Regulácia kybernetickej bezpečnosti: zákony, normy a povinnosti

Alfa sprievodca » Juegos » Regulácia kybernetickej bezpečnosti: zákony, normy a povinnosti

Predpisy v oblasti kybernetickej bezpečnosti sa stali základným pilierom pre podniky, verejnú správu a občanov, aby mohli fungovať s relatívnym pokojom v čoraz agresívnejšom digitálnom prostredí. Útoky ransomvéru, masívne úniky údajov, krádeže identity a sabotáže kritickej infraštruktúry už nie sú futuristickými scenármi, ale skôr každodennými javmi pre organizácie všetkých veľkostí.

Vzhľadom na túto situáciu sa riešenie nemôže obmedziť na inštaláciu antivírusového softvéru a dúfanie v to najlepšie: je potrebný robustný, ucelený a neustále sa vyvíjajúci regulačný rámec, ktorý definuje jasné povinnosti, stanoví minimálne bezpečnostné štandardy a podporí medzinárodnú spoluprácu. V nasledujúcich odsekoch nájdete komplexný prehľad španielskeho a európskeho právneho rámca, najdôležitejších technických noriem (ISO, NIST, ENS), povinností spoločností a vznikajúcich regulačných trendov.

Čo je kybernetická bezpečnosť a aké typy hrozieb zákon upravuje?

Keď hovoríme o kybernetickej bezpečnosti, hovoríme o ochrane systémov, sietí a údajov pred akýmkoľvek neoprávneným prístupom, použitím, úpravou alebo zničením. Definícia používaná americkou Národnou iniciatívou pre kariéry a štúdie v oblasti kybernetickej bezpečnosti (NICCS) ju opisuje ako činnosť, proces alebo schopnosť, ktorou sú informačné a komunikačné systémy a informácie, ktoré obsahujú, chránené pred poškodením alebo zneužitím.

V praxi sa to premieta do súboru technických, organizačných, právnych a školiacich opatrení zameraných na ochranu digitálnych informácií v prepojenom sieťovom prostredí. Kybernetická bezpečnosť spadá pod informačnú bezpečnosť, ale s veľmi jasným zameraním na riziká, ktoré vznikajú konkrétne v kyberpriestore.

V tejto súvislosti sa objavujú súvisiace koncepty, na ktoré sa regulácia tiež zameriava, ako napríklad kybernetická kriminalita, kybernetické hrozby a samotný kyberpriestor . Kybernetická kriminalita zahŕňa trestnú činnosť páchanú prostredníctvom internetu (online podvody, systémové útoky, vydieranie ransomvérom atď.). Kybernetické hrozby sú možnosti alebo príležitosti na spôsobenie škody pomocou digitálnych prostriedkov. Kybernetický priestor sa chápe ako prepojená realita, ktorá presahuje rámec internetu a integruje siete, zariadenia a systémy na celom svete.

Nezákonné aktivity, ktoré spadajú pod túto kategóriu, sú veľmi rozmanité: od podvodov v elektronickom obchode alebo krádeže prihlasovacích údajov až po zavedenie škodlivého softvéru do systémov spoločnosti, šírenie falošných správ s cieľom poškodiť jednotlivca, vydávanie sa za inú značku alebo úmyselné útoky na kritickú infraštruktúru. Kybernetická bezpečnosť sa preto spája s rôznymi odvetviami práva, ako je trestné právo, občianske právo, ochrana údajov a právo na česť a súkromie.

Kľúč spočíva v online rozmere správania a jeho dopade : keď je útok spáchaný v digitálnom prostredí, rýchlosť šírenia, geografický dosah a náročnosť pripisovania úplne menia pravidlá hry. To odôvodňuje rýchlu adaptáciu legislatívy tak, aby sa vzťahovala na situácie, ktoré sa vo fyzickom svete ani nezohľadnili.

Európsky regulačný rámec pre kybernetickú bezpečnosť

Európska únia vyvinula komplexný regulačný rámec na riešenie kybernetických hrozieb , ktorý kombinuje smernice, nariadenia a špecifické stratégie. Cieľ je dvojaký: po prvé, zvýšiť minimálnu úroveň bezpečnosti vo všetkých členských štátoch a po druhé, zabrániť tomu, aby sa zraniteľnosť jednej krajiny stala bránou pre ohrozenie iných.

Smernice NIS a NIS2: srdce kybernetickej bezpečnosti v EÚ

Prvým významným krokom v tomto procese bola smernica 2016/1148, známa ako smernica NIS , ktorá zaviedla opatrenia na zabezpečenie spoločnej úrovne bezpečnosti sietí a informačných systémov v celej EÚ. Toto nariadenie vyžaduje, aby členské štáty prijali národné stratégie kybernetickej bezpečnosti, vytvorili tímy pre reakciu na počítačové bezpečnostné incidenty (CSIRT) a monitorovali prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb.

Smernica NIS konkrétne upravuje povinnosti prevádzkovateľov základných služieb (ako sú energetika, doprava, zdravotníctvo a bankovníctvo) a niektorých poskytovateľov digitálnych služieb. Sú povinní prijať technické a organizačné opatrenia primerané riziku, zabezpečiť primeranú úroveň bezpečnosti a bezodkladne informovať príslušný orgán alebo národný tím CSIRT o závažných incidentoch.

Nárast kybernetickej kriminality a zrýchlenie digitalizácie po pandémii však ukázali potrebu ísť ďalej. To viedlo k prijatiu smernice (EÚ) 2022/2555, známej ako NIS2 , ktorá rozširuje rozsah pôsobnosti smernice, sprísňuje požiadavky na riadenie rizík a výrazne skracuje lehoty na hlásenie incidentov (24 hodín pre prvé oznámenie).

NIS2 zahŕňa nové bezpečnostné povinnosti, stanovuje prísnejšie režimy dohľadu a príslušné ekonomické sankcie pre základné a dôležité subjekty a výslovne poukazuje na zodpovednosť riadiacich orgánov, ktoré musia byť zapojené do riadenia kybernetickej bezpečnosti a môžu byť sankcionované v prípade hrubej nedbanlivosti.

Nariadenie EÚ o kybernetickej bezpečnosti a systém certifikácie

Ďalším kľúčovým pilierom je nariadenie EÚ o kybernetickej bezpečnosti z roku 2019 , ktoré posilňuje mandát ENISA (Agentúry Európskej únie pre kybernetickú bezpečnosť) a vytvára európsky rámec certifikácie kybernetickej bezpečnosti pre produkty, služby a procesy IKT.

Vďaka tomuto rámcu môže spoločnosť certifikovať produkt alebo službu kybernetickej bezpečnosti iba raz a tento certifikát bude uznávaný v celej EÚ, čo zjednodušuje vnútorný obchod a zvyšuje dôveru na trhu. Certifikácia sa stáva pečaťou kvality, ktorá uľahčuje preukázanie súladu s bezpečnostnými požiadavkami požadovanými zákazníkmi a regulačnými orgánmi.

Európska komisia tento rámec zdokonaľuje a navrhla konkrétne úpravy, ako napríklad úpravu schválenú v januári 2025, ktoré umožňujú uplatňovať európske certifikačné schémy na spravované bezpečnostné služby (reakcia na incidenty, penetračné testovanie, bezpečnostné audity, poradenstvo atď.). Cieľom je posilniť dôveru v služby, ktoré sú kľúčové pre prevenciu, odhaľovanie a zotavovanie sa z kybernetických útokov.

Nová úloha pre ENISA

Agentúra ENISA sa vyvinula z primárne technického a poradného orgánu na orgán s trvalým a posilneným mandátom . Medzi jej kľúčové funkcie patrí príprava základov pre certifikačné systémy, verejné podávanie správ o vydaných certifikátoch, podpora operačnej spolupráce medzi členskými štátmi a pôsobenie ako referenčný bod pri závažných cezhraničných incidentoch.

Komisia ďalej navrhla, aby agentúra ENISA vyvinula spoločnú celoeurópsku kapacitu riadenia zraniteľností , ktorá by poskytovala služby zainteresovaným stranám a prevádzkovala jednotný kontaktný bod na hlásenie incidentov, ako sa predpokladá v iniciatívach, ako je napríklad Digital Omnibus. Cieľom všetkých týchto opatrení je harmonizovať riadenie zraniteľností a zlepšiť koordinovanú reakciu na komplexné útoky.

GDPR, eIDAS, DORA a ďalšie kľúčové prvky

Popri NIS2 a nariadení o kybernetickej bezpečnosti majú priamy vplyv na kybernetickú bezpečnosť aj ďalšie európske nariadenia. Všeobecné nariadenie o ochrane údajov (GDPR) vyžaduje prijatie vhodných technických a organizačných opatrení na zaručenie dôvernosti, integrity a dostupnosti osobných údajov s pokutami, ktoré môžu dosiahnuť až 4 % celosvetového obratu.

Nariadenie eIDAS zase stanovuje rámec pre elektronickú identifikáciu a dôveryhodné služby (elektronické podpisy, pečate, časové pečiatky, certifikované elektronické doručovanie, autentifikácia webových stránok). Stanovením veľmi prísnych bezpečnostných požiadaviek sa stáva základným prvkom na zabezpečenie dôvery v digitálne transakcie vo verejnom aj súkromnom sektore.

Vo finančnom sektore nariadenie DORA (Digital Operational Resilience Act) pridáva ďalšiu vrstvu povinností týkajúcich sa digitálnej odolnosti, pokročilého penetračného testovania, kritickej správy IKT tretích strán a oznamovania incidentov, čo je v súlade s duchom NIS2, ale s veľmi špecifickým zameraním na finančné služby.

Regulácia kybernetickej bezpečnosti v Španielsku

Španielsko prispôsobuje svoju legislatívu európskym požiadavkám a zároveň rieši vlastné potreby v oblasti ochrany. Kľúčovým referenčným bodom je Zákonník kybernetickej bezpečnosti uverejnený v Úradnom vestníku štátu (BOE), ktorý zhromažďuje hlavné predpisy týkajúce sa tejto oblasti.

Kráľovský dekrét-zákon 12/2018 a následný vývoj

Kráľovský dekrét-zákon č. 12/2018 o bezpečnosti sietí a informačných systémov je nariadenie, ktoré transponuje prvú smernicu NIS do španielskeho práva. Definuje bezpečnostné požiadavky a povinnosti hlásenia incidentov pre prevádzkovateľov základných služieb a niektorých poskytovateľov digitálnych služieb (online trhoviská, vyhľadávače a cloudové výpočtové služby, ktoré nie sú mikropodnikmi alebo malými podnikmi).

Medzi najdôležitejšie povinnosti stredných a veľkých poskytovateľov digitálnych služieb patrí: oznamovanie ich činnosti príslušnému orgánu (Ministerstvu digitálnej transformácie) v priebehu prvých troch mesiacov, prijatie vhodných technických a organizačných opatrení na riadenie bezpečnostných rizík a oznamovanie významných incidentov príslušnému CSIRT (ak je to relevantné, INCIBE-CERT).

Tieto opatrenia musia zohľadňovať bezpečnosť IT infraštruktúry , riadenie incidentov, kontinuitu podnikania, monitorovanie a audit, ako aj súlad s medzinárodnými normami. Hoci norma neposkytuje vyčerpávajúci zoznam kontrol, jasne definuje oblasti, ktoré musia byť pokryté, aby sa dosiahlo primerané a proporcionálne riadenie rizík.

Regulačný vývoj pochádza z kráľovského dekrétu 43/2021 , ktorý stanovuje ďalšie povinnosti pre prevádzkovateľov elektronických komunikačných sietí a služieb, posilňuje bezpečnosť a odolnosť telekomunikačných infraštruktúr, ktoré sú jedným z najkritickejších sektorov a sú vystavené kybernetickým útokom.

Ochrana údajov, dôveryhodné služby a kritická infraštruktúra

Pokiaľ ide o súkromie, španielsky organický zákon o ochrane údajov a záruke digitálnych práv (LOPDGDD) dopĺňa a rozširuje GDPR v Španielsku tým, že stanovuje ďalšie záruky a povinnosti týkajúce sa používania osobných údajov v digitálnom prostredí. Táto legislatíva vyžaduje, aby organizácie zaviedli robustné kontroly kybernetickej bezpečnosti s cieľom zabrániť narušeniu a únikom údajov.

V oblasti elektronickej identifikácie a dôveryhodných služieb zákon č. 6/2020 prispôsobuje španielske predpisy nariadeniu eIDAS, definuje povinnosti poskytovateľov dôveryhodných služieb (elektronický podpis a pečať, overené doručenie, autentifikačné certifikáty atď.) a stanovuje podrobný rámec pre kybernetickú bezpečnosť týchto kritických služieb.

Na druhej strane, zákon č. 8/2011 o ochrane kritickej infraštruktúry stanovuje právny rámec na ochranu systémov a majetku, ktoré sú nevyhnutné pre spoločnosť, hospodárstvo a národnú bezpečnosť. Hoci jeho pôvod je užšie spojený s fyzickou ochranou, zákon výslovne uznáva, že mnohé z týchto infraštruktúr závisia od sietí a systémov IKT, a tým začleňuje kybernetickú bezpečnosť ako neoddeliteľnú súčasť celkovej ochrany.

K tomu všetkému sa pridáva všeobecný zákon o telekomunikáciách z roku 2022, ktorý zaväzuje komunikačných operátorov prijať bezpečnostné opatrenia a oznamovať príslušné incidenty orgánom, ako aj Národná bezpečnostná schéma (ENS) aktualizovaná v roku 2025, ktorá stanovuje povinné bezpečnostné zásady, požiadavky a úrovne pre verejnú správu a jej poskytovateľov technológií.

Systém národnej bezpečnosti a verejná správa

Národný bezpečnostný rámec (ENS) je v praxi rámcom kybernetickej bezpečnosti pre verejný sektor v Španielsku. Definuje základné princípy (prevencia, detekcia, reakcia, obnova, neustále zlepšovanie) a špecifikuje súbor opatrení, ktoré sa musia uplatňovať podľa úrovní bezpečnosti (nízka, stredná, vysoká) spojených s každým informačným systémom.

Táto schéma vyžaduje, aby administratívy a dodávatelia, ktorí s nimi spolupracujú, podstupovali pravidelné bezpečnostné audity a kontroly , udržiavali aktuálne zásady, správne spravovali identity a prístupy, v prípade potreby používali šifrovanie a zaznamenávali a analyzovali aktivitu s cieľom odhaliť incidenty.

NIS2 v Španielsku: ďalšia regulačná vlna

Španielsko už pracuje na kráľovskom dekréte, ktorý transponuje NIS2 a výrazne rozšíri počet sektorov a subjektov podliehajúcich prísnym povinnostiam v oblasti kybernetickej bezpečnosti. Okrem už zahrnutých sektorov budú zahrnuté aj nové oblasti, ako napríklad niektorí výrobcovia, poštové služby, výskum, poskytovatelia pokročilých IKT a ďalšie.

Medzi najdôležitejšie očakávané zmeny patrí všeobecné skrátenie lehôt na oznamovanie závažných incidentov orgánom, ktoré sa v mnohých prípadoch skrátia na 24 hodín, a posilnenie riadiacich zodpovedností a sankčných režimov v súlade s európskymi údajmi (pokuty do výšky 10 miliónov eur alebo percento z celosvetového obratu).

Medzinárodné technické štandardy a normy kybernetickej bezpečnosti

Okrem legislatívy sa organizácie spoliehajú na technické normy a medzinárodné rámce , ktoré špecifikujú, ktoré kontroly, procesy a osvedčené postupy sa majú implementovať. Tieto normy nielen pomáhajú zabezpečiť súlad s predpismi, ale tiež preukazujú náležitú starostlivosť klientom, partnerom a orgánom.

Rodina noriem ISO/IEC 27000 a bezpečnosť informácií ISO

Rodina noriem ISO/IEC 27000 je de facto štandardom v oblasti riadenia informačnej bezpečnosti . Jej jadrom je norma ISO/IEC 27001, ktorá definuje požiadavky na implementáciu systému riadenia informačnej bezpečnosti (ISMS) založeného na cykle neustáleho zlepšovania: analýza rizík, definovanie kontrol, ich implementácia, ich preskúmanie a ich zlepšenie.

Táto norma je založená na norme ISO/IEC 27002, ktorá poskytuje komplexné usmernenia týkajúce sa organizačných, technických a fyzických kontrol (politiky, riadenie prístupu, šifrovanie, fyzické zabezpečenie, bezpečné operácie, riadenie incidentov atď.). Medzi súvisiace normy patria ISO/IEC 27005 (riadenie rizík), ISO/IEC 27032 (kybernetická bezpečnosť v užšom zmysle slova) a ISO/IEC 27701 (ochrana súkromia).

V mnohých odvetviach sa certifikácia ISO 27001 stala takmer vstupnou podmienkou, pretože výrazne znižuje pravdepodobnosť závažných incidentov , uľahčuje audity dodržiavania predpisov (GDPR, NIS2, ENS) a zlepšuje imidž organizácie u zákazníkov a investorov.

ISO/IEC 27032: Kybernetická bezpečnosť v kyberpriestore

Zatiaľ čo norma ISO 27001 sa zameriava na celkové riadenie informačnej bezpečnosti, norma ISO/IEC 27032 sa zameriava konkrétne na kybernetickú bezpečnosť chápanú ako ochrana kybernetického priestoru, v ktorom interagujú používatelia, systémy, siete a konektivita , sociálne siete, mobilné zariadenia a kritická infraštruktúra.

Táto norma poskytuje usmernenia na boj proti hrozbám, ako je pokročilý malware, spyware, phishing a sociálne inžinierstvo , posilňuje bezpečnosť sietí a online služieb, podporuje spoluprácu medzi vládami, podnikmi a používateľmi a vytvára rámce na zdieľanie informácií o incidentoch a zraniteľnostiach.

Jeho implementácia je obzvlášť užitočná pre organizácie, ktoré sa spoliehajú na cloudové služby, online platformy a kolaboratívne ekosystémy, pretože im poskytuje štruktúrovaný pohľad na hrozby v prepojených prostrediach a prioritné kontroly, ktoré musia riešiť.

ISO/IEC 27701: Ochrana súkromia a údajov

Norma ISO /IEC 27701 rozširuje systém riadenia bezpečnosti údajov normy ISO 27001 o správu osobných údajov. Definuje ďalšie úlohy, zodpovednosti a kontroly pre prevádzkovateľov aj spracovateľov údajov a je úzko prepojená s požiadavkami GDPR.

Implementáciou tejto normy môže organizácia jasne preukázať, že integrovala ochranu súkromia do svojho modelu riadenia , riadi špecifické riziká súvisiace s osobnými údajmi a má formalizované procesy na riešenie práv dotknutých osôb, riadenie porušení a obmedzenie medzinárodných prenosov údajov.

ISO 22301: Zabezpečenie kontinuity podnikania

Kybernetická bezpečnosť sa nemeria len schopnosťou odolať útoku, ale aj rýchlosťou, akou sa organizácia dokáže zotaviť a pokračovať v prevádzke . Tu prichádza na rad norma ISO 22301, zameraná na riadenie kontinuity podnikania.

Táto norma vyžaduje posúdenia vplyvu na podnikanie (BIA), zavedenie stratégií kontinuity, zdokumentované plány obnovy, pravidelné testovanie a udržiavanie komunikačných a koordinačných mechanizmov počas kríz. Kybernetický bezpečnostný incident bez plánu kontinuity môže spoločnosť paralyzovať na týždne a spôsobiť straty v miliónoch.

Rámec kybernetickej bezpečnosti NIST

V Spojených štátoch sa rámec kybernetickej bezpečnosti NIST stal referenčným bodom, ktorý prijali aj európske organizácie. Je štruktúrovaný okolo piatich kľúčových funkcií: identifikácia, ochrana, detekcia, reakcia a obnova.

Tento prístup umožňuje spoločnostiam posúdiť svoju vyspelosť v každej funkcii , stanoviť priority investícií a navrhnúť vyvážený program kybernetickej bezpečnosti. Je obzvlášť užitočný na doplnenie požiadaviek noriem NIS2 alebo ISO, pretože poskytuje spoločný jazyk a veľmi jasný koncepčný rámec.

Národný bezpečnostný systém (ENS) a certifikácie v Španielsku

V španielskom kontexte funguje Národná bezpečnostná schéma (ENS) ako lokálny a povinný preklad mnohých zásad medzinárodných noriem , najmä pre verejný sektor. Organizácie, ktoré poskytujú služby vláde, sú často povinné zosúladiť sa s touto schémou, čo ich v praxi núti prijímať modely podobné normám ISO 27001 a 27002.

Spolu s Národnou bezpečnostnou schémou (ENS) rastie aj prijímanie certifikácií, ako sú normy ISO 27001 a rámce NIST . Španielsko sa radí medzi popredné krajiny v Európe z hľadiska počtu certifikovaných organizácií a prieskumy ukazujú, že certifikované spoločnosti znižujú počet závažných incidentov a zlepšujú svoju schopnosť reakcie na útoky.

Povinnosti v oblasti kybernetickej bezpečnosti a osvedčené postupy pre spoločnosti

Okrem litery zákona musí každá organizácia, ktorá nakladá s citlivými informáciami alebo poskytuje digitálne služby, uznať kybernetickú bezpečnosť ako strategickú zodpovednosť . Aj keď spoločnosť nespadá do prísneho rozsahu pôsobnosti NIS2 alebo kráľovského dekrétu-zákona 12/2018, úrady odporúčajú implementovať robustný bezpečnostný plán.

Analýza rizík a počiatočný audit

Prvým rozumným krokom je vykonať analýzu rizík, ktorá identifikuje kritické aktíva (údaje, systémy, procesy), technické a organizačné zraniteľnosti, najpravdepodobnejšie hrozby (ransomware, phishing, DDoS, interné úniky) a potenciálny dopad každého scenára.

Súbežne s tým audit kybernetickej bezpečnosti umožňuje posúdiť aktuálnu úroveň zrelosti: existujúce politiky, technické konfigurácie, úrovne záplat, školenie zamestnancov, závislosť od tretích strán atď. Tento komplexný prehľad umožňuje vypracovať realistický akčný plán, v ktorom sa uprednostnia opatrenia s najväčšou návratnosťou investícií do znižovania rizík.

Definícia interných politík a postupov

Keď je riziko pochopené, je čas preložiť rozhodnutia do jasných interných politík a prevádzkových postupov . To zahŕňa definovanie povolených aplikácií, spôsobu správy používateľských účtov, požiadaviek na heslá, spôsobu používania osobných zariadení (BYOD), postupu pri používaní externých pamäťových médií, vykonávania a testovania záloh atď.

Je tiež nevyhnutné zaviesť postupy riadenia incidentov (kto čo robí, kedy to oznámiť, komu to eskalovať), pravidlá pre používanie firemných komunikačných médií (e-mail, nástroje na spoluprácu), pravidlá pre fyzický prístup k zariadeniam a bezpečnostné kritériá, ktoré sa budú vyžadovať od poskytovateľov cloudových alebo hostingových služieb.

Automatizácia a technologické nástroje

Samotné politiky sú bez technologických nástrojov, ktoré uľahčujú ich implementáciu, bezvýznamné . Medzi kľúčové komponenty patria systémy detekcie a prevencie narušení (IDS/IPS), riešenia správy identít a prístupov (IAM), platformy korelácie bezpečnostných informácií a udalostí (SIEM) a riešenia šifrovania údajov pre uložené aj prenášané údaje.

Automatizácia je tiež dôležitá pri riadení životného cyklu digitálnych certifikátov , ktorých zle spravované expirácie spôsobujú viac incidentov, ako sa zdá: prerušenia služieb, zlyhania autentifikácie alebo dokonca narušenia bezpečnosti, ak nie sú kompromitované certifikáty včas zrušené.

Správa digitálnych certifikátov a podpisovanie kódu

Digitálne certifikáty servera a používateľa (DV, OV, EV) sú nevyhnutné na zabezpečenie autenticity webových stránok, dôvernosti komunikácie a integrity vymieňaných údajov. Organizácie by mali zabezpečiť výber vhodného typu certifikátu, centralizovať jeho správu, dostávať upozornenia na expiráciu a automatizovať obnovy, kedykoľvek je to možné.

Súčasne pre spoločnosti, ktoré vyvíjajú softvér alebo distribuujú aplikácie, je digitálne podpisovanie kódu základnou kontrolou: zaručuje, že kód nebol od jeho vydania pozmenený, a bráni používateľom v inštalácii spustiteľných súborov pozmenených škodlivým softvérom. Certifikáty na podpisovanie kódu, najmä tie s rozšíreným overením (EV), spĺňajú štandardy dôveryhodnosti požadované operačnými systémami a prehliadačmi.

Zabezpečenie e-mailov a školenie zamestnancov

E-mail zostáva preferovaným vektorom útočníkov: za prevažnou väčšinou incidentov stoja phishingové kampane a malware distribuovaný e-mailom . Na zníženie tohto rizika je potrebné implementovať protokoly ako SPF, DKIM a DMARC, používať šifrovanie a digitálne podpisy v citlivých e-mailoch, nasadiť pokročilé riešenia filtrovania a používať bezpečné rozšírenia prehliadača.

Samotná technológia však nestačí bez neustáleho vzdelávania a zvyšovania povedomia . Skúsenosti ukazujú, že viac ako 80 % incidentov má ľudskú zložku: neoprávnené kliknutia, zdieľané prihlasovacie údaje, slabé heslá, neopatrné používanie osobných zariadení atď. Integrácia kybernetickej bezpečnosti do firemnej kultúry je rovnako dôležitá ako inštalácia dobrého firewallu.

Úloha medzinárodných organizácií pri regulácii kybernetickej bezpečnosti

Kybernetická bezpečnosť je z definície cezhraničný problém, a preto organizácie ako OSN, NATO, G7 alebo G20 prevzali dôležitú úlohu pri vývoji zásad, odporúčaní a rámcov spolupráce, ktoré priamo ovplyvňujú španielsku a európsku legislatívu.

Rada Európy presadzovala Budapeštianský dohovor o kybernetickej kriminalite , ktorý zostáva referenčnou medzinárodnou zmluvou pre stíhanie kybernetických trestných činov. Španielsko zosúladilo svoj trestný zákonník a postupy justičnej spolupráce s týmto dohovorom, čím uľahčilo vyšetrovanie a stíhanie trestných činov, ktoré presahujú hranice štátov.

Súbežne s tým fóra ako G7 a G20 vydali politické záväzky týkajúce sa ochrany kritickej infraštruktúry, boja proti kybernetickej kriminalite, správy internetu a ochrany údajov . Tieto usmernenia ovplyvňujú tvorbu národných stratégií kybernetickej bezpečnosti a právnych reforiem, ktoré posilňujú odolnosť finančného systému, energetického sektora a elektronickej verejnej správy.

NATO zo svojej strany začlenilo kyberpriestor ako ďalšiu operačnú oblasť kolektívnej obrany . Účasť Španielska na cvičeniach ako Locked Shields a Cyber ​​​​Coalition prispieva k zlepšeniu schopností kybernetickej obrany, úprave národnej legislatívy a posilneniu spolupráce so spojencami v prípade rozsiahlych kybernetických útokov.

OSN napokon prostredníctvom Medzinárodnej telekomunikačnej únie (ITU) a ďalších orgánov presadzuje globálne normy, technické odporúčania a školiace programy , ktoré pomáhajú krajinám rozvíjať ucelené regulačné rámce, chrániť ľudské práva v kybernetickom priestore a lepšie koordinovať boj proti bežným kybernetickým hrozbám.

Celý tento medzinárodný rámec vyvíja silný tlak na Španielsko a ostatné štáty EÚ , aby svoje právne rámce aktualizovali a zosúladili s globálnymi štandardmi , a to tak v oblasti prevencie, ako aj reakcie na incidenty.

Celkovo sa regulácia kybernetickej bezpečnosti stala akýmsi regulačným štítom, ktorý sa vyvíja rovnakým frenetickým tempom ako hrozby: európske smernice ako NIS2, nariadenia ako GDPR, DORA alebo eIDAS, vnútroštátne zákony, systémy verejnej bezpečnosti, normy ISO a rámce NIST do seba zapadajú ako dieliky skladačky, ktorá núti organizácie brať digitálne riadenie rizík veľmi vážne, profesionalizovať svoje bezpečnostné programy a predpokladať, že kybernetická odolnosť už nie je len doplnkom, ale nevyhnutnou podmienkou pre pokračovanie v konkurencii a fungovaní so zárukami v dnešnej ekonomike.