Регулирование кибербезопасности: законы, стандарты и обязательства.

Альфа-гид » Игры » Регулирование кибербезопасности: законы, стандарты и обязательства.

Правила кибербезопасности стали основополагающим элементом, позволяющим предприятиям, государственным администрациям и гражданам работать с относительным спокойствием во все более агрессивной цифровой среде. Атаки программ-вымогателей, масштабные утечки данных, кража личных данных и саботаж критической инфраструктуры перестали быть фантастикой и стали обыденным явлением для организаций всех размеров.

В сложившейся ситуации решение не может ограничиваться установкой антивирусного программного обеспечения и надеждой на лучшее: необходима надежная, согласованная и постоянно развивающаяся нормативно-правовая база для определения четких обязательств, установления минимальных стандартов безопасности и содействия международному сотрудничеству. В следующих параграфах вы найдете всесторонний обзор испанской и европейской правовой базы, наиболее важных технических стандартов (ISO, NIST, ENS), обязательств компаний и новых тенденций в области регулирования.

Что такое кибербезопасность и какие виды угроз регулируется законом?

Когда мы говорим о кибербезопасности, мы имеем в виду защиту систем, сетей и данных от любого несанкционированного доступа, использования, изменения или уничтожения. Определение, используемое Национальной инициативой США по развитию карьеры и исследований в области кибербезопасности (NICCS), описывает её как деятельность, процесс или возможность, посредством которых информационные и коммуникационные системы, а также содержащаяся в них информация, защищаются от повреждений или эксплуатации.

На практике это выражается в комплексе технических, организационных, правовых и обучающих мер , направленных на защиту цифровой информации во взаимосвязанной сетевой среде. Кибербезопасность относится к сфере информационной безопасности, но с очень четким акцентом на риски, возникающие именно в киберпространстве.

В этом контексте возникают связанные понятия, на которых также фокусируется регулирование, такие как киберпреступность, киберугрозы и само киберпространство . Киберпреступность включает в себя преступные действия, совершаемые через Интернет (онлайн-мошенничество, атаки на системы, вымогательство с помощью программ-вымогателей и т. д.). Киберугрозы — это возможности или шансы причинить вред с использованием цифровых средств. А киберпространство понимается как взаимосвязанная реальность, выходящая за пределы Интернета и объединяющая сети, устройства и системы по всему миру.

Незаконные действия, подпадающие под эту категорию, весьма разнообразны: от мошенничества в электронной коммерции или кражи учетных данных до внедрения вредоносного ПО в системы компании, распространения фейковых новостей с целью причинения вреда отдельным лицам, подделки брендов или преднамеренных атак на критическую инфраструктуру. Таким образом, кибербезопасность связана с различными отраслями права, такими как уголовное право, гражданское право, защита данных, а также права на честь и неприкосновенность частной жизни.

Ключевой момент кроется в онлайн-измерении действий и их последствиях : когда атака совершается в цифровой среде, скорость распространения, географический охват и сложность установления вины полностью меняют правила игры. Это оправдывает быструю адаптацию законодательства для охвата ситуаций, которые даже не рассматривались в реальном мире.

Европейская нормативно-правовая база в области кибербезопасности

Европейский союз разработал всеобъемлющую нормативно-правовую базу для борьбы с киберугрозами , объединяющую директивы, регламенты и конкретные стратегии. Цель двояка: во-первых, повысить минимальный уровень безопасности во всех государствах-членах; и во-вторых, предотвратить превращение уязвимости одной страны в лазейку для компрометации других.

Директивы NIS и NIS2: основа кибербезопасности в ЕС.

Первым важным шагом в этом процессе стала Директива 2016/1148, известная как Директива о национальной информационной безопасности (НИБ) , которая устанавливает меры по обеспечению единого уровня безопасности сетей и информационных систем на всей территории ЕС. Этот регламент требует от государств-членов принятия национальных стратегий кибербезопасности, создания групп реагирования на инциденты компьютерной безопасности (CSIRT) и мониторинга операторов основных услуг и поставщиков цифровых услуг.

Директива NIS конкретно регулирует обязанности операторов основных услуг (таких как энергетика, транспорт, здравоохранение и банковское дело) и некоторых поставщиков цифровых услуг. Они обязаны принимать технические и организационные меры, соразмерные риску, обеспечивать надлежащий уровень безопасности и незамедлительно уведомлять компетентный орган или национальную группу реагирования на инциденты информационной безопасности о значительных инцидентах.

Однако рост киберпреступности и ускорение цифровизации после пандемии продемонстрировали необходимость дальнейших шагов. Это привело к принятию Директивы (ЕС) 2022/2555, известной как NIS2 , которая расширяет перечень охватываемых секторов, ужесточает требования к управлению рисками и значительно сокращает сроки уведомления об инцидентах (24 часа для первого сообщения).

NIS2 включает в себя новые обязательства в области безопасности, устанавливает более строгие режимы надзора и соответствующие экономические санкции для важных и значимых субъектов, а также прямо указывает на ответственность органов управления, которые должны быть вовлечены в управление кибербезопасностью и могут быть подвергнуты санкциям в случае грубой халатности.

Регламент ЕС по кибербезопасности и система сертификации

Еще одним ключевым элементом является Регламент ЕС по кибербезопасности 2019 года , который усиливает полномочия ENISA (Агентства Европейского союза по кибербезопасности) и создает европейскую систему сертификации кибербезопасности для ИКТ-продуктов, услуг и процессов.

Благодаря этой системе компания может сертифицировать продукт или услугу в области кибербезопасности всего один раз, и этот сертификат будет признан на всей территории ЕС, что упростит внутреннюю торговлю и повысит доверие рынка. Сертификация становится знаком качества, который облегчает демонстрацию соответствия требованиям безопасности, предъявляемым клиентами и регулирующими органами.

Европейская комиссия совершенствует эту структуру и предложила конкретные изменения, такие как утвержденное в январе 2025 года, которые позволят применять европейские схемы сертификации к управляемым услугам безопасности (реагирование на инциденты, тестирование на проникновение, аудит безопасности, консалтинг и т. д.). Цель состоит в том, чтобы укрепить доверие к услугам, которые имеют решающее значение для предотвращения, обнаружения и восстановления после кибератак.

Новая должность в ENISA

ENISA эволюционировала из преимущественно технического и консультативного органа в организацию с постоянным и расширенным мандатом . Ее ключевые функции включают подготовку основы для схем сертификации, публичную отчетность о выданных сертификатах, поддержку оперативного сотрудничества между государствами-членами и выполнение функций контактного лица в крупных трансграничных инцидентах.

Кроме того, Комиссия предложила ENISA разработать единую общеевропейскую систему управления уязвимостями , предоставляющую услуги заинтересованным сторонам и обеспечивающую единую точку входа для сообщения об инцидентах, как это предусмотрено в таких инициативах, как Digital Omnibus. Все это направлено на гармонизацию управления уязвимостями и улучшение скоординированного реагирования на сложные атаки.

GDPR, eIDAS, DORA и другие ключевые элементы

Наряду с NIS2 и Регламентом о кибербезопасности, другие европейские нормативные акты оказывают непосредственное влияние на кибербезопасность. Общий регламент по защите данных (GDPR) требует принятия соответствующих технических и организационных мер для гарантирования конфиденциальности, целостности и доступности персональных данных, при этом штрафы могут достигать 4% от мирового оборота.

Регламент eIDAS , в свою очередь, устанавливает рамки для электронной идентификации и доверительных услуг (электронные подписи, печати, временные метки, сертифицированная электронная доставка, аутентификация веб-сайтов). Устанавливая очень строгие требования к безопасности, он становится важнейшим элементом обеспечения доверия к цифровым транзакциям как в государственном, так и в частном секторах.

В финансовом секторе Положение DORA (Закон о цифровой операционной устойчивости) добавляет дополнительный уровень обязательств в отношении цифровой устойчивости, расширенного тестирования на проникновение, управления критически важными сторонними ИКТ-системами и уведомления об инцидентах, что соответствует духу NIS2, но с очень специфическим акцентом на финансовые услуги.

Регулирование кибербезопасности в Испании

Испания адаптирует свое законодательство в соответствии с европейскими требованиями, одновременно удовлетворяя собственные потребности в защите. Ключевым ориентиром является Кодекс законов о кибербезопасности, опубликованный в Официальном государственном вестнике (BOE), в котором собраны основные нормативные акты, касающиеся этой области.

Королевский указ-закон 12/2018 и последующие изменения

Королевский декрет-закон 12/2018 о безопасности сетей и информационных систем является нормативным актом, имплементирующим первую директиву NIS в испанское законодательство. Он определяет требования к безопасности и обязанности по сообщению об инцидентах для операторов основных услуг и некоторых поставщиков цифровых услуг (онлайн-торговые площадки, поисковые системы и облачные вычислительные сервисы, не являющиеся микро- или малыми предприятиями).

К числу наиболее важных обязательств для средних и крупных поставщиков цифровых услуг относятся: информирование компетентного органа (Министерства цифровой трансформации) о своей деятельности в течение первых трех месяцев, принятие соответствующих технических и организационных мер по управлению рисками безопасности, а также уведомление о значительных инцидентах в соответствующий CSIRT (в соответствующих случаях, INCIBE-CERT).

Эти меры должны учитывать безопасность ИТ-инфраструктуры , управление инцидентами, обеспечение непрерывности бизнеса, мониторинг и аудит, а также соответствие международным стандартам. Хотя стандарт не содержит исчерпывающего перечня мер контроля, он четко определяет области, которые должны быть охвачены для достижения разумного и соразмерного управления рисками.

Нормативно-правовая база разработана в соответствии с Королевским указом 43/2021 , который устанавливает дополнительные обязательства для операторов сетей и услуг электронной связи, усиливая безопасность и устойчивость телекоммуникационной инфраструктуры, одного из наиболее важных секторов, подверженных кибератакам.

Защита данных, надежные услуги и критически важная инфраструктура

В сфере защиты персональных данных испанский Органический закон о защите данных и гарантии цифровых прав (LOPDGDD) дополняет и расширяет действие GDPR в Испании, устанавливая дополнительные гарантии и обязательства в отношении использования персональных данных в цифровой среде. Это законодательство требует от организаций внедрения надежных мер кибербезопасности для предотвращения утечек и нарушений защиты данных.

В сфере электронной идентификации и доверительных услуг Закон 6/2020 адаптирует испанское законодательство к Регламенту eIDAS, определяя обязанности поставщиков доверительных услуг (электронная подпись и печать, заверенная доставка, сертификаты аутентификации и т. д.) и устанавливая детальную основу для кибербезопасности этих критически важных услуг.

С другой стороны, Закон 8/2011 о защите критической инфраструктуры устанавливает правовую основу для защиты систем и активов, имеющих важное значение для общества, экономики и национальной безопасности. Хотя его истоки более тесно связаны с физической защитой, закон прямо признает, что многие из этих инфраструктур зависят от ИКТ-сетей и систем, таким образом, включая кибербезопасность в качестве неотъемлемой части общей защиты.

Вдобавок ко всему этому действует Общий закон о телекоммуникациях 2022 года, который обязывает операторов связи принимать меры безопасности и уведомлять соответствующие инциденты власти, а также Национальная схема безопасности (НСБ) , обновленная в 2025 году, которая устанавливает обязательные принципы, требования и уровни безопасности для государственных администраций и их поставщиков технологий.

Национальная система безопасности и государственное управление

Национальная система кибербезопасности (ENS) на практике представляет собой основу кибербезопасности для государственного сектора Испании. Она определяет основные принципы (предотвращение, обнаружение, реагирование, восстановление, постоянное совершенствование) и устанавливает набор мер, которые должны применяться в зависимости от уровня безопасности (низкий, средний, высокий), связанного с каждой информационной системой.

Данная схема требует от администраций и работающих с ними поставщиков проходить периодические проверки и контроль безопасности , поддерживать актуальность политик, надлежащим образом управлять идентификацией и доступом, применять шифрование там, где это необходимо, а также регистрировать и анализировать активность для выявления инцидентов.

NIS2 в Испании: следующая волна регулирования

Испания уже работает над Королевским указом, который имплементирует NIS2 и значительно расширит число секторов и организаций, подлежащих строгим обязательствам в области кибербезопасности. В дополнение к уже охваченным секторам, будут включены новые области, такие как некоторые производители, почтовые службы, научно-исследовательские учреждения, передовые поставщики ИКТ-услуг и другие.

К числу наиболее существенных ожидаемых изменений относится общее сокращение сроков уведомления властей о серьезных инцидентах, которые во многих случаях будут сокращены до 24 часов, а также усиление ответственности руководства и режимов санкций в соответствии с европейскими стандартами (штрафы до 10 миллионов евро или процент от мирового оборота).

Международные технические стандарты и нормы в области кибербезопасности

Помимо законодательства, организации полагаются на технические стандарты и международные рамки , которые определяют, какие меры контроля, процессы и передовые методы следует внедрять. Эти стандарты не только помогают обеспечить соблюдение нормативных требований, но и демонстрируют должную осмотрительность перед клиентами, партнерами и властями.

Семейство стандартов ISO/IEC 27000 и стандарты информационной безопасности ISO.

Семейство стандартов ISO/IEC 27000 является де-факто стандартом в области управления информационной безопасностью . В его основе лежит стандарт ISO/IEC 27001, который определяет требования к внедрению системы управления информационной безопасностью (СУИБ) на основе цикла непрерывного совершенствования: анализ рисков, определение мер контроля, их внедрение, их проверка и улучшение.

Стандарт основан на ISO/IEC 27002, который содержит исчерпывающие рекомендации по организационным, техническим и физическим средствам контроля (политики, контроль доступа, шифрование, физическая безопасность, безопасные операции, управление инцидентами и т. д.). К смежным стандартам относятся ISO/IEC 27005 (управление рисками), ISO/IEC 27032 (кибербезопасность в строгом смысле) и ISO/IEC 27701 (конфиденциальность).

Во многих отраслях наличие сертификата ISO 27001 стало практически обязательным условием, поскольку он значительно снижает вероятность серьезных инцидентов , упрощает проведение аудитов на соответствие требованиям (GDPR, NIS2, ENS) и улучшает имидж организации в глазах клиентов и инвесторов.

ISO/IEC 27032: Кибербезопасность в киберпространстве

В то время как стандарт ISO 27001 фокусируется на общем управлении информационной безопасностью, стандарт ISO/IEC 27032 конкретно посвящен кибербезопасности, понимаемой как защита киберпространства, где взаимодействуют пользователи, системы, сети и средства связи , социальные сети, мобильные устройства и критически важная инфраструктура.

Этот стандарт содержит рекомендации по борьбе с такими угрозами, как сложные вредоносные программы, шпионское ПО, фишинг и социальная инженерия , по укреплению безопасности сетей и онлайн-сервисов, по содействию сотрудничеству между правительствами, предприятиями и пользователями, а также по созданию механизмов обмена информацией об инцидентах и ​​уязвимостях.

Его внедрение особенно полезно для организаций, которые полагаются на облачные сервисы, онлайн-платформы и экосистемы для совместной работы, поскольку оно предоставляет им структурированное представление об угрозах во взаимосвязанных средах и приоритетных мерах контроля, которые им необходимо принять.

ISO/IEC 27701: Конфиденциальность и защита данных

Стандарт ISO /IEC 27701 расширяет систему управления информационной безопасностью (СУИБ) стандарта ISO 27001, охватывая управление конфиденциальностью персональных данных. Он определяет дополнительные роли, обязанности и механизмы контроля как для контролеров, так и для обработчиков данных и тесно связан с требованиями GDPR.

Внедрение этого стандарта позволяет организации наглядно продемонстрировать, что она интегрировала защиту конфиденциальности в свою модель управления , управляет конкретными рисками, связанными с персональными данными, и формализовала процессы для обеспечения прав субъектов данных, управления утечками и ограничения международной передачи данных.

ISO 22301: Обеспечение непрерывности бизнеса

Кибербезопасность оценивается не только по способности противостоять атаке, но и по скорости, с которой организация может восстановиться и продолжить работу . Именно здесь вступает в игру стандарт ISO 22301, ориентированный на управление непрерывностью бизнеса.

Этот стандарт требует проведения оценки воздействия на бизнес (BIA), разработки стратегий обеспечения непрерывности бизнеса, документированных планов восстановления, регулярного тестирования, а также поддержания механизмов связи и координации во время кризисов. Кибербезопасность в случае отсутствия плана обеспечения непрерывности бизнеса может парализовать компанию на несколько недель и привести к многомиллионным убыткам.

NIST Структура кибербезопасности

В Соединенных Штатах структура NIST Cybersecurity Framework стала эталоном, который также был принят европейскими организациями. Она построена вокруг пяти ключевых функций: идентификация, защита, обнаружение, реагирование и восстановление.

Такой подход позволяет компаниям оценивать уровень зрелости каждой функции , расставлять приоритеты в инвестициях и разрабатывать сбалансированную программу кибербезопасности. Он особенно полезен для дополнения требований стандартов NIS2 или ISO, поскольку обеспечивает общий язык и очень четкую концептуальную основу.

Национальная система безопасности (ENS) и сертификация в Испании

В испанском контексте Национальная схема безопасности (ENS) выступает в качестве локального и обязательного воплощения многих принципов международных стандартов , особенно для государственного сектора. Организации, предоставляющие услуги правительству, часто обязаны привести свою деятельность в соответствие с этой схемой, что на практике вынуждает их внедрять модели, аналогичные ISO 27001 и 27002.

Наряду с Национальной схемой безопасности (ENS), растет внедрение таких сертификатов, как ISO 27001 и стандартов NIST . Испания входит в число ведущих стран Европы по количеству сертифицированных организаций, а исследования показывают, что сертифицированные компании сокращают количество серьезных инцидентов и повышают свою способность реагировать на атаки.

Обязанности и лучшие практики в области кибербезопасности для компаний

Помимо буквы закона, любая организация, работающая с конфиденциальной информацией или предоставляющая цифровые услуги, должна рассматривать кибербезопасность как стратегическую ответственность . Даже если компания не подпадает под строгую юрисдикцию NIS2 или Королевского декрета-закона 12/2018, власти рекомендуют внедрить надежный план обеспечения безопасности.

Анализ рисков и первичный аудит

Первым разумным шагом является проведение анализа рисков, который выявляет критически важные активы (данные, системы, процессы), технические и организационные уязвимости, наиболее вероятные угрозы (программы-вымогатели, фишинг, DDoS-атаки, внутренние утечки) и потенциальное воздействие каждого сценария.

Параллельно с этим, аудит кибербезопасности позволяет оценить текущий уровень зрелости: существующие политики, технические конфигурации, уровни обновления программного обеспечения, обучение персонала, зависимость от третьих сторон и т. д. Этот всесторонний обзор позволяет разработать реалистичный план действий, расставив приоритеты в мерах с наибольшей отдачей от инвестиций в снижение рисков.

Определение внутренних политик и процедур

После того как риск будет понят, настанет время преобразовать принятые решения в четкие внутренние политики и операционные процедуры . Это включает в себя определение того, какие приложения разрешены, как управляются учетные записи пользователей, какие требования к паролям применяются, как используются личные устройства (BYOD), что делается с внешними носителями информации, как выполняется и тестируется резервное копирование и так далее.

Также крайне важно разработать процедуры управления инцидентами (кто что делает, когда уведомлять, кому передавать информацию на рассмотрение вышестоящим инстанциям), правила использования корпоративных средств связи (электронная почта, инструменты для совместной работы), правила физического доступа к объектам и критерии безопасности, которые необходимо предъявлять к поставщикам облачных или хостинговых услуг.

Автоматизация и технологические средства

Сами по себе политики бессмысленны без технологических инструментов, облегчающих их реализацию . Ключевые компоненты включают системы обнаружения и предотвращения вторжений (IDS/IPS), решения для управления идентификацией и доступом (IAM), платформы корреляции информации и событий безопасности (SIEM), а также решения для шифрования данных в состоянии покоя и при передаче.

Автоматизация также имеет решающее значение для управления жизненным циклом цифровых сертификатов , ненадлежащим образом управляемый процесс истечения срока их действия приводит к гораздо большему числу инцидентов, чем кажется: перебоям в работе сервисов, сбоям аутентификации или даже нарушениям безопасности, если скомпрометированные сертификаты не будут отозваны вовремя.

Управление цифровыми сертификатами и подпись кода

Цифровые сертификаты сервера и пользователя (DV, OV, EV) необходимы для обеспечения подлинности веб-сайта, конфиденциальности коммуникаций и целостности обмениваемых данных. Организациям следует выбирать подходящий тип сертификата, централизовать его управление, получать уведомления об истечении срока действия и автоматизировать продление, когда это возможно.

Параллельно с этим, для компаний, разрабатывающих программное обеспечение или распространяющих приложения, цифровая подпись кода является основополагающим инструментом контроля: она гарантирует, что код не был изменен с момента его выпуска, и предотвращает установку пользователями исполняемых файлов, модифицированных вредоносным ПО. Сертификаты цифровой подписи кода, особенно те, которые имеют расширенную проверку подлинности (EV), соответствуют стандартам доверия, требуемым операционными системами и браузерами.

Безопасность электронной почты и обучение персонала

Электронная почта остается предпочтительным каналом атаки для злоумышленников: фишинговые кампании и вредоносное ПО, распространяемое по электронной почте, являются причиной подавляющего большинства инцидентов . Для снижения этого риска необходимо внедрять такие протоколы, как SPF, DKIM и DMARC, использовать шифрование и цифровые подписи в конфиденциальных электронных письмах, а также развертывать передовые решения для фильтрации и использовать безопасные расширения для браузеров.

Однако одних только технологий недостаточно без постоянного обучения и повышения осведомленности . Опыт показывает, что более 80% инцидентов имеют человеческий фактор: несанкционированные клики, совместное использование учетных данных, слабые пароли, неосторожное использование личных устройств и так далее. Интеграция кибербезопасности в корпоративную культуру так же важна, как и установка хорошего межсетевого экрана.

Роль международных организаций в регулировании кибербезопасности

Кибербезопасность по определению является трансграничной проблемой, и именно поэтому такие организации, как ООН, НАТО, G7 или G20, играют важную роль в разработке принципов, рекомендаций и рамок сотрудничества, которые напрямую влияют на испанское и европейское законодательство.

Совет Европы продвигал Будапештскую конвенцию о киберпреступности , которая остается эталонным международным договором по преследованию киберпреступлений. Испания привела свой Уголовный кодекс и процедуры судебного сотрудничества в соответствие с этой конвенцией, что облегчает расследование и преследование преступлений, выходящих за пределы национальных границ.

Параллельно такие форумы, как G7 и G20, приняли политические обязательства по защите критической инфраструктуры, борьбе с киберпреступностью, управлению интернетом и защите данных . Эти руководящие принципы влияют на разработку национальных стратегий кибербезопасности и правовых реформ, направленных на повышение устойчивости финансовой системы, энергетического сектора и электронного правительства.

НАТО, со своей стороны, включило киберпространство в качестве еще одной оперативной области коллективной обороны . Участие Испании в таких учениях, как Locked Shields и Cyber ​​Coalition, способствует повышению возможностей киберзащиты, корректировке национального законодательства и укреплению сотрудничества с союзниками в случае крупномасштабных кибератак.

Наконец, ООН, через Международный союз электросвязи (МСЭ) и другие организации, продвигает глобальные стандарты, технические рекомендации и программы обучения , которые помогают странам разрабатывать согласованные нормативно-правовые рамки, защищать права человека в киберпространстве и лучше координировать действия против общих киберугроз.

Вся эта международная система оказывает сильное давление на Испанию и остальные государства ЕС, требуя от них обновления и приведения своих правовых рамок в соответствие с мировыми стандартами как в области предотвращения инцидентов, так и в области реагирования на них.

В целом, регулирование кибербезопасности стало своего рода регуляторным щитом, который развивается с той же бешеной скоростью, что и угрозы: европейские директивы, такие как NIS2, регламенты, такие как GDPR, DORA или eIDAS, национальные законы, схемы общественной безопасности, стандарты ISO и структуры NIST складываются, как кусочки пазла, заставляя организации очень серьезно относиться к управлению цифровыми рисками, профессионализировать свои программы безопасности и исходить из того, что киберустойчивость больше не является чем-то дополнительным, а является необходимым условием для продолжения конкуренции и работы с гарантиями в современной экономике.