Regulacje dotyczące cyberbezpieczeństwa: prawa, normy i obowiązki

Przewodnik Alfa » Gry » Regulacje dotyczące cyberbezpieczeństwa: prawa, normy i obowiązki

Przepisy dotyczące cyberbezpieczeństwa stały się fundamentalnym filarem, na którym firmy, administracja publiczna i obywatele mogą działać ze względnym spokojem w coraz bardziej agresywnym środowisku cyfrowym. Ataki ransomware, masowe naruszenia danych, kradzieże tożsamości i sabotaż infrastruktury krytycznej nie są już tylko futurystycznymi scenariuszami, lecz codziennością dla organizacji każdej wielkości.

W tej sytuacji rozwiązanie nie może ograniczać się do instalacji oprogramowania antywirusowego i liczenia na to, że wszystko się ułoży: potrzebne są solidne, spójne i stale ewoluujące ramy regulacyjne, które pozwolą na jasne określenie obowiązków, ustanowienie minimalnych standardów bezpieczeństwa i wspieranie współpracy międzynarodowej. W poniższych akapitach znajdą Państwo kompleksowy przegląd hiszpańskich i europejskich ram prawnych, najważniejszych norm technicznych (ISO, NIST, ENS), obowiązków przedsiębiorstw oraz pojawiających się trendów regulacyjnych.

Czym jest cyberbezpieczeństwo i jakie rodzaje zagrożeń reguluje prawo?

Mówiąc o cyberbezpieczeństwie, mamy na myśli ochronę systemów, sieci i danych przed nieautoryzowanym dostępem, użyciem, modyfikacją lub zniszczeniem. Definicja stosowana przez amerykańską Narodową Inicjatywę na rzecz Karier i Studiów w Dziedzinie Cyberbezpieczeństwa (NICCS) opisuje je jako działanie, proces lub zdolność, za pomocą których systemy informatyczne i komunikacyjne oraz zawarte w nich informacje są chronione przed uszkodzeniem lub wykorzystaniem.

W praktyce oznacza to zestaw środków technicznych, organizacyjnych, prawnych i szkoleniowych mających na celu ochronę informacji cyfrowych w połączonym środowisku sieciowym. Cyberbezpieczeństwo mieści się w ramach bezpieczeństwa informacji, ale z wyraźnym naciskiem na zagrożenia występujące w cyberprzestrzeni.

W tym kontekście pojawiają się pokrewne koncepcje, na których koncentruje się również regulacja, takie jak cyberprzestępczość, cyberzagrożenia i sama cyberprzestrzeń . Cyberprzestępczość obejmuje działania przestępcze popełniane za pośrednictwem internetu (oszustwa internetowe, ataki na systemy, wymuszenia okupu itp.). Cyberzagrożenia to możliwości lub okazje do wyrządzenia szkody za pomocą środków cyfrowych. Cyberprzestrzeń jest rozumiana jako połączona rzeczywistość, która wykracza poza internet i integruje sieci, urządzenia i systemy na całym świecie.

Nielegalne działania objęte tym pojęciem są bardzo zróżnicowane: od oszustw w handlu elektronicznym i kradzieży danych uwierzytelniających , przez wprowadzanie złośliwego oprogramowania do systemów firmowych, rozpowszechnianie fałszywych wiadomości w celu wyrządzenia szkody danej osobie, podszywanie się pod markę, po celowe ataki na infrastrukturę krytyczną. Dlatego cyberbezpieczeństwo wiąże się z różnymi dziedzinami prawa, takimi jak prawo karne, cywilne, ochrona danych oraz prawo do czci i prywatności.

Klucz leży w internetowym wymiarze zachowania i jego wpływie : gdy atak jest popełniany w środowisku cyfrowym, szybkość rozprzestrzeniania się, zasięg geograficzny i trudność identyfikacji całkowicie zmieniają reguły gry. Uzasadnia to szybką adaptację przepisów, aby objąć nimi sytuacje, które dotychczas nie były nawet brane pod uwagę w świecie fizycznym.

Europejskie ramy regulacyjne dotyczące cyberbezpieczeństwa

Unia Europejska opracowała kompleksowe ramy regulacyjne mające na celu przeciwdziałanie cyberzagrożeniom , łączące dyrektywy, rozporządzenia i konkretne strategie. Cel jest dwojaki: po pierwsze, podnieść minimalny poziom bezpieczeństwa we wszystkich państwach członkowskich; po drugie, zapobiec temu, aby podatność jednego kraju stała się bramą do ataków na inne.

Dyrektywy NIS i NIS2: sedno cyberbezpieczeństwa w UE

Pierwszym ważnym krokiem w tym procesie była dyrektywa 2016/1148, znana jako dyrektywa NIS , która ustanowiła środki mające na celu zapewnienie wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych w całej UE. Rozporządzenie to nakłada na państwa członkowskie obowiązek przyjęcia krajowych strategii cyberbezpieczeństwa, utworzenia zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) oraz monitorowania operatorów usług kluczowych i dostawców usług cyfrowych.

Dyrektywa NIS szczegółowo reguluje obowiązki operatorów usług kluczowych (takich jak energetyka, transport, opieka zdrowotna i bankowość) oraz niektórych dostawców usług cyfrowych. Są oni zobowiązani do wdrożenia środków technicznych i organizacyjnych proporcjonalnych do ryzyka, zapewnienia odpowiedniego poziomu bezpieczeństwa oraz niezwłocznego powiadomienia właściwego organu lub krajowego zespołu CSIRT o istotnych incydentach.

Jednak wzrost cyberprzestępczości i przyspieszenie cyfryzacji po pandemii pokazały potrzebę dalszych działań. Doprowadziło to do przyjęcia dyrektywy (UE) 2022/2555, znanej jako NIS2 , która rozszerza zakres objętych nią sektorów, zaostrza wymogi dotyczące zarządzania ryzykiem i znacznie skraca terminy zgłaszania incydentów (24 godziny na pierwsze zgłoszenie).

NIS2 wprowadza nowe obowiązki w zakresie bezpieczeństwa, ustanawia bardziej rygorystyczne systemy nadzoru i odpowiednie sankcje ekonomiczne dla podmiotów kluczowych i ważnych, a także wyraźnie wskazuje na odpowiedzialność organów zarządzających, które muszą uczestniczyć w zarządzaniu cyberbezpieczeństwem i mogą zostać ukarane w przypadku rażącego zaniedbania.

Unijne przepisy dotyczące cyberbezpieczeństwa i system certyfikacji

Kolejnym kluczowym filarem jest rozporządzenie UE w sprawie cyberbezpieczeństwa z 2019 r. , które wzmacnia mandat ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) i tworzy europejskie ramy certyfikacji cyberbezpieczeństwa dla produktów, usług i procesów ICT.

Dzięki tym ramom firma może certyfikować produkt lub usługę z zakresu cyberbezpieczeństwa tylko raz , a certyfikat ten jest uznawany w całej UE, co upraszcza handel wewnętrzny i zwiększa zaufanie rynku. Certyfikacja staje się pieczęcią jakości, która ułatwia wykazanie zgodności z wymogami bezpieczeństwa stawianymi przez klientów i organy regulacyjne.

Komisja Europejska udoskonala te ramy i zaproponowała konkretne modyfikacje, takie jak ta zatwierdzona w styczniu 2025 r., aby umożliwić wprowadzenie europejskich systemów certyfikacji mających zastosowanie do zarządzanych usług bezpieczeństwa (reagowanie na incydenty, testy penetracyjne, audyty bezpieczeństwa, doradztwo itp.). Celem jest wzmocnienie zaufania do usług kluczowych dla zapobiegania cyberatakom, ich wykrywania i odzyskiwania po nich.

Nowa rola ENISA

ENISA przekształciła się z organu o charakterze głównie technicznym i doradczym w organ o stałym i wzmocnionym mandacie . Do jej kluczowych funkcji należą: przygotowywanie podstaw dla systemów certyfikacji, publiczne raportowanie wydanych certyfikatów, wspieranie współpracy operacyjnej między państwami członkowskimi oraz pełnienie funkcji punktu odniesienia w przypadku poważnych incydentów transgranicznych.

Ponadto Komisja zaproponowała, aby ENISA opracowała wspólny, ogólnounijny system zarządzania lukami w zabezpieczeniach , świadczący usługi interesariuszom i obsługujący pojedynczy punkt zgłaszania incydentów, zgodnie z założeniami inicjatyw takich jak Digital Omnibus. Wszystko to ma na celu harmonizację zarządzania lukami w zabezpieczeniach i usprawnienie skoordynowanej reakcji na złożone ataki.

RODO, eIDAS, DORA i inne kluczowe elementy

Oprócz NIS2 i rozporządzenia w sprawie cyberbezpieczeństwa, inne europejskie przepisy mają bezpośredni wpływ na cyberbezpieczeństwo. Ogólne rozporządzenie o ochronie danych (RODO) wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zagwarantowania poufności, integralności i dostępności danych osobowych, a kary za ich nieprzestrzeganie mogą sięgać nawet 4% globalnego obrotu.

Rozporządzenie eIDAS z kolei ustanawia ramy dla elektronicznej identyfikacji i usług zaufania (podpisy elektroniczne, pieczęcie, znaczniki czasu, certyfikowane doręczenia elektroniczne, uwierzytelnianie stron internetowych). Ustanawiając bardzo rygorystyczne wymogi bezpieczeństwa, staje się ono niezbędnym elementem zapewniającym zaufanie do transakcji cyfrowych zarówno w sektorze publicznym, jak i prywatnym.

W sektorze finansowym rozporządzenie DORA (Digital Operational Resilience Act) wprowadza dodatkowy poziom obowiązków dotyczących odporności cyfrowej, zaawansowanych testów penetracyjnych, zarządzania krytycznymi systemami ICT stron trzecich i powiadamiania o incydentach. Jest to zgodne z duchem NIS2, ale ze szczególnym naciskiem na usługi finansowe.

Przepisy dotyczące cyberbezpieczeństwa w Hiszpanii

Hiszpania dostosowuje swoje przepisy do wymogów europejskich, jednocześnie dbając o własne potrzeby w zakresie ochrony. Kluczowym punktem odniesienia jest Kodeks Prawa Cyberbezpieczeństwa opublikowany w Dzienniku Urzędowym (BOE), który zawiera najważniejsze regulacje prawne dotyczące tego obszaru.

Dekret królewski-ustawa 12/2018 i późniejsze zmiany

Dekret Królewski z mocą ustawy 12/2018 o bezpieczeństwie sieci i systemów informatycznych to rozporządzenie transponujące pierwszą dyrektywę NIS do prawa hiszpańskiego. Określa ono wymogi bezpieczeństwa i obowiązki zgłaszania incydentów dla operatorów usług kluczowych i niektórych dostawców usług cyfrowych (platform handlowych online, wyszukiwarek i usług przetwarzania w chmurze, które nie są mikro- ani małymi przedsiębiorstwami).

Do najważniejszych obowiązków średnich i dużych dostawców usług cyfrowych należą: zgłaszanie swojej działalności właściwemu organowi (Ministerstwu Transformacji Cyfrowej) w ciągu pierwszych trzech miesięcy, podejmowanie odpowiednich środków technicznych i organizacyjnych w celu zarządzania ryzykiem bezpieczeństwa oraz zgłaszanie istotnych incydentów odpowiedniemu zespołowi CSIRT (w stosownych przypadkach INCIBE-CERT).

Środki te muszą uwzględniać bezpieczeństwo infrastruktury IT , zarządzanie incydentami, ciągłość działania, monitorowanie i audyt, a także zgodność z normami międzynarodowymi. Chociaż norma nie zawiera wyczerpującego wykazu kontroli, jasno definiuje obszary, które muszą zostać uwzględnione, aby zapewnić racjonalne i proporcjonalne zarządzanie ryzykiem.

Rozwój przepisów nastąpił wraz z dekretem królewskim 43/2021 , który określa dodatkowe obowiązki operatorów sieci i usług komunikacji elektronicznej, wzmacniając bezpieczeństwo i odporność infrastruktury telekomunikacyjnej, jednego z najbardziej krytycznych sektorów narażonych na cyberataki.

Ochrona danych, zaufane usługi i infrastruktura krytyczna

W zakresie prywatności, hiszpańska ustawa organiczna o ochronie danych i gwarancji praw cyfrowych (LOPDGDD) uzupełnia i rozszerza obowiązujące w Hiszpanii rozporządzenie RODO, ustanawiając dodatkowe zabezpieczenia i obowiązki dotyczące wykorzystywania danych osobowych w środowiskach cyfrowych. Ustawa ta nakłada na organizacje obowiązek wdrożenia solidnych mechanizmów kontroli cyberbezpieczeństwa w celu zapobiegania naruszeniom i wyciekom danych.

W obszarze identyfikacji elektronicznej i usług zaufania ustawa 6/2020 dostosowuje przepisy hiszpańskie do rozporządzenia eIDAS, definiując obowiązki dostawców usług zaufania (podpis i pieczęć elektroniczna, poświadczone doręczenie, certyfikaty uwierzytelniania itp.) oraz ustanawiając szczegółowe ramy cyberbezpieczeństwa tych kluczowych usług.

Z drugiej strony, Ustawa 8/2011 o Ochronie Infrastruktury Krytycznej ustanawia ramy prawne dla ochrony systemów i zasobów o kluczowym znaczeniu dla społeczeństwa, gospodarki i bezpieczeństwa narodowego. Chociaż jej geneza jest ściślej związana z ochroną fizyczną, ustawa wyraźnie uznaje, że wiele z tych infrastruktur jest zależnych od sieci i systemów teleinformatycznych, włączając tym samym cyberbezpieczeństwo jako integralną część ogólnej ochrony.

Do tego wszystkiego dochodzi jeszcze Ustawa o telekomunikacji z 2022 r., która nakłada na operatorów telekomunikacyjnych obowiązek przyjęcia środków bezpieczeństwa i zgłaszania odpowiednich incydentów właściwym organom, a także zaktualizowany w 2025 r. Narodowy System Bezpieczeństwa (ENS) , który ustanawia obowiązkowe zasady, wymogi i poziomy bezpieczeństwa dla administracji publicznej i jej dostawców technologii.

Narodowy System Bezpieczeństwa i Administracje Publiczne

Narodowe Ramy Bezpieczeństwa (ENS) stanowią w praktyce ramy cyberbezpieczeństwa dla sektora publicznego w Hiszpanii. Definiują one podstawowe zasady (zapobieganie, wykrywanie, reagowanie, odzyskiwanie, ciągłe doskonalenie) oraz zestaw środków, które należy stosować zgodnie z poziomami bezpieczeństwa (niski, średni, wysoki) powiązanymi z każdym systemem informatycznym.

System ten wymaga od administracji i współpracujących z nimi dostawców przechodzenia okresowych audytów i kontroli bezpieczeństwa , utrzymywania aktualnych zasad, prawidłowego zarządzania tożsamościami i dostępem, stosowania szyfrowania w stosownych przypadkach oraz rejestrowania i analizowania aktywności w celu wykrywania incydentów.

NIS2 w Hiszpanii: kolejna fala regulacji

Hiszpania pracuje już nad dekretem królewskim, który transponuje NIS2 i znacząco zwiększy liczbę sektorów i podmiotów objętych ścisłymi obowiązkami w zakresie cyberbezpieczeństwa. Oprócz sektorów już objętych, zostaną włączone nowe obszary, takie jak niektórzy producenci, usługi pocztowe, badania naukowe, dostawcy zaawansowanych technologii informacyjno-komunikacyjnych i inne.

Do najważniejszych oczekiwanych zmian należy ogólne skrócenie terminów powiadamiania władz o poważnych incydentach, które w wielu przypadkach zostaną skrócone do 24 godzin, a także wzmocnienie odpowiedzialności zarządczej i systemów sankcji , dostosowanych do stawek europejskich (karny do 10 milionów euro lub określonego procentu od światowych obrotów).

Międzynarodowe standardy i normy techniczne cyberbezpieczeństwa

Oprócz przepisów prawnych, organizacje opierają się na standardach technicznych i międzynarodowych ramach prawnych , które określają, jakie mechanizmy kontroli, procesy i najlepsze praktyki należy wdrożyć. Standardy te nie tylko pomagają zapewnić zgodność z przepisami, ale także stanowią dowód należytej staranności wobec klientów, partnerów i organów.

Rodzina norm ISO/IEC 27000 i bezpieczeństwo informacji ISO

Rodzina norm ISO/IEC 27000 to de facto standard w zarządzaniu bezpieczeństwem informacji . Jej rdzeniem jest norma ISO/IEC 27001, która definiuje wymagania dotyczące wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) w oparciu o cykl ciągłego doskonalenia: analiza ryzyka, definiowanie mechanizmów kontrolnych, ich wdrażanie, przegląd i doskonalenie.

Norma oparta jest na normie ISO/IEC 27002, która zawiera kompleksowe wytyczne dotyczące kontroli organizacyjnej, technicznej i fizycznej (polityki, kontroli dostępu, szyfrowania, bezpieczeństwa fizycznego, bezpiecznych operacji, zarządzania incydentami itp.). Powiązane normy to ISO/IEC 27005 (zarządzanie ryzykiem), ISO/IEC 27032 (cyberbezpieczeństwo w ścisłym znaczeniu) oraz ISO/IEC 27701 (prywatność).

W wielu sektorach posiadanie certyfikatu ISO 27001 stało się niemal wymogiem wstępu, ponieważ znacznie zmniejsza prawdopodobieństwo wystąpienia poważnych incydentów , ułatwia przeprowadzanie audytów zgodności (GDPR, NIS2, ENS) i poprawia wizerunek organizacji wśród klientów i inwestorów.

ISO/IEC 27032: Cyberbezpieczeństwo w cyberprzestrzeni

Podczas gdy norma ISO 27001 koncentruje się na całościowym zarządzaniu bezpieczeństwem informacji, norma ISO/IEC 27032 koncentruje się konkretnie na cyberbezpieczeństwie, rozumianym jako ochrona cyberprzestrzeni, w której stykają się użytkownicy, systemy, sieci i łączność , sieci społecznościowe, urządzenia mobilne i infrastruktura krytyczna.

Norma ta zawiera wytyczne dotyczące zwalczania zagrożeń, takich jak zaawansowane złośliwe oprogramowanie, oprogramowanie szpiegujące, phishing i inżynieria społeczna , wzmacniania bezpieczeństwa sieci i usług online, wspierania współpracy między rządami, przedsiębiorstwami i użytkownikami oraz ustanawiania ram udostępniania informacji o incydentach i lukach w zabezpieczeniach.

Jego wdrożenie jest szczególnie przydatne dla organizacji, które opierają się na usługach w chmurze, platformach online i ekosystemach współpracy, gdyż zapewnia im ustrukturyzowany obraz zagrożeń w połączonych środowiskach i priorytetowe kontrole, które muszą uwzględnić.

ISO/IEC 27701: Prywatność i ochrona danych

Norma ISO /IEC 27701 rozszerza system zarządzania bezpieczeństwem informacji (ISMS) określony w normie ISO 27001 o zarządzanie prywatnością danych osobowych. Definiuje ona dodatkowe role, obowiązki i mechanizmy kontroli zarówno dla administratorów danych, jak i podmiotów przetwarzających, i jest ściśle powiązana z wymogami RODO.

Wdrażając tę ​​normę, organizacja może wyraźnie wykazać, że zintegrowała prywatność ze swoim modelem zarządzania , zarządza określonymi ryzykami związanymi z danymi osobowymi oraz sformalizowała procesy mające na celu ochronę praw osób, których dane dotyczą, zarządzanie naruszeniami i ograniczanie międzynarodowego transferu danych.

ISO 22301: Ciągłość działania

Cyberbezpieczeństwo mierzy się nie tylko odpornością na ataki, ale także szybkością, z jaką organizacja może odzyskać siły i kontynuować działalność . Właśnie tutaj pojawia się norma ISO 22301, koncentrująca się na zarządzaniu ciągłością działania.

Norma ta wymaga przeprowadzania ocen wpływu na działalność (BIA), wdrażania strategii ciągłości działania, dokumentowania planów odzyskiwania danych, regularnego testowania oraz utrzymywania mechanizmów komunikacji i koordynacji w czasie kryzysów. Incydent cyberbezpieczeństwa bez planu ciągłości działania może sparaliżować firmę na wiele tygodni i wygenerować straty liczone w milionach.

NIST Cyberbezpieczeństwo Framework

W Stanach Zjednoczonych Ramy Cyberbezpieczeństwa NIST stały się punktem odniesienia, przyjętym również przez organizacje europejskie. Opierają się one na pięciu kluczowych funkcjach: identyfikacji, ochronie, wykrywaniu, reagowaniu i odzyskiwaniu.

Takie podejście pozwala firmom ocenić swoją dojrzałość w każdej funkcji , ustalić priorytety inwestycji i zaprojektować zrównoważony program cyberbezpieczeństwa. Jest ono szczególnie przydatne w kontekście uzupełniania wymagań norm NIS2 lub ISO, ponieważ zapewnia wspólny język i bardzo jasne ramy koncepcyjne.

Narodowy System Bezpieczeństwa (ENS) i certyfikaty w Hiszpanii

W kontekście hiszpańskim, Narodowy System Bezpieczeństwa (ENS) pełni funkcję lokalnego i obowiązkowego odpowiednika wielu zasad norm międzynarodowych , zwłaszcza dla sektora publicznego. Organizacje świadczące usługi dla rządu są często zobowiązane do dostosowania się do tego systemu, co w praktyce zmusza je do przyjęcia modeli podobnych do ISO 27001 i 27002.

Wraz z Narodowym Systemem Bezpieczeństwa (ENS) rośnie liczba certyfikacji, takich jak ISO 27001 i ramy NIST . Hiszpania plasuje się w czołówce krajów europejskich pod względem liczby certyfikowanych organizacji, a badania pokazują, że certyfikowane firmy zmniejszają liczbę poważnych incydentów i poprawiają swoje zdolności reagowania na ataki.

Obowiązki i najlepsze praktyki w zakresie cyberbezpieczeństwa dla firm

Niezależnie od litery prawa, każda organizacja przetwarzająca poufne informacje lub świadcząca usługi cyfrowe musi uznać cyberbezpieczeństwo za strategiczną odpowiedzialność . Nawet jeśli firma nie podlega ścisłemu zakresowi NIS2 lub Królewskiego Dekretu-Ustawy 12/2018, władze zalecają wdrożenie solidnego planu bezpieczeństwa.

Analiza ryzyka i audyt wstępny

Pierwszym rozsądnym krokiem jest przeprowadzenie analizy ryzyka, która pozwoli zidentyfikować kluczowe zasoby (dane, systemy, procesy), luki techniczne i organizacyjne, najbardziej prawdopodobne zagrożenia (oprogramowanie wymuszające okup, phishing, DDoS, wycieki wewnętrzne) oraz potencjalny wpływ każdego scenariusza.

Jednocześnie audyt cyberbezpieczeństwa pozwala ocenić aktualny poziom dojrzałości: obowiązujące polityki, konfiguracje techniczne, poziomy stosowania poprawek, szkolenia personelu, zależność od podmiotów zewnętrznych itp. Ten kompleksowy przegląd pozwala na opracowanie realistycznego planu działania, priorytetyzującego środki zapewniające największy zwrot z inwestycji w redukcję ryzyka.

Definicja wewnętrznych polityk i procedur

Po zrozumieniu ryzyka nadszedł czas na przełożenie decyzji na jasne wewnętrzne zasady i procedury operacyjne . Obejmuje to zdefiniowanie dozwolonych aplikacji, sposobu zarządzania kontami użytkowników, wymagań dotyczących haseł, sposobu korzystania z urządzeń osobistych (BYOD), działań na zewnętrznych nośnikach danych, sposobu tworzenia i testowania kopii zapasowych itd.

Ważne jest również ustalenie procedur zarządzania incydentami (kto za co odpowiada, kiedy powiadomić, do kogo przekazać dalej), zasad korzystania z korporacyjnych środków komunikacji (poczta e-mail, narzędzia współpracy), zasad dostępu fizycznego do obiektów oraz kryteriów bezpieczeństwa, które należy wymagać od dostawców usług w chmurze lub hostingu.

Automatyzacja i narzędzia technologiczne

Same zasady są bez znaczenia bez narzędzi technologicznych ułatwiających ich wdrażanie . Kluczowe elementy obejmują systemy wykrywania i zapobiegania włamaniom (IDS/IPS), rozwiązania do zarządzania tożsamością i dostępem (IAM), platformy korelacji informacji i zdarzeń bezpieczeństwa (SIEM) oraz rozwiązania do szyfrowania danych w spoczynku i w ruchu.

Automatyzacja jest również niezwykle istotna w zarządzaniu cyklem życia certyfikatów cyfrowych , których źle zarządzane terminy wygaśnięcia powodują więcej incydentów, niż się wydaje: przerwy w świadczeniu usług, błędy uwierzytelniania, a nawet naruszenia bezpieczeństwa, jeśli zagrożone certyfikaty nie zostaną na czas odwołane.

Zarządzanie certyfikatami cyfrowymi i podpisywanie kodu

Cyfrowe certyfikaty serwera i użytkownika (DV, OV, EV) są niezbędne do zapewnienia autentyczności witryny internetowej, poufności komunikacji i integralności wymienianych danych. Organizacje powinny upewnić się, że wybrały odpowiedni typ certyfikatu, scentralizowały jego zarządzanie, otrzymywały powiadomienia o wygaśnięciu i zautomatyzowały odnawianie, gdy tylko jest to możliwe.

Jednocześnie, dla firm tworzących oprogramowanie lub dystrybuujących aplikacje, cyfrowe podpisywanie kodu stanowi podstawową kontrolę: gwarantuje, że kod nie został zmodyfikowany od momentu jego wydania i uniemożliwia użytkownikom instalowanie plików wykonywalnych zmodyfikowanych przez złośliwe oprogramowanie. Certyfikaty do podpisywania kodu, zwłaszcza te z rozszerzoną walidacją (EV), spełniają standardy zaufania wymagane przez systemy operacyjne i przeglądarki.

Bezpieczeństwo poczty elektronicznej i szkolenia personelu

E-mail pozostaje preferowanym nośnikiem ataku: kampanie phishingowe i złośliwe oprogramowanie rozsyłane pocztą elektroniczną stoją za zdecydowaną większością incydentów . Aby ograniczyć to ryzyko, konieczne jest wdrożenie protokołów takich jak SPF, DKIM i DMARC, stosowanie szyfrowania i podpisów cyfrowych w poufnych wiadomościach e-mail, wdrażanie zaawansowanych rozwiązań filtrujących oraz korzystanie z bezpiecznych rozszerzeń przeglądarki.

Jednak sama technologia nie wystarczy bez ciągłego szkolenia i świadomości . Doświadczenie pokazuje, że ponad 80% incydentów ma czynnik ludzki: nieautoryzowane kliknięcia, udostępnianie danych uwierzytelniających, słabe hasła, nieostrożne korzystanie z urządzeń osobistych itd. Integracja cyberbezpieczeństwa z kulturą firmy jest równie ważna, jak instalacja dobrej zapory sieciowej.

Rola organizacji międzynarodowych w regulacji cyberbezpieczeństwa

Cyberbezpieczeństwo jest z definicji problemem transgranicznym, dlatego też organizacje takie jak ONZ, NATO, G7 czy G20 odgrywają istotną rolę w opracowywaniu zasad, zaleceń i ram współpracy, które mają bezpośredni wpływ na przepisy hiszpańskie i europejskie.

Rada Europy promowała Konwencję Budapeszteńską o Cyberprzestępczości , która pozostaje wzorcowym traktatem międzynarodowym w zakresie ścigania cyberprzestępstw. Hiszpania dostosowała swój Kodeks karny i procedury współpracy sądowej do tej konwencji, ułatwiając dochodzenie i ściganie przestępstw o ​​charakterze transgranicznym.

Równocześnie fora takie jak G7 i G20 wydały zobowiązania polityczne dotyczące ochrony infrastruktury krytycznej, walki z cyberprzestępczością, zarządzania internetem i ochrony danych . Wytyczne te wpływają na opracowywanie krajowych strategii cyberbezpieczeństwa i reform prawnych, które wzmacniają odporność systemu finansowego, sektora energetycznego i e-administracji.

NATO ze swojej strony włączyło cyberprzestrzeń jako kolejną operacyjną domenę obrony zbiorowej . Udział Hiszpanii w ćwiczeniach takich jak Locked Shields i Cyber ​​Coalition przyczynia się do poprawy zdolności w zakresie cyberobrony, dostosowania ustawodawstwa krajowego i wzmocnienia współpracy z sojusznikami w przypadku cyberataków na dużą skalę.

Wreszcie ONZ, za pośrednictwem Międzynarodowego Związku Telekomunikacyjnego (ITU) i innych organizacji, promuje globalne standardy, zalecenia techniczne i programy szkoleniowe , które pomagają krajom opracować spójne ramy regulacyjne, chronić prawa człowieka w cyberprzestrzeni i lepiej koordynować działania w odpowiedzi na wspólne zagrożenia cybernetyczne.

Całe te międzynarodowe ramy wywierają silną presję na Hiszpanię i pozostałe państwa UE , aby stale uaktualniały swoje ramy prawne i dostosowywały je do światowych standardów , zarówno w zakresie zapobiegania, jak i reagowania na incydenty.

Ogólnie rzecz biorąc, regulacje dotyczące cyberbezpieczeństwa stały się rodzajem tarczy regulacyjnej, która ewoluuje w tym samym szalonym tempie co zagrożenia: dyrektywy europejskie, takie jak NIS2, rozporządzenia, takie jak GDPR, DORA czy eIDAS, przepisy krajowe, programy bezpieczeństwa publicznego, normy ISO i ramy NIST pasują do siebie jak elementy układanki, która zmusza organizacje do traktowania zarządzania ryzykiem cyfrowym bardzo poważnie, do profesjonalizacji swoich programów bezpieczeństwa i założenia, że ​​cyberodporność nie jest już dodatkiem, ale warunkiem niezbędnym, aby móc nadal konkurować i działać z gwarancjami we współczesnej gospodarce.