Peraturan keselamatan siber: undang-undang, piawaian dan obligasi

Panduan Alfa » Permainan » Peraturan keselamatan siber: undang-undang, piawaian dan obligasi

Peraturan keselamatan siber telah menjadi tonggak asas bagi perniagaan, pentadbiran awam dan rakyat untuk beroperasi dengan ketenangan fikiran dalam persekitaran digital yang semakin agresif. Serangan perisian tebusan (ransomware), pelanggaran data besar-besaran, kecurian identiti dan sabotaj infrastruktur kritikal bukan lagi senario futuristik, tetapi sebaliknya kejadian harian bagi organisasi dari semua saiz.

Dalam situasi ini, penyelesaiannya tidak boleh terhad kepada memasang perisian antivirus dan berharap yang terbaik: rangka kerja kawal selia yang mantap, koheren dan sentiasa berubah diperlukan untuk menentukan kewajipan yang jelas, menetapkan piawaian keselamatan minimum dan memupuk kerjasama antarabangsa. Dalam perenggan berikut, anda akan menemui gambaran keseluruhan komprehensif tentang rangka kerja perundangan Sepanyol dan Eropah, piawaian teknikal yang paling penting (ISO, NIST, ENS), kewajipan untuk syarikat dan trend kawal selia yang baru muncul.

Apakah itu keselamatan siber dan apakah jenis ancaman yang dikawal selia oleh undang-undang?

Apabila kita bercakap tentang keselamatan siber, kita bercakap tentang melindungi sistem, rangkaian dan data daripada sebarang akses, penggunaan, pengubahsuaian atau pemusnahan yang tidak dibenarkan. Takrifan yang digunakan oleh Inisiatif Kebangsaan A.S. untuk Kerjaya dan Pengajian Keselamatan Siber (NICCS) menggambarkannya sebagai aktiviti, proses atau keupayaan yang membolehkan sistem maklumat dan komunikasi, serta maklumat yang terkandung di dalamnya, dipertahankan daripada kerosakan atau eksploitasi.

Dalam praktiknya, ini diterjemahkan kepada satu set langkah teknikal, organisasi, perundangan dan latihan yang bertujuan untuk melindungi maklumat digital dalam persekitaran rangkaian yang saling berkaitan. Keselamatan siber berada di bawah payung keselamatan maklumat, tetapi dengan tumpuan yang sangat jelas terhadap risiko yang timbul khususnya di ruang siber.

Dalam konteks ini, konsep berkaitan yang turut difokuskan oleh peraturan muncul, seperti jenayah siber, ancaman siber dan ruang siber itu sendiri . Jenayah siber merangkumi perlakuan jenayah yang dilakukan melalui internet (penipuan dalam talian, serangan sistem, pemerasan ransomware, dll.). Ancaman siber adalah kemungkinan atau peluang untuk menyebabkan bahaya menggunakan cara digital. Dan ruang siber difahami sebagai realiti yang saling berkaitan yang melangkaui internet dan mengintegrasikan rangkaian, peranti dan sistem di seluruh dunia.

Aktiviti haram yang termasuk dalam payung ini sangat pelbagai: daripada penipuan e-dagang atau kecurian kelayakan kepada pengenalan perisian hasad ke dalam sistem syarikat, penyebaran berita palsu untuk mencederakan individu, penyamaran jenama atau serangan yang disengajakan terhadap infrastruktur kritikal. Oleh itu, keselamatan siber berhubung dengan pelbagai cabang undang-undang seperti undang-undang jenayah, undang-undang sivil, perlindungan data dan hak kehormatan dan privasi.

Kuncinya terletak pada dimensi tingkah laku dalam talian dan kesannya : apabila serangan dilakukan dalam persekitaran digital, kelajuan penyebaran, jangkauan geografi dan kesukaran atribusi mengubah sepenuhnya peraturan permainan. Ini mewajarkan penyesuaian pantas undang-undang untuk merangkumi situasi yang tidak pernah dipertimbangkan dalam dunia fizikal.

Rangka kerja kawal selia Eropah untuk keselamatan siber

Kesatuan Eropah telah membangunkan rangka kerja kawal selia yang komprehensif untuk menangani ancaman siber , menggabungkan arahan, peraturan dan strategi khusus. Objektifnya ada dua: pertama, untuk meningkatkan tahap keselamatan minimum di semua negara anggota; dan kedua, untuk mencegah kerentanan sesebuah negara daripada menjadi pintu masuk untuk menjejaskan negara lain.

Arahan NIS dan NIS2: teras keselamatan siber di EU

Langkah utama pertama dalam proses ini ialah Arahan 2016/1148, yang dikenali sebagai Arahan NIS , yang menetapkan langkah-langkah untuk memastikan tahap keselamatan yang sama untuk rangkaian dan sistem maklumat di seluruh EU. Peraturan ini mewajibkan Negara Anggota untuk menerima pakai strategi keselamatan siber kebangsaan, mewujudkan Pasukan Tindak Balas Insiden Keselamatan Komputer (CSIRT) dan memantau pengendali perkhidmatan penting dan penyedia perkhidmatan digital.

Arahan NIS secara khusus mengawal selia obligasi pengendali perkhidmatan penting (seperti tenaga, pengangkutan, penjagaan kesihatan dan perbankan) dan penyedia perkhidmatan digital tertentu. Mereka dikehendaki menerima pakai langkah-langkah teknikal dan organisasi yang berkadaran dengan risiko, memastikan tahap keselamatan yang mencukupi dan segera memaklumkan pihak berkuasa yang berwibawa atau CSIRT kebangsaan tentang insiden penting.

Walau bagaimanapun, peningkatan jenayah siber dan pecutan pendigitalan susulan pandemik menunjukkan keperluan untuk melangkah lebih jauh. Ini membawa kepada penerimaan Arahan (EU) 2022/2555, yang dikenali sebagai NIS2 , yang memperluas sektor yang diliputi, mengukuhkan keperluan pengurusan risiko dan memendekkan tarikh akhir pelaporan insiden dengan ketara (24 jam untuk pemberitahuan pertama).

NIS2 menggabungkan obligasi keselamatan baharu, mewujudkan rejim penyeliaan yang lebih ketat dan sekatan ekonomi yang berkaitan untuk entiti penting dan penting, dan secara eksplisit menunjukkan tanggungjawab badan pengurusan, yang mesti terlibat dalam pengurusan keselamatan siber dan boleh dikenakan tindakan sekiranya berlaku kecuaian berat.

Sistem Peraturan dan pensijilan Keselamatan Siber EU

Satu lagi tonggak utama ialah Peraturan Keselamatan Siber EU 2019 , yang mengukuhkan mandat ENISA (Agensi Keselamatan Siber Kesatuan Eropah) dan mewujudkan rangka kerja pensijilan keselamatan siber Eropah untuk produk, perkhidmatan dan proses ICT.

Hasil daripada rangka kerja ini, sesebuah syarikat boleh mengesahkan produk atau perkhidmatan keselamatan siber hanya sekali dan sijil tersebut diiktiraf di seluruh EU, sekali gus memudahkan perdagangan dalaman dan meningkatkan keyakinan pasaran. Pensijilan menjadi meterai kualiti yang memudahkan untuk menunjukkan pematuhan terhadap keperluan keselamatan yang dituntut oleh pelanggan dan pengawal selia.

Suruhanjaya Eropah telah memperhalusi rangka kerja ini dan telah mencadangkan pengubahsuaian khusus, seperti yang diluluskan pada Januari 2025, untuk membenarkan skim pensijilan Eropah terpakai kepada perkhidmatan keselamatan terurus (respons insiden, ujian penembusan, audit keselamatan, perundingan, dll.). Matlamatnya adalah untuk mengukuhkan kepercayaan terhadap perkhidmatan yang penting untuk mencegah, mengesan dan pulih daripada serangan siber.

Peranan baharu untuk ENISA

ENISA telah berkembang daripada sebuah badan teknikal dan penasihat kepada badan yang mempunyai mandat tetap dan diperkukuh . Fungsi utamanya termasuk menyediakan asas untuk skim pensijilan, melaporkan secara terbuka mengenai sijil yang dikeluarkan, menyokong kerjasama operasi antara negara anggota dan bertindak sebagai titik rujukan dalam insiden rentas sempadan utama.

Tambahan pula, Suruhanjaya telah mencadangkan agar ENISA membangunkan keupayaan pengurusan kerentanan yang sama di seluruh EU , menyediakan perkhidmatan kepada pihak berkepentingan dan mengendalikan satu titik masuk untuk pelaporan insiden, seperti yang dibayangkan dalam inisiatif seperti Digital Omnibus. Semua ini bertujuan untuk mengharmonikan pengurusan kerentanan dan meningkatkan tindak balas yang diselaraskan terhadap serangan yang kompleks.

GDPR, eIDAS, DORA dan elemen penting lain

Selain NIS2 dan Peraturan Keselamatan Siber, peraturan Eropah yang lain mempunyai kesan langsung terhadap keselamatan siber. Peraturan Perlindungan Data Umum (GDPR) mewajibkan penggunaan langkah-langkah teknikal dan organisasi yang sesuai untuk menjamin kerahsiaan, integriti dan ketersediaan data peribadi, dengan penalti yang boleh mencecah sehingga 4% daripada perolehan global.

Peraturan eIDAS , bagi pihaknya, menetapkan rangka kerja untuk pengenalan elektronik dan perkhidmatan kepercayaan (tandatangan elektronik, meterai, cap waktu, penghantaran elektronik yang diperakui, pengesahan laman web). Dengan menetapkan keperluan keselamatan yang sangat ketat, ia menjadi elemen penting untuk memastikan kepercayaan dalam transaksi digital dalam sektor awam dan swasta.

Dalam sektor kewangan, Peraturan DORA (Akta Ketahanan Operasi Digital) menambah lapisan obligasi tambahan mengenai daya tahan digital, ujian penembusan lanjutan, pengurusan ICT pihak ketiga yang kritikal dan pemberitahuan insiden, sejajar dengan semangat NIS2 tetapi dengan tumpuan yang sangat khusus pada perkhidmatan kewangan.

Peraturan keselamatan siber di Sepanyol

Sepanyol telah menyesuaikan perundangannya agar selaras dengan keperluan Eropah dan pada masa yang sama menangani keperluan perlindungannya sendiri. Satu perkara penting yang perlu dirujuk ialah Kod Undang-undang Keselamatan Siber yang diterbitkan dalam Warta Rasmi Negeri (BOE), yang menyusun peraturan utama yang mempengaruhi bidang ini.

Undang-Undang Dekri Diraja 12/2018 dan perkembangan seterusnya

Undang-undang Dekri Diraja 12/2018, mengenai keselamatan rangkaian dan sistem maklumat , ialah peraturan yang mengubah Arahan NIS pertama ke dalam undang-undang Sepanyol. Ia mentakrifkan keperluan keselamatan dan kewajipan pelaporan insiden untuk pengendali perkhidmatan penting dan penyedia perkhidmatan digital tertentu (pasaran dalam talian, enjin carian dan perkhidmatan pengkomputeran awan yang bukan perniagaan mikro atau kecil).

Antara kewajipan yang paling relevan untuk penyedia perkhidmatan digital sederhana dan besar adalah: menyampaikan aktiviti mereka kepada pihak berkuasa yang berwibawa (Kementerian Transformasi Digital) dalam tempoh tiga bulan pertama, menerima pakai langkah teknikal dan organisasi yang sesuai untuk mengurus risiko keselamatan, dan memaklumkan insiden penting kepada CSIRT yang sepadan (jika berkenaan, INCIBE-CERT).

Langkah-langkah ini mesti mengambil kira keselamatan infrastruktur IT , pengurusan insiden, kesinambungan perniagaan, pemantauan dan pengauditan, serta pematuhan dengan piawaian antarabangsa. Walaupun piawaian ini tidak menyediakan senarai kawalan yang lengkap, ia mentakrifkan dengan jelas bidang yang mesti diliputi untuk mencapai pengurusan risiko yang munasabah dan seimbang.

Perkembangan kawal selia ini datangnya daripada Dekri Diraja 43/2021 , yang menetapkan obligasi tambahan untuk pengendali rangkaian dan perkhidmatan komunikasi elektronik, memperkukuh keselamatan dan daya tahan infrastruktur telekomunikasi, salah satu sektor paling kritikal dan terdedah kepada serangan siber.

Perlindungan data, perkhidmatan yang dipercayai dan infrastruktur kritikal

Dari segi privasi, Undang-undang Organik Sepanyol mengenai Perlindungan Data dan Jaminan Hak Digital (LOPDGDD) melengkapi dan memperluas GDPR di Sepanyol, mewujudkan perlindungan dan kewajipan tambahan untuk penggunaan data peribadi dalam persekitaran digital. Undang-undang ini mewajibkan organisasi melaksanakan kawalan keselamatan siber yang mantap bagi mencegah pelanggaran dan kebocoran data.

Dalam bidang pengenalan elektronik dan perkhidmatan amanah, Undang-undang 6/2020 menyesuaikan peraturan Sepanyol dengan Peraturan eIDAS, mentakrifkan kewajipan penyedia perkhidmatan amanah (tandatangan dan meterai elektronik, penghantaran yang diperakui, sijil pengesahan, dll.) dan mewujudkan rangka kerja terperinci untuk keselamatan siber perkhidmatan kritikal ini.

Sebaliknya, Undang-undang 8/2011 mengenai Perlindungan Infrastruktur Kritikal menetapkan rangka kerja perundangan untuk melindungi sistem dan aset yang penting untuk masyarakat, ekonomi dan keselamatan negara. Walaupun asal usulnya lebih berkait rapat dengan perlindungan fizikal, undang-undang tersebut secara nyata mengiktiraf bahawa banyak infrastruktur ini bergantung pada rangkaian dan sistem ICT, justeru menggabungkan keselamatan siber sebagai bahagian penting dalam perlindungan keseluruhan.

Tambahan kepada semua ini ialah Undang-undang Telekomunikasi Am 2022, yang mewajibkan pengendali komunikasi untuk mengambil langkah keselamatan dan memaklumkan insiden berkaitan kepada pihak berkuasa, serta Skim Keselamatan Negara (ENS) , yang dikemas kini pada tahun 2025, yang menetapkan prinsip, keperluan dan tahap keselamatan mandatori untuk pentadbiran awam dan penyedia teknologi mereka.

Skim Keselamatan Negara dan Pentadbiran Awam

Rangka Kerja Keselamatan Negara (ENS) dalam praktiknya merupakan rangka kerja keselamatan siber untuk sektor awam di Sepanyol. Ia mentakrifkan prinsip asas (pencegahan, pengesanan, tindak balas, pemulihan, penambahbaikan berterusan) dan menentukan satu set langkah yang mesti digunakan mengikut tahap keselamatan (rendah, sederhana, tinggi) yang berkaitan dengan setiap sistem maklumat.

Skim ini memerlukan pentadbiran dan pembekal yang bekerjasama dengan mereka untuk menjalani audit dan kawalan keselamatan berkala , untuk mengekalkan dasar yang dikemas kini, untuk mengurus identiti dan akses dengan betul, untuk menggunakan penyulitan jika sesuai, dan untuk merekod dan menganalisis aktiviti bagi mengesan insiden.

NIS2 di Sepanyol: gelombang kawal selia seterusnya

Sepanyol sedang mengusahakan Dekri Diraja yang akan mengubah NIS2 dan mengembangkan bilangan sektor dan entiti yang tertakluk kepada kewajipan keselamatan siber yang ketat dengan ketara. Selain sektor yang telah diliputi, bidang baharu akan digabungkan, seperti pengeluar tertentu, perkhidmatan pos, penyelidikan, penyedia ICT canggih dan lain-lain.

Antara perubahan paling relevan yang dijangkakan ialah pengurangan umum dalam had masa untuk memaklumkan insiden serius kepada pihak berkuasa, yang akan dikurangkan kepada 24 jam dalam kebanyakan kes, dan pengukuhan tanggungjawab pengurusan dan rejim sekatan , sejajar dengan angka Eropah (denda sehingga 10 juta euro atau peratusan daripada perolehan global).

Piawaian dan norma teknikal keselamatan siber antarabangsa

Di luar perundangan, organisasi bergantung pada piawaian teknikal dan rangka kerja antarabangsa yang menentukan kawalan, proses dan amalan terbaik yang perlu dilaksanakan. Piawaian ini bukan sahaja membantu memastikan pematuhan peraturan tetapi juga menunjukkan usaha wajar kepada pelanggan, rakan kongsi dan pihak berkuasa.

Keluarga ISO/IEC 27000 dan keselamatan maklumat ISO

Keluarga ISO/IEC 27000 ialah piawaian de facto dalam pengurusan keselamatan maklumat . Terasnya ialah ISO/IEC 27001, yang mentakrifkan keperluan untuk melaksanakan Sistem Pengurusan Keselamatan Maklumat (ISMS) berdasarkan kitaran penambahbaikan berterusan: menganalisis risiko, mentakrifkan kawalan, melaksanakannya, menyemaknya dan menambah baiknya.

Piawaian ini berdasarkan ISO/IEC 27002, yang menyediakan panduan komprehensif tentang kawalan organisasi, teknikal dan fizikal (dasar, kawalan akses, penyulitan, keselamatan fizikal, operasi selamat, pengurusan insiden, dll.). Piawaian berkaitan termasuk ISO/IEC 27005 (pengurusan risiko), ISO/IEC 27032 (keselamatan siber dalam erti kata yang tepat), dan ISO/IEC 27701 (privasi).

Dalam banyak sektor, memiliki pensijilan ISO 27001 telah menjadi hampir satu keperluan kemasukan, kerana ia dapat mengurangkan kemungkinan insiden serius dengan ketara , memudahkan audit pematuhan (GDPR, NIS2, ENS) dan meningkatkan imej organisasi di kalangan pelanggan dan pelabur.

ISO/IEC 27032: Keselamatan Siber dalam Ruang Siber

Walaupun ISO 27001 memberi tumpuan kepada pengurusan keseluruhan keselamatan maklumat, ISO/IEC 27032 memberi tumpuan khusus kepada keselamatan siber yang difahami sebagai perlindungan ruang siber di mana pengguna, sistem, rangkaian dan sambungan , rangkaian sosial, peranti mudah alih dan infrastruktur kritikal berinteraksi.

Piawaian ini menyediakan garis panduan untuk memerangi ancaman seperti perisian hasad canggih, perisian intip, pancingan data dan kejuruteraan sosial , memperkukuh keselamatan rangkaian dan perkhidmatan dalam talian, memupuk kerjasama antara kerajaan, perniagaan dan pengguna, serta mewujudkan rangka kerja untuk berkongsi maklumat tentang insiden dan kelemahan.

Pelaksanaannya amat berguna untuk organisasi yang bergantung pada perkhidmatan awan, platform dalam talian dan ekosistem kolaboratif, kerana ia memberikan mereka pandangan berstruktur tentang ancaman dalam persekitaran yang saling berkaitan dan kawalan keutamaan yang perlu mereka tangani.

ISO/IEC 27701: Privasi dan perlindungan data

ISO /IEC 27701 memperluas ISMS ISO 27001 untuk merangkumi pengurusan privasi data peribadi. Ia mentakrifkan peranan, tanggungjawab dan kawalan tambahan untuk pengawal dan pemproses data, dan selaras dengan keperluan GDPR.

Dengan melaksanakan piawaian ini, sesebuah organisasi dapat menunjukkan dengan jelas bahawa ia telah mengintegrasikan privasi ke dalam model tadbir urusnya , mengurus risiko khusus yang berkaitan dengan data peribadi dan telah memformalkan proses untuk menangani hak subjek data, mengurus pelanggaran dan mengehadkan pemindahan data antarabangsa.

ISO 22301: Kesinambungan Perniagaan

Keselamatan siber bukan sahaja diukur dengan keupayaan untuk menahan serangan, tetapi juga dengan kelajuan sesebuah organisasi boleh pulih dan terus beroperasi . Di sinilah ISO 22301, yang memberi tumpuan kepada pengurusan kesinambungan perniagaan, memainkan peranan.

Piawaian ini memerlukan penilaian impak perniagaan (BIA), pewujudan strategi kesinambungan, pelan pemulihan yang didokumenkan, ujian berkala dan penyelenggaraan mekanisme komunikasi dan penyelarasan semasa krisis. Insiden keselamatan siber tanpa pelan kesinambungan boleh melumpuhkan syarikat selama berminggu-minggu dan menjana kerugian berjuta-juta.

Rangka Kerja Keselamatan Siber NIST

Di Amerika Syarikat, Rangka Kerja Keselamatan Siber NIST telah menjadi penanda aras yang turut diguna pakai oleh organisasi Eropah. Ia distrukturkan berdasarkan lima fungsi utama: mengenal pasti, melindungi, mengesan, bertindak balas dan memulihkan.

Pendekatan ini membolehkan syarikat menilai kematangan mereka dalam setiap fungsi , mengutamakan pelaburan dan mereka bentuk program keselamatan siber yang seimbang. Ia amat berguna untuk melengkapi keperluan piawaian NIS2 atau ISO, kerana ia menyediakan bahasa yang sama dan rangka kerja konseptual yang sangat jelas.

Skim Keselamatan Negara (ENS) dan pensijilan di Sepanyol

Dalam konteks Sepanyol, Skim Keselamatan Negara (ENS) bertindak sebagai terjemahan tempatan dan mandatori bagi banyak prinsip piawaian antarabangsa , terutamanya untuk sektor awam. Organisasi yang menyediakan perkhidmatan kepada kerajaan sering dikehendaki menyelaraskan diri mereka dengan skim ini, yang dalam praktiknya mendorong mereka untuk menerima pakai model yang serupa dengan ISO 27001 dan 27002.

Bersama-sama dengan Skim Keselamatan Negara (ENS), penggunaan pensijilan seperti rangka kerja ISO 27001 dan NIST telah berkembang. Sepanyol berada di antara negara teratas di Eropah dari segi bilangan organisasi yang diperakui, dan tinjauan menunjukkan bahawa syarikat yang diperakui mengurangkan insiden serius dan meningkatkan kapasiti tindak balas mereka terhadap serangan.

Kewajipan keselamatan siber dan amalan terbaik untuk syarikat

Di luar aturan undang-undang, mana-mana organisasi yang mengendalikan maklumat sensitif atau menyediakan perkhidmatan digital mesti mengiktiraf keselamatan siber sebagai tanggungjawab strategik . Walaupun sesebuah syarikat berada di luar skop ketat NIS2 atau Undang-Undang Dekri Diraja 12/2018, pihak berkuasa mengesyorkan pelaksanaan pelan keselamatan yang mantap.

Analisis risiko dan audit awal

Langkah pertama yang bijak adalah menjalankan analisis risiko yang mengenal pasti aset kritikal (data, sistem, proses), kelemahan teknikal dan organisasi, ancaman yang paling mungkin (ransomware, pancingan data, DDoS, kebocoran dalaman) dan potensi impak setiap senario.

Secara selari, audit keselamatan siber membolehkan penilaian tahap kematangan semasa: dasar sedia ada, konfigurasi teknikal, tahap penampalan, latihan kakitangan, pergantungan pada pihak ketiga, dan sebagainya. Gambaran keseluruhan komprehensif ini membolehkan pembangunan pelan tindakan yang realistik, mengutamakan langkah-langkah dengan pulangan pelaburan terbesar dalam pengurangan risiko.

Takrif dasar dan prosedur dalaman

Sebaik sahaja risiko difahami, tiba masanya untuk menterjemahkan keputusan tersebut kepada dasar dalaman dan prosedur operasi yang jelas . Ini termasuk menentukan aplikasi yang dibenarkan, cara akaun pengguna diuruskan, keperluan kata laluan yang terpakai, cara peranti peribadi (BYOD) digunakan, apa yang dilakukan dengan media storan luaran, cara sandaran dilakukan dan diuji, dan sebagainya.

Adalah juga penting untuk mewujudkan prosedur pengurusan insiden (siapa yang melakukan apa, bila hendak memaklumkan, kepada siapa hendak memaklumkan), peraturan untuk penggunaan media komunikasi korporat (e-mel, alat kolaboratif), peraturan untuk akses fizikal ke kemudahan dan kriteria keselamatan yang diperlukan daripada penyedia perkhidmatan awan atau pengehosan.

Automasi dan alatan teknologi

Dasar sahaja tidak bermakna tanpa alat teknologi yang memudahkan pelaksanaannya . Komponen utama termasuk sistem pengesanan dan pencegahan pencerobohan (IDS/IPS), penyelesaian pengurusan identiti dan akses (IAM), platform korelasi maklumat dan peristiwa keselamatan (SIEM), dan penyelesaian penyulitan data untuk data semasa disimpan dan dalam transit.

Automasi juga penting dalam mengurus kitaran hayat sijil digital , yang tempoh tamat tempohnya yang diuruskan dengan buruk menyebabkan lebih banyak insiden daripada yang disangka: gangguan perkhidmatan, kegagalan pengesahan atau pelanggaran keselamatan jika sijil yang dikompromi tidak dibatalkan tepat pada waktunya.

Pengurusan sijil digital dan penandatanganan kod

Sijil digital pelayan dan pengguna (DV, OV, EV) adalah penting untuk memastikan kesahihan laman web, kerahsiaan komunikasi dan integriti data yang ditukar. Organisasi harus memastikan mereka memilih jenis sijil yang sesuai, memusatkan pengurusannya, menerima makluman tamat tempoh dan mengautomasikan pembaharuan apabila mungkin.

Secara selari, bagi syarikat yang membangunkan perisian atau mengedarkan aplikasi, penandatanganan kod digital merupakan kawalan asas: ia menjamin bahawa kod tersebut tidak diusik sejak pelancarannya dan menghalang pengguna daripada memasang fail boleh laku yang diubah suai dengan perisian hasad. Sijil penandatanganan kod, terutamanya yang mempunyai pengesahan lanjutan (EV), mematuhi piawaian kepercayaan yang diperlukan oleh sistem pengendalian dan pelayar.

Keselamatan e-mel dan latihan kakitangan

E-mel kekal sebagai vektor pilihan bagi penyerang: kempen pancingan data dan perisian hasad yang diedarkan melalui e-mel adalah punca sebahagian besar insiden . Untuk mengurangkan risiko ini, protokol seperti SPF, DKIM dan DMARC perlu dilaksanakan, menggunakan penyulitan dan tandatangan digital dalam e-mel sensitif dan menggunakan penyelesaian penapisan lanjutan serta menggunakan sambungan pelayar yang selamat.

Walau bagaimanapun, teknologi sahaja tidak mencukupi tanpa latihan dan kesedaran yang berterusan . Pengalaman menunjukkan bahawa lebih 80% insiden mempunyai komponen manusia: klik tanpa kebenaran, kelayakan yang dikongsi, kata laluan yang lemah, penggunaan peranti peribadi yang cuai, dan sebagainya. Mengintegrasikan keselamatan siber ke dalam budaya syarikat adalah sama pentingnya dengan memasang tembok api yang baik.

Peranan organisasi antarabangsa dalam mengawal selia keselamatan siber

Keselamatan siber, mengikut definisi, merupakan masalah rentas sempadan, dan itulah sebabnya organisasi seperti PBB, NATO, G7 atau G20 telah memainkan peranan yang relevan dalam pembangunan prinsip, cadangan dan rangka kerja kerjasama yang secara langsung mempengaruhi perundangan Sepanyol dan Eropah.

Majlis Eropah telah mempromosikan Konvensyen Budapest mengenai Jenayah Siber , yang kekal sebagai perjanjian antarabangsa penanda aras untuk mendakwa jenayah siber. Sepanyol telah menyelaraskan prosedur Kanun Jenayah dan kerjasama kehakimannya dengan konvensyen ini, memudahkan penyiasatan dan pendakwaan jenayah yang merentasi sempadan.

Secara selari, forum seperti G7 dan G20 telah mengeluarkan komitmen politik mengenai perlindungan infrastruktur kritikal, memerangi jenayah siber, tadbir urus internet dan perlindungan data . Garis panduan ini mempengaruhi penggubalan strategi keselamatan siber negara dan pembaharuan undang-undang yang memperkukuh daya tahan sistem kewangan, sektor tenaga dan kerajaan elektronik.

NATO, bagi pihaknya, telah menggabungkan ruang siber sebagai satu lagi domain operasi pertahanan kolektif . Penyertaan Sepanyol dalam latihan seperti Locked Shields dan Cyber ​​​​Coalition menyumbang kepada peningkatan keupayaan pertahanan siber, menyesuaikan undang-undang negara dan memperkukuh kerjasama dengan sekutu sekiranya berlaku serangan siber berskala besar.

Akhir sekali, PBB, melalui Kesatuan Telekomunikasi Antarabangsa (ITU) dan badan-badan lain, menggalakkan piawaian global, cadangan teknikal dan program latihan yang membantu negara membangunkan rangka kerja kawal selia yang koheren, melindungi hak asasi manusia di ruang siber dan menyelaras dengan lebih baik terhadap ancaman siber yang biasa.

Keseluruhan rangka kerja antarabangsa ini memberi tekanan yang kuat ke atas Sepanyol dan seluruh negara EU untuk memastikan rangka kerja perundangan mereka dikemas kini dan sejajar dengan piawaian global , baik dalam pencegahan mahupun sebagai tindak balas terhadap insiden.

Secara keseluruhannya, peraturan keselamatan siber telah menjadi sejenis perisai kawal selia yang berkembang pada kadar yang sama pantasnya dengan ancaman: arahan Eropah seperti NIS2, peraturan seperti GDPR, DORA atau eIDAS, undang-undang negara, skim keselamatan awam, piawaian ISO dan rangka kerja NIST bersatu padu seperti kepingan teka-teki yang memaksa organisasi untuk mengambil pengurusan risiko digital dengan sangat serius, untuk memprofesionalkan program keselamatan mereka dan menganggap bahawa daya tahan siber bukan lagi satu tambahan, tetapi satu syarat penting untuk terus bersaing dan beroperasi dengan jaminan dalam ekonomi hari ini.