Rregullimi i sigurisë kibernetike: ligjet, standardet dhe detyrimet

Udhëzuesi Alfa » Software » Rregullimi i sigurisë kibernetike: ligjet, standardet dhe detyrimet

Rregulloret e sigurisë kibernetike janë bërë një shtyllë themelore për bizneset, administratat publike dhe qytetarët që të veprojnë me qetësi relative mendore në një mjedis dixhital gjithnjë e më agresiv. Sulmet me programe ransomware, shkeljet masive të të dhënave, vjedhja e identitetit dhe sabotimi i infrastrukturës kritike nuk janë më skenarë futuristë, por më tepër dukuri të përditshme për organizatat e të gjitha madhësive.

Duke pasur parasysh këtë situatë, zgjidhja nuk mund të kufizohet vetëm në instalimin e softuerit antivirus dhe shpresën për më të mirën: nevojitet një kuadër rregullator i fuqishëm, koherent dhe në zhvillim të vazhdueshëm për të përcaktuar detyrime të qarta, për të vendosur standarde minimale sigurie dhe për të nxitur bashkëpunimin ndërkombëtar. Në paragrafët e mëposhtëm, do të gjeni një pasqyrë gjithëpërfshirëse të kuadrit ligjor spanjoll dhe evropian, standardeve teknike më të rëndësishme (ISO, NIST, ENS), detyrimeve për kompanitë dhe trendeve rregullatore në zhvillim.

Çfarë është siguria kibernetike dhe çfarë lloje kërcënimesh rregullon ligji?

Kur flasim për sigurinë kibernetike, po flasim për mbrojtjen e sistemeve, rrjeteve dhe të dhënave nga çdo akses, përdorim, modifikim ose shkatërrim i paautorizuar. Përkufizimi i përdorur nga Iniciativa Kombëtare e SHBA-së për Karriera dhe Studime në Sigurinë Kibernetike (NICCS) e përshkruan atë si aktivitetin, procesin ose aftësinë me anë të së cilës sistemet e informacionit dhe komunikimit, si dhe informacioni që ato përmbajnë, mbrohen nga dëmtimi ose shfrytëzimi.

Në praktikë, kjo përkthehet në një sërë masash teknike, organizative, ligjore dhe trajnuese që synojnë mbrojtjen e informacionit dixhital në një mjedis rrjeti të ndërlidhur. Siguria kibernetike bie nën ombrellën e sigurisë së informacionit, por me një fokus shumë të qartë në rreziqet që lindin konkretisht në hapësirën kibernetike.

Në këtë kontekst, dalin në pah koncepte të lidhura me të cilat përqendrohet edhe rregullorja, të tilla si krimi kibernetik, kërcënimet kibernetike dhe vetë hapësira kibernetike . Krimi kibernetik përfshin sjelljen kriminale të kryer nëpërmjet internetit (mashtrime online, sulme në sistem, zhvatje me ransomware, etj.). Kërcënimet kibernetike janë mundësitë ose mundësitë për të shkaktuar dëm duke përdorur mjete dixhitale. Dhe hapësira kibernetike kuptohet si ai realitet i ndërlidhur që shtrihet përtej internetit dhe integron rrjetet, pajisjet dhe sistemet në të gjithë botën.

Aktivitetet e paligjshme që bien nën këtë ombrellë janë shumë të larmishme: nga mashtrimet në tregtinë elektronike ose vjedhja e kredencialeve deri te futja e programeve keqdashëse në sistemet e një kompanie, përhapja e lajmeve të rreme për të dëmtuar një individ, imitimi i markës ose sulmet e qëllimshme ndaj infrastrukturës kritike. Prandaj, siguria kibernetike lidhet me degë të ndryshme të ligjit, siç janë e drejta penale, e drejta civile, mbrojtja e të dhënave dhe të drejtat për nder dhe privatësi.

Çelësi qëndron në dimensionin online të sjelljes dhe ndikimin e saj : kur një sulm kryhet në mjedisin dixhital, shpejtësia e përhapjes, shtrirja gjeografike dhe vështirësia e atribuimit ndryshojnë plotësisht rregullat e lojës. Kjo justifikon përshtatjen e shpejtë të legjislacionit për të mbuluar situata që as nuk ishin marrë në konsideratë në botën fizike.

Korniza rregullatore evropiane për sigurinë kibernetike

Bashkimi Evropian ka zhvilluar një kuadër rregullator gjithëpërfshirës për të adresuar kërcënimet kibernetike , duke kombinuar direktiva, rregullore dhe strategji specifike. Objektivi është i dyfishtë: së pari, të rritet niveli minimal i sigurisë në të gjitha shtetet anëtare; dhe së dyti, të parandalohet që cenueshmëria e një vendi të bëhet një portë hyrëse për kompromentimin e të tjerëve.

Direktivat NIS dhe NIS2: zemra e sigurisë kibernetike në BE

Hapi i parë i madh në këtë proces ishte Direktiva 2016/1148, e njohur si Direktiva NIS , e cila përcaktoi masa për të siguruar një nivel të përbashkët sigurie për rrjetet dhe sistemet e informacionit në të gjithë BE-në. Kjo rregullore kërkon që Shtetet Anëtare të miratojnë strategji kombëtare të sigurisë kibernetike, të krijojnë Ekipe të Reagimit ndaj Incidenteve të Sigurisë Kompjuterike (CSIRT) dhe të monitorojnë operatorët e shërbimeve thelbësore dhe ofruesit e shërbimeve dixhitale.

Direktiva e SIK-ut rregullon në mënyrë specifike detyrimet e operatorëve të shërbimeve thelbësore (si energjia, transporti, kujdesi shëndetësor dhe bankat) dhe disa ofruesve të shërbimeve dixhitale. Ata duhet të miratojnë masa teknike dhe organizative në përpjesëtim me rrezikun, të sigurojnë një nivel të përshtatshëm sigurie dhe të njoftojnë menjëherë autoritetin kompetent ose CSIRT-in kombëtar për incidentet e rëndësishme.

Megjithatë, rritja e krimit kibernetik dhe përshpejtimi i dixhitalizimit pas pandemisë treguan nevojën për të shkuar më tej. Kjo çoi në miratimin e Direktivës (BE) 2022/2555, e njohur si NIS2 , e cila zgjeron sektorët e mbuluar, forcon kërkesat e menaxhimit të riskut dhe shkurton ndjeshëm afatet e raportimit të incidenteve (24 orë për njoftimin e parë).

NIS2 përfshin detyrime të reja sigurie, përcakton regjime më të rrepta mbikëqyrëse dhe sanksione ekonomike përkatëse për subjektet thelbësore dhe të rëndësishme, dhe tregon në mënyrë të qartë përgjegjësinë e organeve të menaxhimit, të cilat duhet të përfshihen në menaxhimin e sigurisë kibernetike dhe mund të sanksionohen në rast të neglizhencës së rëndë.

Rregullorja e BE-së për Sigurinë Kibernetike dhe sistemi i certifikimit

Një tjetër shtyllë kyçe është Rregullorja e BE-së për Sigurinë Kibernetike e vitit 2019 , e cila forcon mandatin e ENISA-s (Agjencia e Bashkimit Evropian për Sigurinë Kibernetike) dhe krijon një kornizë evropiane të certifikimit të sigurisë kibernetike për produktet, shërbimet dhe proceset e TIK-ut.

Falë këtij kuadri, një kompani mund të certifikojë një produkt ose shërbim të sigurisë kibernetike vetëm një herë dhe kjo certifikatë të njihet në të gjithë BE-në, duke thjeshtuar tregtinë e brendshme dhe duke rritur besimin e tregut. Certifikimi bëhet një vulë cilësie që e bën më të lehtë demonstrimin e pajtueshmërisë me kërkesat e sigurisë të kërkuara nga klientët dhe rregullatorët.

Komisioni Evropian ka qenë duke e rafinuar këtë kuadër dhe ka propozuar modifikime specifike, si ai i miratuar në janar 2025, për të lejuar skemat evropiane të certifikimit të zbatueshme për shërbimet e sigurisë së menaxhuar (reagimi ndaj incidenteve, testimi i depërtimit, auditimet e sigurisë, konsulenca, etj.). Qëllimi është të forcohet besimi në shërbimet që janë kritike për parandalimin, zbulimin dhe rimëkëmbjen nga sulmet kibernetike.

Një rol i ri për ENISA-n

ENISA ka evoluar nga një organ kryesisht teknik dhe këshillimor në një organ me një mandat të përhershëm dhe të forcuar . Funksionet e tij kryesore përfshijnë përgatitjen e bazës për skemat e certifikimit, raportimin publik mbi certifikatat e lëshuara, mbështetjen e bashkëpunimit operacional midis shteteve anëtare dhe veprimin si pikë referimi në incidentet e mëdha ndërkufitare.

Për më tepër, Komisioni ka propozuar që ENISA të zhvillojë një aftësi të përbashkët në të gjithë BE-në për menaxhimin e cenueshmërisë , duke ofruar shërbime për palët e interesuara dhe duke operuar një pikë të vetme hyrjeje për raportimin e incidenteve, siç parashikohet në iniciativa të tilla si Omnibusi Dixhital. E gjithë kjo synon të harmonizojë menaxhimin e cenueshmërisë dhe të përmirësojë përgjigjen e koordinuar ndaj sulmeve komplekse.

GDPR, eIDAS, DORA dhe elementë të tjerë kryesorë

Krahas NIS2 dhe Rregullores së Sigurisë Kibernetike, rregullore të tjera evropiane kanë një ndikim të drejtpërdrejtë në sigurinë kibernetike. Rregullorja e Përgjithshme e Mbrojtjes së të Dhënave (GDPR) kërkon miratimin e masave të duhura teknike dhe organizative për të garantuar konfidencialitetin, integritetin dhe disponueshmërinë e të dhënave personale, me penalitete që mund të arrijnë deri në 4% të xhiros globale.

Rregullorja eIDAS , nga ana e saj, përcakton kornizën për identifikimin elektronik dhe shërbimet e besimit (nënshkrimet elektronike, vulat, vulat kohore, dorëzimi elektronik i certifikuar, autentifikimi i faqes së internetit). Duke vendosur kërkesa shumë të rrepta sigurie, ajo bëhet një element thelbësor për sigurimin e besimit në transaksionet dixhitale si në sektorin publik ashtu edhe në atë privat.

Në sektorin financiar, Rregullorja DORA (Akti për Rezistencën Operacionale Dixhitale) shton një shtresë shtesë detyrimesh në lidhje me rezistencën dixhitale, testimin e avancuar të depërtimit, menaxhimin kritik të TIK-ut nga palët e treta dhe njoftimin e incidenteve, në përputhje me frymën e NIS2, por me një fokus shumë specifik në shërbimet financiare.

Rregullorja e sigurisë kibernetike në Spanjë

Spanja ka qenë duke e përshtatur legjislacionin e saj për t'u përafruar me kërkesat evropiane, duke adresuar njëkohësisht nevojat e veta të mbrojtjes. Një pikë referimi kyçe është Kodi Ligjor i Sigurisë Kibernetike i botuar në Gazetën Zyrtare të Shtetit (BOE), i cili përmbledh rregulloret kryesore që ndikojnë në këtë fushë.

Dekreti-Ligj Mbretëror 12/2018 dhe zhvillimi i mëvonshëm

Dekreti-Ligjor Mbretëror 12/2018, mbi sigurinë e rrjeteve dhe sistemeve të informacionit , është rregullorja që transpozon Direktivën e parë të SIK-ut në ligjin spanjoll. Ai përcakton kërkesat e sigurisë dhe detyrimet për raportimin e incidenteve për operatorët e shërbimeve thelbësore dhe disa ofrues të shërbimeve dixhitale (tregje online, motorë kërkimi dhe shërbime të cloud computing që nuk janë biznese mikro ose të vogla).

Ndër detyrimet më të rëndësishme për ofruesit e shërbimeve dixhitale të mesme dhe të mëdha janë: komunikimi i aktivitetit të tyre tek autoriteti kompetent (Ministria e Transformimit Dixhital) brenda tre muajve të parë, miratimi i masave të duhura teknike dhe organizative për të menaxhuar rreziqet e sigurisë dhe njoftimi i incidenteve të rëndësishme tek CSIRT-i përkatës (kur është e aplikueshme, INCIBE-CERT).

Këto masa duhet të marrin në konsideratë sigurinë e infrastrukturës së IT-së , menaxhimin e incidenteve, vazhdimësinë e biznesit, monitorimin dhe auditimin, si dhe pajtueshmërinë me standardet ndërkombëtare. Edhe pse standardi nuk ofron një listë të plotë të kontrolleve, ai përcakton qartë fushat që duhet të mbulohen për të arritur një menaxhim të arsyeshëm dhe proporcional të riskut.

Zhvillimi rregullator ka ardhur nga Dekreti Mbretëror 43/2021 , i cili përcakton detyrime shtesë për operatorët e rrjeteve dhe shërbimeve të komunikimeve elektronike, duke përforcuar sigurinë dhe qëndrueshmërinë e infrastrukturave të telekomunikacionit, një nga sektorët më kritikë dhe të ekspozuar ndaj sulmeve kibernetike.

Mbrojtja e të dhënave, shërbimet e besueshme dhe infrastruktura kritike

Sa i përket privatësisë, Ligji Organik Spanjoll për Mbrojtjen e të Dhënave dhe Garancinë e të Drejtave Dixhitale (LOPDGDD) plotëson dhe zgjeron GDPR-në në Spanjë, duke vendosur mbrojtje dhe detyrime shtesë për përdorimin e të dhënave personale në mjediset dixhitale. Ky legjislacion kërkon që organizatat të zbatojnë kontrolle të forta të sigurisë kibernetike për të parandaluar shkeljet dhe rrjedhjet e të dhënave.

Në fushën e identifikimit elektronik dhe shërbimeve të besimit, Ligji 6/2020 përshtat rregulloret spanjolle me Rregulloren eIDAS, duke përcaktuar detyrimet e ofruesve të shërbimeve të besimit (nënshkrimi dhe vula elektronike, dorëzimi i certifikuar, certifikatat e vërtetimit, etj.) dhe duke krijuar një kornizë të detajuar për sigurinë kibernetike të këtyre shërbimeve kritike.

Nga ana tjetër, Ligji 8/2011 për Mbrojtjen e Infrastrukturës Kritike përcakton kuadrin ligjor për mbrojtjen e sistemeve dhe aseteve thelbësore për shoqërinë, ekonominë dhe sigurinë kombëtare. Edhe pse origjina e tij është më e lidhur ngushtë me mbrojtjen fizike, ligji njeh shprehimisht se shumë prej këtyre infrastrukturave varen nga rrjetet dhe sistemet e TIK-ut, duke përfshirë kështu sigurinë kibernetike si një pjesë integrale të mbrojtjes së përgjithshme.

Shtohet në të gjitha këto Ligji i Përgjithshëm i Telekomunikacionit i vitit 2022, i cili i detyron operatorët e komunikimit të miratojnë masa sigurie dhe të njoftojnë autoritetet për incidentet përkatëse, si dhe Skema Kombëtare e Sigurisë (ENS) , e përditësuar në vitin 2025, e cila përcakton parimet, kërkesat dhe nivelet e detyrueshme të sigurisë për administratat publike dhe ofruesit e tyre të teknologjisë.

Skema e Sigurisë Kombëtare dhe Administratat Publike

Korniza e Sigurisë Kombëtare (KSK) është, në praktikë, korniza e sigurisë kibernetike për sektorin publik në Spanjë. Ai përcakton parimet themelore (parandalimin, zbulimin, reagimin, rimëkëmbjen, përmirësimin e vazhdueshëm) dhe specifikon një sërë masash që duhet të zbatohen sipas niveleve të sigurisë (të ulëta, të mesme, të larta) të shoqëruara me secilin sistem informacioni.

Kjo skemë kërkon që administratat dhe furnizuesit që punojnë me to t'i nënshtrohen auditimeve dhe kontrolleve periodike të sigurisë , të mirëmbajnë politika të përditësuara, të menaxhojnë siç duhet identitetet dhe aksesin, të aplikojnë enkriptimin aty ku është e përshtatshme dhe të regjistrojnë dhe analizojnë aktivitetin me qëllim zbulimin e incidenteve.

NIS2 në Spanjë: vala e ardhshme rregullatore

Spanja tashmë po punon për Dekretin Mbretëror që do të transpozojë NIS2 dhe do të zgjerojë ndjeshëm numrin e sektorëve dhe subjekteve që i nënshtrohen detyrimeve të rrepta të sigurisë kibernetike. Përveç sektorëve që janë tashmë të mbuluar, do të përfshihen fusha të reja, siç janë prodhues të caktuar, shërbimet postare, kërkimi, ofruesit e avancuar të TIK-ut dhe të tjerë.

Ndër ndryshimet më të rëndësishme që priten është një reduktim i përgjithshëm i afateve kohore për njoftimin e incidenteve serioze tek autoritetet, të cilat do të reduktohen në 24 orë në shumë raste, dhe një forcim i përgjegjësive të menaxhimit dhe regjimeve të sanksionimit , në përputhje me shifrat evropiane (gjoba deri në 10 milionë euro ose një përqindje e xhiros globale).

Standardet dhe normat teknike ndërkombëtare të sigurisë kibernetike

Përtej legjislacionit, organizatat mbështeten në standarde teknike dhe korniza ndërkombëtare që specifikojnë se cilat kontrolle, procese dhe praktika më të mira duhen zbatuar. Këto standarde jo vetëm që ndihmojnë në sigurimin e pajtueshmërisë rregullatore, por gjithashtu demonstrojnë kujdesin e duhur ndaj klientëve, partnerëve dhe autoriteteve.

Familja ISO/IEC 27000 dhe siguria e informacionit ISO

Familja ISO/IEC 27000 është standardi de facto në menaxhimin e sigurisë së informacionit . Në thelb të saj është ISO/IEC 27001, i cili përcakton kërkesat për zbatimin e një Sistemi të Menaxhimit të Sigurisë së Informacionit (ISMS) bazuar në ciklin e përmirësimit të vazhdueshëm: analizimi i rreziqeve, përcaktimi i kontrolleve, zbatimi i tyre, shqyrtimi i tyre dhe përmirësimi i tyre.

Standardi bazohet në ISO/IEC 27002, i cili ofron udhëzime gjithëpërfshirëse mbi kontrollet organizative, teknike dhe fizike (politikat, kontrolli i aksesit, enkriptimi, siguria fizike, operacionet e sigurta, menaxhimi i incidenteve, etj.). Standardet e lidhura përfshijnë ISO/IEC 27005 (menaxhimi i riskut), ISO/IEC 27032 (siguria kibernetike në kuptimin e ngushtë) dhe ISO/IEC 27701 (privatësia).

Në shumë sektorë, të paturit e certifikimit ISO 27001 është bërë pothuajse një kërkesë hyrëse, pasi zvogëlon ndjeshëm mundësinë e incidenteve serioze , lehtëson auditimet e përputhshmërisë (GDPR, NIS2, ENS) dhe përmirëson imazhin e organizatës me klientët dhe investitorët.

ISO/IEC 27032: Siguria Kibernetike në Hapësirën Kibernetike

Ndërsa ISO 27001 përqendrohet në menaxhimin e përgjithshëm të sigurisë së informacionit, ISO/IEC 27032 përqendrohet posaçërisht në sigurinë kibernetike të kuptuar si mbrojtja e hapësirës kibernetike ku përdoruesit, sistemet, rrjetet dhe lidhshmëria , rrjetet sociale, pajisjet mobile dhe infrastrukturat kritike bashkëveprojnë.

Ky standard ofron udhëzime për luftimin e kërcënimeve të tilla si programet e avancuara keqdashëse, spiunazhin, phishing-un dhe inxhinierinë sociale , forcimin e sigurisë së rrjeteve dhe shërbimeve online, nxitjen e bashkëpunimit midis qeverive, bizneseve dhe përdoruesve, si dhe krijimin e kornizave për ndarjen e informacionit në lidhje me incidentet dhe dobësitë.

Zbatimi i tij është veçanërisht i dobishëm për organizatat që mbështeten në shërbimet cloud, platformat online dhe ekosistemet bashkëpunuese, pasi u ofron atyre një pamje të strukturuar të kërcënimeve në mjediset e ndërlidhura dhe kontrollet prioritare që duhet të adresojnë.

ISO/IEC 27701: Mbrojtja e privatësisë dhe e të dhënave

ISO /IEC 27701 zgjeron ISMS-në e ISO 27001 për të mbuluar menaxhimin e privatësisë së të dhënave personale. Ai përcakton role, përgjegjësi dhe kontrolle shtesë si për kontrolluesit e të dhënave ashtu edhe për përpunuesit, dhe është në përputhje të ngushtë me kërkesat e GDPR-së.

Duke zbatuar këtë standard, një organizatë mund të demonstrojë qartë se e ka integruar privatësinë në modelin e saj të qeverisjes , menaxhon rreziqe specifike që lidhen me të dhënat personale dhe ka formalizuar procese për të adresuar të drejtat e subjekteve të të dhënave, për të menaxhuar shkeljet dhe për të kufizuar transferimet ndërkombëtare të të dhënave.

ISO 22301: Vazhdimësia e Biznesit

Siguria kibernetike nuk matet vetëm nga aftësia për t'i bërë ballë një sulmi, por edhe nga shpejtësia me të cilën një organizatë mund të rikuperohet dhe të vazhdojë të funksionojë . Këtu hyn në lojë ISO 22301, i fokusuar në menaxhimin e vazhdimësisë së biznesit.

Ky standard kërkon vlerësime të ndikimit në biznes (VNB), krijimin e strategjive të vazhdimësisë, plane të dokumentuara të rimëkëmbjes, testime të rregullta dhe mirëmbajtjen e mekanizmave të komunikimit dhe koordinimit gjatë krizave. Një incident i sigurisë kibernetike pa një plan vazhdimësie mund ta paralizojë një kompani për javë të tëra dhe të gjenerojë humbje në miliona.

Korniza e Sigurisë Kibernetike NIST

Në Shtetet e Bashkuara, Korniza e Sigurisë Kibernetike NIST është bërë një pikë referimi që është miratuar edhe nga organizatat evropiane. Ajo është strukturuar rreth pesë funksioneve kryesore: identifikimi, mbrojtja, zbulimi, reagimi dhe rikuperimi.

Kjo qasje u lejon kompanive të vlerësojnë pjekurinë e tyre në secilin funksion , të përparësojnë investimet dhe të hartojnë një program të ekuilibruar të sigurisë kibernetike. Është veçanërisht e dobishme për plotësimin e kërkesave të standardeve NIS2 ose ISO, pasi ofron një gjuhë të përbashkët dhe një kornizë konceptuale shumë të qartë.

Skema e Sigurisë Kombëtare (ENS) dhe certifikimet në Spanjë

Në kontekstin spanjoll, Skema e Sigurisë Kombëtare (SKE) vepron si një përkthim lokal dhe i detyrueshëm i shumë parimeve të standardeve ndërkombëtare , veçanërisht për sektorin publik. Organizatat që ofrojnë shërbime për qeverinë shpesh duhet të përshtaten me këtë skemë, gjë që në praktikë i shtyn ato të miratojnë modele të ngjashme me ISO 27001 dhe 27002.

Së bashku me Skemën e Sigurisë Kombëtare (ENS), miratimi i certifikimeve të tilla si kornizat ISO 27001 dhe NIST ka qenë në rritje. Spanja renditet ndër vendet kryesore në Evropë për sa i përket numrit të organizatave të certifikuara, dhe sondazhet tregojnë se kompanitë e certifikuara zvogëlojnë incidentet serioze dhe përmirësojnë kapacitetin e tyre të reagimit ndaj sulmeve.

Detyrimet për sigurinë kibernetike dhe praktikat më të mira për kompanitë

Përtej shkronjës së ligjit, çdo organizatë që trajton informacione të ndjeshme ose ofron shërbime dixhitale duhet ta njohë sigurinë kibernetike si një përgjegjësi strategjike . Edhe kur një kompani bie jashtë fushëveprimit të rreptë të NIS2 ose Dekretit Mbretëror 12/2018, autoritetet rekomandojnë zbatimin e një plani të fuqishëm sigurie.

Analiza e riskut dhe auditimi fillestar

Hapi i parë i arsyeshëm është të kryhet një analizë e riskut që identifikon asetet kritike (të dhënat, sistemet, proceset), dobësitë teknike dhe organizative, kërcënimet më të mundshme (ransomware, phishing, DDoS, rrjedhje të brendshme) dhe ndikimin e mundshëm të secilit skenar.

Paralelisht, një audit i sigurisë kibernetike lejon një vlerësim të nivelit aktual të pjekurisë: politikat ekzistuese, konfigurimet teknike, nivelet e patch-eve, trajnimi i stafit, varësia nga palët e treta, etj. Ky pasqyrë gjithëpërfshirëse mundëson zhvillimin e një plani veprimi realist, duke i dhënë përparësi masave me kthimin më të madh të investimit në uljen e rrezikut.

Përkufizimi i politikave dhe procedurave të brendshme

Pasi të kuptohet rreziku, është koha që vendimet të përkthehen në politika dhe procedura operative të qarta të brendshme . Kjo përfshin përcaktimin se cilat aplikacione lejohen, si menaxhohen llogaritë e përdoruesve, cilat kërkesa për fjalëkalim zbatohen, si përdoren pajisjet personale (BYOD), çfarë bëhet me mediat e jashtme të ruajtjes, si kryhen dhe testohen kopjet rezervë e kështu me radhë.

Është gjithashtu thelbësore të përcaktohen procedurat e menaxhimit të incidenteve (kush bën çfarë, kur të njoftohet, kujt t'i përshkallëzohet situata), rregulla për përdorimin e mediave të komunikimit të korporatave (email, mjete bashkëpunuese), rregulla për aksesin fizik në ambiente dhe kritere sigurie që duhen kërkuar nga ofruesit e shërbimeve të cloud-it ose të hostimit.

Automatizimi dhe mjetet teknologjike

Politikat në vetvete janë të pakuptimta pa mjetet teknologjike që lehtësojnë zbatimin e tyre . Komponentët kryesorë përfshijnë sistemet e zbulimit dhe parandalimit të ndërhyrjeve (IDS/IPS), zgjidhjet e menaxhimit të identitetit dhe aksesit (IAM), platformat e informacionit të sigurisë dhe korrelacionit të ngjarjeve (SIEM) dhe zgjidhjet e enkriptimit të të dhënave për të dhënat në qetësi dhe në tranzit.

Automatizimi është gjithashtu thelbësor në menaxhimin e ciklit jetësor të certifikatave dixhitale , skadimet e të cilave, të menaxhuara dobët, shkaktojnë më shumë incidente nga sa duket: ndërprerje të shërbimit, dështime të vërtetimit ose edhe shkelje të sigurisë nëse certifikatat e kompromentuara nuk revokohen në kohë.

Menaxhimi i certifikatave dixhitale dhe nënshkrimi i kodit

Certifikatat dixhitale të serverit dhe përdoruesit (DV, OV, EV) janë thelbësore për të siguruar autenticitetin e faqes së internetit, konfidencialitetin e komunikimeve dhe integritetin e të dhënave të shkëmbyera. Organizatat duhet të sigurohen që zgjedhin llojin e duhur të certifikatës, centralizojnë menaxhimin e saj, marrin njoftime skadimi dhe automatizojnë rinovimet sa herë që është e mundur.

Paralelisht, për kompanitë që zhvillojnë softuer ose shpërndajnë aplikacione, nënshkrimi dixhital i kodit është një kontroll themelor: ai garanton që kodi nuk është manipuluar që nga publikimi i tij dhe parandalon përdoruesit të instalojnë skedarë ekzekutues të ndryshuar me programe keqdashëse. Certifikatat e nënshkrimit të kodit, veçanërisht ato me validim të zgjatur (EV), përputhen me standardet e besimit të kërkuara nga sistemet operative dhe shfletuesit.

Siguria e email-it dhe trajnimi i stafit

Email-i mbetet vektori i preferuar për sulmuesit: fushatat e phishing-ut dhe programet keqdashëse të shpërndara përmes email-it janë shkaku i shumicës dërrmuese të incidenteve . Për të zvogëluar këtë rrezik, është e nevojshme të zbatohen protokolle të tilla si SPF, DKIM dhe DMARC, të përdoret enkriptimi dhe nënshkrimet dixhitale në email-et e ndjeshme, si dhe të vendosen zgjidhje të avancuara filtrimi dhe të përdoren zgjerime të sigurta të shfletuesit.

Megjithatë, vetëm teknologjia është e pamjaftueshme pa trajnim dhe ndërgjegjësim të vazhdueshëm . Përvoja tregon se mbi 80% e incidenteve kanë një komponent njerëzor: klikime të paautorizuara, kredenciale të përbashkëta, fjalëkalime të dobëta, përdorim i pakujdesshëm i pajisjeve personale e kështu me radhë. Integrimi i sigurisë kibernetike në kulturën e kompanisë është po aq i rëndësishëm sa instalimi i një firewall-i të mirë.

Roli i organizatave ndërkombëtare në rregullimin e sigurisë kibernetike

Siguria kibernetike është, sipas përkufizimit, një problem ndërkufitar, dhe kjo është arsyeja pse organizata të tilla si OKB-ja, NATO-ja, G7 ose G20 kanë marrë një rol të rëndësishëm në zhvillimin e parimeve, rekomandimeve dhe kornizave të bashkëpunimit që ndikojnë drejtpërdrejt në legjislacionin spanjoll dhe evropian.

Këshilli i Evropës promovoi Konventën e Budapestit mbi Krimin Kibernetik , e cila mbetet traktati ndërkombëtar referues për ndjekjen penale të krimeve kibernetike. Spanja e ka përafruar Kodin e saj Penal dhe procedurat e bashkëpunimit gjyqësor me këtë konventë, duke lehtësuar hetimin dhe ndjekjen penale të krimeve që kalojnë kufijtë.

Paralelisht, forume të tilla si G7 dhe G20 kanë lëshuar angazhime politike mbi mbrojtjen e infrastrukturës kritike, luftën kundër krimit kibernetik, qeverisjen e internetit dhe mbrojtjen e të dhënave . Këto udhëzime ndikojnë në hartimin e strategjive kombëtare të sigurisë kibernetike dhe reformave ligjore që forcojnë qëndrueshmërinë e sistemit financiar, sektorit të energjisë dhe qeverisjes elektronike.

NATO, nga ana e saj, e ka përfshirë hapësirën kibernetike si një tjetër fushë operacionale të mbrojtjes kolektive . Pjesëmarrja e Spanjës në ushtrime të tilla si Locked Shields dhe Cyber ​​​​Coalition kontribuon në përmirësimin e aftësive të mbrojtjes kibernetike, përshtatjen e legjislacionit kombëtar dhe forcimin e bashkëpunimit me aleatët në rast të sulmeve kibernetike në shkallë të gjerë.

Së fundmi, OKB-ja, nëpërmjet Unionit Ndërkombëtar të Telekomunikacionit (ITU) dhe organeve të tjera, promovon standarde globale, rekomandime teknike dhe programe trajnimi që i ndihmojnë vendet të zhvillojnë korniza rregullatore koherente, të mbrojnë të drejtat e njeriut në hapësirën kibernetike dhe të koordinohen më mirë kundër kërcënimeve të zakonshme kibernetike.

I gjithë ky kuadër ndërkombëtar ushtron presion të fortë mbi Spanjën dhe pjesën tjetër të shteteve të BE-së që të mbajnë kornizat e tyre ligjore të përditësuara dhe të harmonizuara me standardet globale , si në parandalim ashtu edhe në reagim ndaj incidenteve.

Në përgjithësi, rregullimi i sigurisë kibernetike është bërë një lloj mburoje rregullatore që evoluon me të njëjtin ritëm frenetik si kërcënimet: direktivat evropiane si NIS2, rregulloret si GDPR, DORA ose eIDAS, ligjet kombëtare, skemat e sigurisë publike, standardet ISO dhe kornizat NIST bashkohen si copa të një enigme që i detyron organizatat ta marrin shumë seriozisht menaxhimin e riskut dixhital, të profesionalizojnë programet e tyre të sigurisë dhe të supozojnë se rezistenca kibernetike nuk është më një kusht shtesë, por një kusht thelbësor për të vazhduar të konkurrojnë dhe të operojnë me garanci në ekonominë e sotme.