saskaņot ievainojamību pārvaldību un uzlabot koordinētu reaģēšanu uz sarežģītiem uzbrukumiem.
GDPR, eIDAS, DORA un citi galvenie elementi
Līdztekus NIS2 un Kiberdrošības regulai, arī citiem Eiropas noteikumiem ir tieša ietekme uz kiberdrošību. Vispārīgā datu aizsardzības regula (VDAR) paredz atbilstošu tehnisko un organizatorisko pasākumu ieviešanu, lai garantētu personas datu konfidencialitāti, integritāti un pieejamību, un soda naudas var sasniegt pat 4% no globālā apgrozījuma.
Savukārt eIDAS regula izveido elektroniskās identifikācijas un uzticamības pakalpojumu (elektronisko parakstu, zīmogu, laika zīmogu, sertificētas elektroniskās piegādes, tīmekļa vietņu autentifikācijas) regulējumu. Nosakot ļoti stingras drošības prasības, tā kļūst par būtisku elementu, lai nodrošinātu uzticēšanos digitālajiem darījumiem gan publiskajā, gan privātajā sektorā.
Finanšu nozarē DORA (Digitālās darbības noturības likums) regula pievieno papildu pienākumu slāni attiecībā uz digitālo noturību, progresīvu ielaušanās testēšanu, kritisku trešo pušu IKT pārvaldību un incidentu paziņošanu, ievērojot NIS2 garu, bet īpaši koncentrējoties uz finanšu pakalpojumiem.
Kiberdrošības regulējums Spānijā
Spānija ir pielāgojusi savus tiesību aktus Eiropas prasībām, vienlaikus risinot savas aizsardzības vajadzības. Galvenais atskaites punkts ir Kiberdrošības likumu kodekss , kas publicēts oficiālajā valsts vēstnesī (BOE), kurā apkopoti galvenie noteikumi, kas ietekmē šo jomu.
Karaļa dekrēts-likums 12/2018 un turpmākā attīstība
Karaliskais dekrētlikums Nr. 12/2018 par tīklu un informācijas sistēmu drošību ir noteikums, ar kuru Spānijas tiesību aktos tiek transponēta pirmā TID direktīva. Tajā ir noteiktas drošības prasības un incidentu ziņošanas pienākumi būtisku pakalpojumu operatoriem un noteiktiem digitālo pakalpojumu sniedzējiem (tiešsaistes tirdzniecības vietām, meklētājprogrammām un mākoņdatošanas pakalpojumiem, kas nav mikrouzņēmumi vai mazie uzņēmumi).
Starp svarīgākajiem vidējiem un lieliem digitālo pakalpojumu sniedzējiem noteiktajiem pienākumiem ir: paziņot kompetentajai iestādei (Digitālās transformācijas ministrijai) par savu darbību pirmo trīs mēnešu laikā, pieņemt atbilstošus tehniskus un organizatoriskus pasākumus drošības risku pārvaldībai un paziņot attiecīgajai CSIRT (attiecīgā gadījumā INCIBE-CERT) par būtiskiem incidentiem.
Šiem pasākumiem jāņem vērā IT infrastruktūras drošība , incidentu pārvaldība, uzņēmējdarbības nepārtrauktība, uzraudzība un audits, kā arī atbilstība starptautiskajiem standartiem. Lai gan standarts nesniedz izsmeļošu kontroles mehānismu sarakstu, tas skaidri definē jomas, kas jāaptver, lai panāktu saprātīgu un samērīgu risku pārvaldību.
Regulējošā regulējuma izstrāde ir izrietējusi no Karaļa dekrēta Nr. 43/2021 , kurā noteikti papildu pienākumi elektronisko sakaru tīklu un pakalpojumu operatoriem, stiprinot telekomunikāciju infrastruktūru drošību un noturību, kas ir viena no kritiskākajām nozarēm un pakļauta kiberuzbrukumiem.
Datu aizsardzība, uzticami pakalpojumi un kritiskā infrastruktūra
Runājot par privātumu, Spānijas Datu aizsardzības un digitālo tiesību garantijas pamatlikums (LOPDGDD) papildina un paplašina GDPR Spānijā, nosakot papildu drošības pasākumus un pienākumus personas datu izmantošanai digitālajā vidē. Šis tiesību akts paredz, ka organizācijām jāievieš stingra kiberdrošības kontrole, lai novērstu datu pārkāpumus un noplūdes.
Elektroniskās identifikācijas un uzticamības pakalpojumu jomā Likums Nr. 6/2020 pielāgo Spānijas noteikumus eIDAS regulai, nosakot uzticamības pakalpojumu sniedzēju (elektroniskais paraksts un zīmogs, sertificēta piegāde, autentifikācijas sertifikāti utt.) pienākumus un izveidojot detalizētu šo kritiski svarīgo pakalpojumu kiberdrošības regulējumu.
No otras puses, Likums Nr. 8/2011 par kritiskās infrastruktūras aizsardzību nosaka tiesisko regulējumu sabiedrībai, ekonomikai un valsts drošībai būtisku sistēmu un aktīvu aizsardzībai. Lai gan tā izcelsme ir ciešāk saistīta ar fizisko aizsardzību, likumā ir skaidri atzīts, ka daudzas no šīm infrastruktūrām ir atkarīgas no IKT tīkliem un sistēmām, tādējādi iekļaujot kiberdrošību kā neatņemamu vispārējās aizsardzības sastāvdaļu.
Tam visam pievienojas 2022. gada Vispārējais telekomunikāciju likums , kas uzliek sakaru operatoriem pienākumu veikt drošības pasākumus un paziņot iestādēm par attiecīgajiem incidentiem, kā arī 2025. gadā atjauninātā Nacionālā drošības shēma (ENS) , kas nosaka obligātus drošības principus, prasības un līmeņus valsts pārvaldes iestādēm un to tehnoloģiju nodrošinātājiem.
Nacionālās drošības shēma un valsts pārvaldes iestādes
Nacionālā drošības sistēma (VSI) praksē ir kiberdrošības sistēma publiskajam sektoram Spānijā. Tajā ir definēti pamatprincipi (novēršana, atklāšana, reaģēšana, atkopšana, nepārtraukta uzlabošana) un norādīts pasākumu kopums, kas jāpiemēro atbilstoši katrai informācijas sistēmai noteiktajiem drošības līmeņiem (zems, vidējs, augsts).
Šī shēma paredz, ka administrācijām un piegādātājiem, kas ar tām sadarbojas, ir jāveic periodiskas drošības revīzijas un kontroles , jāatjaunina politikas, pareizi jāpārvalda identitātes un piekļuve, attiecīgā gadījumā jāizmanto šifrēšana, kā arī jāreģistrē un jāanalizē darbības, lai atklātu incidentus.
NIS2 Spānijā: nākamais regulējuma vilnis
Spānija jau strādā pie Karaļa dekrēta, kas transponēs NIS2 un ievērojami paplašinās to nozaru un vienību skaitu, kurām piemēro stingras kiberdrošības saistības. Papildus jau aptvertajām nozarēm tiks iekļautas jaunas jomas, piemēram, atsevišķi ražotāji, pasta pakalpojumi, pētniecība, progresīvi IKT pakalpojumu sniedzēji un citas.
Starp svarīgākajām gaidāmajām izmaiņām ir vispārēja termiņu samazināšana nopietnu incidentu paziņošanai iestādēm, kas daudzos gadījumos tiks samazināts līdz 24 stundām, un vadības atbildības un sankciju režīmu stiprināšana , saskaņojot tos ar Eiropas skaitļiem (naudas sodi līdz 10 miljoniem eiro vai procentuālā daļa no globālā apgrozījuma).
Starptautiskie kiberdrošības tehniskie standarti un normas
Papildus likumdošanai organizācijas paļaujas uz tehniskajiem standartiem un starptautiskajiem regulējumiem , kas nosaka, kuras kontroles, procesi un labākā prakse ir jāievieš. Šie standarti ne tikai palīdz nodrošināt atbilstību normatīvajiem aktiem, bet arī apliecina pienācīgu rūpību klientiem, partneriem un iestādēm.
ISO/IEC 27000 saime un ISO informācijas drošība
ISO/IEC 27000 standartu saime ir faktiskais standarts informācijas drošības pārvaldībā . Tās pamatā ir ISO/IEC 27001, kas nosaka prasības informācijas drošības pārvaldības sistēmas (ISMS) ieviešanai, pamatojoties uz nepārtrauktas uzlabošanas ciklu: risku analīze, kontroles mehānismu definēšana, ieviešana, pārskatīšana un uzlabošana.
Standarts ir balstīts uz ISO/IEC 27002, kas sniedz visaptverošas vadlīnijas par organizatoriskām, tehniskām un fiziskām kontrolēm (politikām, piekļuves kontroli, šifrēšanu, fizisko drošību, drošām darbībām, incidentu pārvaldību utt.). Saistītie standarti ietver ISO/IEC 27005 (riska pārvaldība), ISO/IEC 27032 (kiberdrošība šaurā nozīmē) un ISO/IEC 27701 (privātums).
Daudzās nozarēs ISO 27001 sertifikācija ir kļuvusi gandrīz par obligātu prasību, jo tā ievērojami samazina nopietnu incidentu iespējamību , atvieglo atbilstības auditus (GDPR, NIS2, ENS) un uzlabo organizācijas tēlu klientu un investoru acīs.
ISO/IEC 27032: Kiberdrošība kibertelpā
Kamēr ISO 27001 koncentrējas uz informācijas drošības pārvaldību kopumā, ISO/IEC 27032 īpaši koncentrējas uz kiberdrošību, kas tiek saprasta kā kibertelpas aizsardzība, kurā mijiedarbojas lietotāji, sistēmas, tīkli un savienojamība , sociālie tīkli, mobilās ierīces un kritiskās infrastruktūras.
Šis standarts sniedz vadlīnijas tādu draudu kā uzlabotas ļaunprogrammatūras, spiegprogrammatūras, pikšķerēšanas un sociālās inženierijas apkarošanai , tīklu un tiešsaistes pakalpojumu drošības stiprināšanai, sadarbības veicināšanai starp valdībām, uzņēmumiem un lietotājiem, kā arī sistēmu izveidei informācijas apmaiņai par incidentiem un ievainojamībām.
Tās ieviešana ir īpaši noderīga organizācijām, kas paļaujas uz mākoņpakalpojumiem, tiešsaistes platformām un sadarbības ekosistēmām, jo tā sniedz tām strukturētu priekšstatu par draudiem savstarpēji saistītās vidēs un prioritārajām kontrolēm, kas tām jārisina.
ISO/IEC 27701: Privātums un datu aizsardzība
ISO /IEC 27701 paplašina ISO 27001 informācijas drošības un pārvaldības sistēmu (ISMS), lai aptvertu personas datu privātuma pārvaldību . Tas definē papildu lomas, pienākumus un kontroles mehānismus gan datu pārziņiem, gan apstrādātājiem, un ir cieši saskaņots ar GDPR prasībām.
Ieviešot šo standartu, organizācija var skaidri parādīt, ka tā ir integrējusi privātumu savā pārvaldības modelī , pārvalda konkrētus riskus, kas saistīti ar personas datiem, un ir formalizējusi procesus datu subjektu tiesību ievērošanas nodrošināšanai, pārkāpumu pārvaldībai un starptautiskas datu pārsūtīšanas ierobežošanai.
ISO 22301: Biznesa nepārtrauktība
Kiberdrošību mēra ne tikai pēc spējas izturēt uzbrukumu, bet arī pēc ātruma, ar kādu organizācija var atgūties un turpināt darbību . Šeit noder ISO 22301 standarts, kas koncentrējas uz uzņēmējdarbības nepārtrauktības pārvaldību.
Šis standarts paredz uzņēmējdarbības ietekmes novērtējumus (BIA), nepārtrauktības stratēģiju izstrādi, dokumentētus atjaunošanas plānus, regulāru testēšanu un komunikācijas un koordinācijas mehānismu uzturēšanu krīžu laikā. Kiberdrošības incidents bez nepārtrauktības plāna var paralizēt uzņēmuma darbību uz nedēļām un radīt zaudējumus miljonu apmērā.
NIST kiberdrošības sistēma
Amerikas Savienotajās Valstīs NIST kiberdrošības ietvars ir kļuvis par etalonu, ko ir pieņēmušas arī Eiropas organizācijas. Tas ir strukturēts ap piecām galvenajām funkcijām: identificēšana, aizsardzība, atklāšana, reaģēšana un atjaunošana.
Šī pieeja ļauj uzņēmumiem novērtēt savu briedumu katrā funkcijā , noteikt investīciju prioritātes un izstrādāt līdzsvarotu kiberdrošības programmu. Tā ir īpaši noderīga NIS2 vai ISO standartu prasību papildināšanai, jo tā nodrošina kopīgu valodu un ļoti skaidru konceptuālo ietvaru.
Nacionālās drošības shēma (ENS) un sertifikācija Spānijā
Spānijas kontekstā Nacionālās drošības shēma (ENS) darbojas kā daudzu starptautisko standartu principu vietējs un obligāts tulkojums , īpaši publiskajam sektoram. Organizācijām, kas sniedz pakalpojumus valdībai, bieži vien ir jāpielāgojas šai shēmai, kas praksē mudina tās pieņemt modeļus, kas ir līdzīgi ISO 27001 un 27002.
Līdztekus Nacionālās drošības shēmai (ENS) ir pieaugusi tādu sertifikāciju kā ISO 27001 un NIST sistēmu ieviešana . Spānija ir starp vadošajām valstīm Eiropā sertificēto organizāciju skaita ziņā, un aptaujas liecina, ka sertificēti uzņēmumi samazina nopietnus incidentus un uzlabo savu reaģēšanas spēju uz uzbrukumiem.
Kiberdrošības pienākumi un labākā prakse uzņēmumiem
Papildus likuma burtam jebkurai organizācijai, kas apstrādā sensitīvu informāciju vai sniedz digitālos pakalpojumus, kiberdrošība ir jāatzīst par stratēģisku atbildību . Pat ja uzņēmums neietilpst NIS2 vai Karaļa dekrēta-likuma 12/2018 stingrajā darbības jomā, varas iestādes iesaka ieviest stabilu drošības plānu.
Riska analīze un sākotnējais audits
Pirmais saprātīgais solis ir veikt riska analīzi, kurā tiek identificēti kritiski svarīgi aktīvi (dati, sistēmas, procesi), tehniskās un organizatoriskās ievainojamības, visticamākie draudi (izspiedējvīrusi, pikšķerēšana, DDoS, iekšējās noplūdes) un katra scenārija iespējamā ietekme.
Paralēli kiberdrošības audits ļauj novērtēt pašreizējo brieduma līmeni: esošās politikas, tehniskās konfigurācijas, ielāpu līmeņus, personāla apmācību, atkarību no trešajām pusēm utt. Šis visaptverošais pārskats ļauj izstrādāt reālistisku rīcības plānu, prioritāri piešķirot pasākumus ar vislielāko investīciju atdevi riska mazināšanā.
Iekšējo politiku un procedūru definīcija
Kad risks ir izprasts, ir pienācis laiks lēmumus pārvērst skaidrās iekšējās politikās un darbības procedūrās . Tas ietver atļauto lietojumprogrammu noteikšanu, lietotāju kontu pārvaldības veidu, paroļu prasību piemērošanu, personīgo ierīču (BYOD) lietošanas veidu, ārējo datu nesēju izmantošanas veidu, dublējumu veikšanas un testēšanas veidu utt.
Ir arī svarīgi izveidot incidentu pārvaldības procedūras (kas ko dara, kad paziņot, kam nodot tālāk), noteikumus par korporatīvo saziņas līdzekļu (e-pasta, sadarbības rīku) izmantošanu, noteikumus par fizisku piekļuvi telpām un drošības kritērijus, kas jāpieprasa no mākoņpakalpojumu vai mitināšanas pakalpojumu sniedzējiem.
Automatizācija un tehnoloģiskie rīki
Pašas politikas ir bezjēdzīgas bez tehnoloģiskajiem rīkiem, kas atvieglo to ieviešanu . Galvenās sastāvdaļas ir ielaušanās atklāšanas un novēršanas sistēmas (IDS/IPS), identitātes un piekļuves pārvaldības (IAM) risinājumi, drošības informācijas un notikumu korelācijas (SIEM) platformas un datu šifrēšanas risinājumi datiem gan miera stāvoklī, gan pārsūtīšanas laikā.
Automatizācija ir arī būtiska digitālo sertifikātu dzīves cikla pārvaldībā , jo slikti pārvaldīti derīguma termiņi rada vairāk incidentu, nekā šķiet: pakalpojumu pārtraukumus, autentifikācijas kļūmes vai pat drošības pārkāpumus, ja kompromitēti sertifikāti netiek laikus atsaukti.
Digitālo sertifikātu pārvaldība un koda parakstīšana
Servera un lietotāja digitālie sertifikāti (DV, OV, EV) ir būtiski, lai nodrošinātu tīmekļa vietnes autentiskumu, saziņas konfidencialitāti un apmainīto datu integritāti. Organizācijām jānodrošina atbilstoša sertifikāta veida izvēle, jācentralizē tā pārvaldība, jāsaņem derīguma termiņa beigu brīdinājumi un, kad vien iespējams, jāautomatizē atjaunošana.
Vienlaikus uzņēmumiem, kas izstrādā programmatūru vai izplata lietojumprogrammas, digitālā koda parakstīšana ir būtiska kontrole: tā garantē, ka kods kopš tā izlaišanas nav mainīts, un neļauj lietotājiem instalēt izpildāmos failus, kas mainīti ar ļaunprogrammatūru. Koda parakstīšanas sertifikāti, īpaši tie, kuriem ir paplašināta validācija (EV), atbilst operētājsistēmu un pārlūkprogrammu noteiktajiem uzticamības standartiem.
E-pasta drošība un darbinieku apmācība
E-pasts joprojām ir uzbrucēju iecienītākais veids: pikšķerēšanas kampaņas un pa e-pastu izplatīta ļaunprogrammatūra ir lielākās daļas incidentu pamatā . Lai samazinātu šo risku, ir jāievieš tādi protokoli kā SPF, DKIM un DMARC, jāizmanto šifrēšana un digitālie paraksti sensitīvos e-pastos, kā arī jāievieš uzlaboti filtrēšanas risinājumi un jāizmanto droši pārlūkprogrammas paplašinājumi.
Tomēr ar tehnoloģijām vien nepietiek, ja netiek veikta pastāvīga apmācība un informētība . Pieredze rāda, ka vairāk nekā 80 % incidentu ir saistīti ar cilvēcisko komponenti: neatļauti klikšķi, koplietoti akreditācijas dati, vājas paroles, neuzmanīga personīgo ierīču lietošana utt. Kiberdrošības integrēšana uzņēmuma kultūrā ir tikpat svarīga kā laba ugunsmūra instalēšana.
Starptautisko organizāciju loma kiberdrošības regulēšanā
Kiberdrošība pēc definīcijas ir pārrobežu problēma, un tāpēc tādas organizācijas kā ANO, NATO, G7 vai G20 ir uzņēmušās atbilstošu lomu principu, ieteikumu un sadarbības sistēmu izstrādē, kas tieši ietekmē Spānijas un Eiropas tiesību aktus.
Eiropas Padome popularizēja Budapeštas konvenciju par kibernoziegumiem , kas joprojām ir starptautiskais etalonlīgums kibernoziegumu kriminālvajāšanā. Spānija ir saskaņojusi savu Kriminālkodeksu un tiesu iestāžu sadarbības procedūras ar šo konvenciju, atvieglojot pārrobežu noziegumu izmeklēšanu un kriminālvajāšanu.
Paralēli tam tādi forumi kā G7 un G20 ir uzņēmušies politiskas saistības kritiskās infrastruktūras aizsardzības, kibernoziedzības apkarošanas, interneta pārvaldības un datu aizsardzības jomā . Šīs vadlīnijas ietekmē nacionālo kiberdrošības stratēģiju un tiesību aktu reformu izstrādi, kas stiprina finanšu sistēmas, enerģētikas sektora un e-pārvaldes noturību.
Savukārt NATO ir iekļāvusi kibertelpu kā vēl vienu kolektīvās aizsardzības operatīvo jomu . Spānijas dalība tādās mācībās kā “Locked Shields” un “Cyber Coalition” veicina kiberaizsardzības spēju uzlabošanu, valsts tiesību aktu pielāgošanu un sadarbības ar sabiedrotajiem stiprināšanu liela mēroga kiberuzbrukumu gadījumā.
Visbeidzot, ANO, izmantojot Starptautisko telekomunikāciju savienību (ITU) un citas struktūras, veicina globālus standartus, tehniskus ieteikumus un apmācības programmas , kas palīdz valstīm izstrādāt saskaņotus normatīvos regulējumus, aizsargāt cilvēktiesības kibertelpā un labāk koordinēt rīcību cīņā pret izplatītākajiem kiberdraudiem.
Visa šī starptautiskā sistēma rada spēcīgu spiedienu uz Spāniju un pārējām ES valstīm , lai tās atjauninātu savus tiesisko regulējumu un saskaņotu to ar globālajiem standartiem gan incidentu novēršanā, gan reaģēšanā uz tiem.
Kopumā kiberdrošības regulējums ir kļuvis par sava veida regulatīvo vairogu, kas attīstās tikpat strauji kā apdraudējumi: Eiropas direktīvas, piemēram, NIS2, tādi noteikumi kā GDPR, DORA vai eIDAS, valstu likumi, sabiedriskās drošības shēmas, ISO standarti un NIST ietvari sader kopā kā puzles gabaliņi, kas liek organizācijām ļoti nopietni uztvert digitālo risku pārvaldību, profesionalizēt savas drošības programmas un pieņemt, ka kibernoturība vairs nav papildinājums, bet gan būtisks nosacījums, lai turpinātu konkurēt un darboties ar garantijām mūsdienu ekonomikā.
Indekss