Регулатива о сајбер безбедности: закони, стандарди и обавезе

Алфа водич » Игре » Регулатива о сајбер безбедности: закони, стандарди и обавезе

Прописи о сајбер безбедности постали су основни стуб за предузећа, јавне управе и грађане како би могли да послују са релативним миром у све агресивнијем дигиталном окружењу. Напади софтвера за рансомвер, масовна кршења података, крађа идентитета и саботажа критичне инфраструктуре више нису футуристички сценарији, већ свакодневне појаве за организације свих величина.

С обзиром на ову ситуацију, решење не може бити ограничено на инсталирање антивирусног софтвера и наду у најбоље: потребан је робустан, кохерентан и стално еволуирајући регулаторни оквир како би се дефинисале јасне обавезе, успоставили минимални безбедносни стандарди и подстакла међународна сарадња. У наредним пасусима наћи ћете свеобухватан преглед шпанског и европског правног оквира, најважнијих техничких стандарда (ISO, NIST, ENS), обавеза компанија и нових регулаторних трендова.

Шта је сајбер безбедност и које врсте претњи закон регулише?

Када говоримо о сајбер безбедности, говоримо о заштити система, мрежа и података од било каквог неовлашћеног приступа, употребе, модификације или уништења. Дефиниција коју користи Национална иницијатива за каријере и студије сајбер безбедности САД (NICCS) описује је као активност, процес или способност којом се информациони и комуникациони системи, као и информације које они садрже, штите од оштећења или експлоатације.

У пракси, ово се преводи у скуп техничких, организационих, правних и обука мера усмерених на заштиту дигиталних информација у међусобно повезаном мрежном окружењу. Сајбер безбедност спада под кишобран информационе безбедности, али са веома јасним фокусом на ризике који настају посебно у сајбер простору.

У овом контексту, појављују се повезани концепти на које се регулација такође фокусира, као што су сајбер криминал, сајбер претње и сам сајбер простор . Сајбер криминал обухвата криминално понашање почињено путем интернета (онлајн преваре, напади на системе, изнуда путем ransomware-а итд.). Сајбер претње су могућности или прилике за наношење штете коришћењем дигиталних средстава. А сајбер простор се схвата као та међусобно повезана стварност која се протеже изван интернета и интегрише мреже, уређаје и системе широм света.

Незаконите активности које спадају под овај кишобран су веома разноврсне: од преваре у електронској трговини или крађе акредитива до увођења злонамерног софтвера у системе компаније, ширења лажних вести ради наношења штете појединцу, лажног представљања бренда или намерних напада на критичну инфраструктуру. Стога се сајбер безбедност повезује са различитим гранама права као што су кривично право, грађанско право, заштита података и права на част и приватност.

Кључ лежи у онлајн димензији понашања и његовом утицају : када се напад изврши у дигиталном окружењу, брзина ширења, географски домет и тешкоћа приписивања потпуно мењају правила игре. То оправдава брзо прилагођавање закона како би се обухватиле ситуације које нису ни разматране у физичком свету.

Европски регулаторни оквир за сајбер безбедност

Европска унија је развила свеобухватни регулаторни оквир за решавање сајбер претњи , комбинујући директиве, прописе и специфичне стратегије. Циљ је двострук: прво, подићи минимални ниво безбедности у свим државама чланицама; и друго, спречити да рањивост једне земље постане капија за угрожавање других.

Директиве NIS и NIS2: срж сајбер безбедности у ЕУ

Први велики корак у овом процесу била је Директива 2016/1148, позната као NIS Директива , којом су утврђене мере за обезбеђивање заједничког нивоа безбедности за мреже и информационе системе широм ЕУ. Ова уредба захтева од држава чланица да усвоје националне стратегије за сајбер безбедност, формирају тимове за реаговање на инциденте у вези са рачунарском безбедношћу (CSIRT) и прате оператере основних услуга и пружаоце дигиталних услуга.

Директива о НИС-у посебно регулише обавезе оператера основних услуга (као што су енергетика, транспорт, здравство и банкарство) и одређених пружалаца дигиталних услуга. Од њих се захтева да усвоје техничке и организационе мере сразмерне ризику, обезбеде одговарајући ниво безбедности и благовремено обавесте надлежни орган или национални CSIRT о значајним инцидентима.

Међутим, пораст сајбер криминала и убрзање дигитализације након пандемије показали су потребу да се иде даље. То је довело до усвајања Директиве (ЕУ) 2022/2555, познате као NIS2 , која проширује обухваћене секторе, појачава захтеве за управљање ризицима и значајно скраћује рокове за пријављивање инцидената (24 сата за прво обавештење).

НИС2 укључује нове безбедносне обавезе, успоставља строже надзорне режиме и релевантне економске санкције за битне и важне субјекте, и експлицитно указује на одговорност управљачких тела, која морају бити укључена у управљање сајбер безбедношћу и могу бити санкционисана у случају грубе непажње.

Регулатива ЕУ о сајбер безбедности и систем сертификације

Још један кључни стуб је Уредба ЕУ о сајбер безбедности из 2019. године , која јача мандат ENISA (Агенције Европске уније за сајбер безбедност) и ствара европски оквир за сертификацију сајбер безбедности за ИКТ производе, услуге и процесе.

Захваљујући овом оквиру, компанија може само једном сертификовати производ или услугу сајбер безбедности и тај сертификат бити признат широм ЕУ, што поједностављује унутрашњу трговину и повећава поверење на тржишту. Сертификација постаје печат квалитета који олакшава демонстрирање усклађености са безбедносним захтевима које захтевају купци и регулатори.

Европска комисија је усавршавала овај оквир и предложила је конкретне измене, попут оне одобрене у јануару 2025. године, како би се омогућиле европске шеме сертификације применљиве на управљане безбедносне услуге (реаговање на инциденте, тестирање пенетрације, безбедносне ревизије, консултације итд.). Циљ је јачање поверења у услуге које су кључне за спречавање, откривање и опоравак од сајбер напада.

Нова улога за ENISA

ENISA је еволуирала од првенствено техничког и саветодавног тела до тела са сталним и ојачаним мандатом . Њене кључне функције укључују припрему основа за системе сертификације, јавно извештавање о издатим сертификатима, подршку оперативној сарадњи између држава чланица и деловање као референтне тачке у великим прекограничним инцидентима.

Штавише, Комисија је предложила да ENISA развије заједнички систем за управљање рањивостима на нивоу ЕУ , пружајући услуге заинтересованим странама и управљајући јединственом тачком за пријављивање инцидената, како је предвиђено иницијативама као што је Дигитални омнибус. Све ово има за циљ хармонизацију управљања рањивостима и побољшање координисаног одговора на сложене нападе.

GDPR, eIDAS, DORA и други кључни елементи

Уз NIS2 и Уредбу о сајбер безбедности, и други европски прописи имају директан утицај на сајбер безбедност. Општа уредба о заштити података (GDPR) захтева усвајање одговарајућих техничких и организационих мера како би се гарантовала поверљивост, интегритет и доступност личних података, са казнама које могу достићи и до 4% глобалног промета.

Уредба eIDAS , са своје стране, успоставља оквир за електронску идентификацију и услуге поверења (електронски потписи, печати, временски жигови, сертификована електронска достава, аутентификација веб странице). Постављањем веома строгих безбедносних захтева, она постаје суштински елемент за обезбеђивање поверења у дигиталне трансакције и у јавном и у приватном сектору.

У финансијском сектору, Уредба DORA (Закон о дигиталној оперативној отпорности) додаје додатни слој обавеза у вези са дигиталном отпорношћу, напредним тестирањем продора, критичним управљањем ИКТ-ом трећих страна и обавештавањем о инцидентима, што је у складу са духом NIS2, али са веома специфичним фокусом на финансијске услуге.

Регулација сајбер безбедности у Шпанији

Шпанија је прилагођавала своје законодавство како би се ускладила са европским захтевима, истовремено се бавећи сопственим потребама заштите. Кључна референтна тачка је Закон о сајбер безбедности објављен у Службеном гласнику (BOE), који садржи главне прописе који се односе на ову област.

Краљевски декрет-закон 12/2018 и накнадни развој

Краљевски декрет-закон 12/2018, о безбедности мрежа и информационих система , је пропис којим се прва НИС директива транспонује у шпанско право. Он дефинише безбедносне захтеве и обавезе пријављивања инцидената за оператере основних услуга и одређене пружаоце дигиталних услуга (онлајн тржишта, претраживаче и услуге рачунарства у облаку које нису микро или мала предузећа).

Међу најрелевантнијим обавезама за средње и велике пружаоце дигиталних услуга су: саопштавање своје активности надлежном органу (Министарству за дигиталну трансформацију) у прва три месеца, усвајање одговарајућих техничких и организационих мера за управљање безбедносним ризицима и обавештавање о значајним инцидентима одговарајућем CSIRT-у (где је применљиво, INCIBE-CERT).

Ове мере морају узети у обзир безбедност ИТ инфраструктуре , управљање инцидентима, континуитет пословања, праћење и ревизију, као и усклађеност са међународним стандардима. Иако стандард не пружа исцрпан списак контрола, он јасно дефинише области које морају бити покривене да би се постигло разумно и сразмерно управљање ризицима.

Регулаторни развој је произашао из Краљевског декрета 43/2021 , којим се одређују додатне обавезе за оператере електронских комуникационих мрежа и услуга, јачајући безбедност и отпорност телекомуникационе инфраструктуре, једног од најкритичнијих сектора и изложеног сајбер нападима.

Заштита података, поуздане услуге и критична инфраструктура

Што се тиче приватности, шпански Органски закон о заштити података и гаранцији дигиталних права (LOPDGDD) допуњује и проширује GDPR у Шпанији, успостављајући додатне мере заштите и обавезе за коришћење личних података у дигиталним окружењима. Овај закон захтева од организација да примене робусне контроле сајбер безбедности како би спречиле кршење и цурење података.

У области електронске идентификације и услуга поверења, Закон 6/2020 прилагођава шпанске прописе Уредби eIDAS, дефинишући обавезе пружалаца услуга поверења (електронски потпис и печат, оверена достава, сертификати за аутентификацију итд.) и успостављајући детаљан оквир за сајбер безбедност ових критичних услуга.

С друге стране, Закон 8/2011 о заштити критичне инфраструктуре успоставља правни оквир за заштиту система и имовине неопходне за друштво, економију и националну безбедност. Иако је његово порекло уско повезано са физичком заштитом, закон изричито признаје да многе од ових инфраструктура зависе од ИКТ мрежа и система, чиме се сајбер безбедност укључује као саставни део укупне заштите.

Свему томе додаје се Општи закон о телекомуникацијама из 2022. године, који обавезује оператере комуникација да усвоје безбедносне мере и обавесте надлежне органе о релевантним инцидентима, као и Национална безбедносна шема (ЕНС) , ажурирана 2025. године, која утврђује обавезне безбедносне принципе, захтеве и нивое за јавне управе и њихове добављаче технологије.

Национални безбедносни систем и јавне управе

Национални безбедносни оквир (ENS) је, у пракси, оквир за сајбер безбедност за јавни сектор у Шпанији. Он дефинише основне принципе (превенција, откривање, реаговање, опоравак, континуирано унапређење) и одређује скуп мера које се морају примењивати у складу са нивоима безбедности (низак, средњи, висок) повезаним са сваким информационим системом.

Ова шема захтева од администрација и добављача који са њима раде да се подвргавају периодичним безбедносним ревизијама и контролама , да одржавају ажуриране политике, да правилно управљају идентитетима и приступом, да примењују шифровање где је то потребно и да бележе и анализирају активности како би открили инциденте.

NIS2 у Шпанији: следећи регулаторни талас

Шпанија већ ради на Краљевском декрету који ће транспоновати NIS2 и значајно проширити број сектора и ентитета који подлежу строгим обавезама у вези са сајбер безбедношћу. Поред већ обухваћених сектора, биће укључене и нове области, као што су одређени произвођачи, поштанске услуге, истраживање, напредни ИКТ добављачи и други.

Међу најрелевантнијим очекиваним променама је опште смањење временских рокова за обавештавање власти о озбиљним инцидентима, који ће у многим случајевима бити смањени на 24 сата, и јачање управљачких одговорности и режима санкционисања , усклађених са европским бројкама (казне до 10 милиона евра или проценат глобалног промета).

Међународни технички стандарди и норме за сајбер безбедност

Поред законских прописа, организације се ослањају на техничке стандарде и међународне оквире који одређују које контроле, процесе и најбоље праксе треба имплементирати. Ови стандарди не само да помажу у обезбеђивању усклађености са прописима, већ и демонстрирају дужну пажњу клијентима, партнерима и властима.

Породица ISO/IEC 27000 и ISO безбедност информација

Породица стандарда ISO/IEC 27000 је де факто стандард у управљању безбедношћу информација . У њеној основи је ISO/IEC 27001, који дефинише захтеве за имплементацију система управљања безбедношћу информација (ISMS) заснованог на циклусу континуираног побољшања: анализирати ризике, дефинисати контроле, имплементирати их, преиспитати их и побољшати.

Стандард је заснован на ISO/IEC 27002, који пружа свеобухватне смернице о организационим, техничким и физичким контролама (политике, контрола приступа, шифровање, физичка безбедност, безбедне операције, управљање инцидентима итд.). Повезани стандарди укључују ISO/IEC 27005 (управљање ризицима), ISO/IEC 27032 (кибернетичка безбедност у строгом смислу) и ISO/IEC 27701 (приватност).

У многим секторима, поседовање ISO 27001 сертификације постало је готово услов за улазак, јер значајно смањује вероватноћу озбиљних инцидената , олакшава ревизије усаглашености (GDPR, NIS2, ENS) и побољшава имиџ организације код купаца и инвеститора.

ISO/IEC 27032: Сајбер безбедност у сајбер простору

Док се ISO 27001 фокусира на целокупно управљање безбедношћу информација, ISO/IEC 27032 се посебно фокусира на сајбер безбедност схваћену као заштита сајбер простора где корисници, системи, мреже и повезаност , друштвене мреже, мобилни уређаји и критична инфраструктура међусобно делују.

Овај стандард пружа смернице за борбу против претњи као што су напредни злонамерни софтвер, шпијунски софтвер, фишинг и друштвени инжењеринг , јачање безбедности мрежа и онлајн услуга, подстицање сарадње између влада, предузећа и корисника и успостављање оквира за размену информација о инцидентима и рањивостима.

Његова имплементација је посебно корисна за организације које се ослањају на клауд сервисе, онлајн платформе и колаборативне екосистеме, јер им пружа структуриран поглед на претње у међусобно повезаним окружењима и приоритетне контроле којима се требају позабавити.

ISO/IEC 27701: Приватност и заштита података

ISO /IEC 27701 проширује ISMS стандарда ISO 27001 како би обухватио управљање приватношћу личних података. Дефинише додатне улоге, одговорности и контроле и за контролоре и за обрађиваче података и уско је усклађен са захтевима GDPR-а.

Применом овог стандарда, организација може јасно да покаже да је интегрисала приватност у свој модел управљања , управља специфичним ризицима везаним за личне податке и има формализоване процесе за решавање права субјеката података, управљање кршењима безбедности и ограничавање међународног преноса података.

ISO 22301: Континуитет пословања

Сајбер безбедност се не мери само способношћу да се издржи напад, већ и брзином којом се организација може опоравити и наставити са радом . Ту до изражаја долази ISO 22301, фокусиран на управљање континуитетом пословања.

Овај стандард захтева процене утицаја на пословање (BIA), успостављање стратегија континуитета, документоване планове опоравка, редовно тестирање и одржавање механизама комуникације и координације током криза. Инцидент у сајбер безбедности без плана континуитета може парализовати компанију недељама и генерисати губитке у милионима.

НИСТ оквир за сајбер безбедност

У Сједињеним Државама, NIST-ов Оквир за сајбер безбедност постао је референтна тачка коју су усвојиле и европске организације. Структуриран је око пет кључних функција: идентификација, заштита, откривање, реаговање и опоравак.

Овај приступ омогућава компанијама да процене своју зрелост у свакој функцији , дају приоритет инвестицијама и осмисле уравнотежен програм сајбер безбедности. Посебно је користан за допуњавање захтева NIS2 или ISO стандарда, јер пружа заједнички језик и веома јасан концептуални оквир.

Национална безбедносна шема (ENS) и сертификати у Шпанији

У шпанском контексту, Национална безбедносна шема (ENS) делује као локални и обавезни превод многих принципа међународних стандарда , посебно за јавни сектор. Организације које пружају услуге влади често су обавезне да се ускладе са овом шемом, што их у пракси тера да усвоје моделе сличне ISO 27001 и 27002.

Уз Националну безбедносну шему (ENS), све је већа употреба сертификата као што су ISO 27001 и NIST оквири . Шпанија се налази међу водећим земљама у Европи по броју сертификованих организација, а анкете показују да сертификоване компаније смањују озбиљне инциденте и побољшавају свој капацитет за реаговање на нападе.

Обавезе у области сајбер безбедности и најбоље праксе за компаније

Поред слова закона, свака организација која рукује осетљивим информацијама или пружа дигиталне услуге мора препознати сајбер безбедност као стратешку одговорност . Чак и када компанија не спада у стриктни опсег NIS2 или Краљевског декрета-закона 12/2018, власти препоручују спровођење робусног плана безбедности.

Анализа ризика и почетна ревизија

Први разуман корак је спровођење анализе ризика која идентификује критичну имовину (податке, системе, процесе), техничке и организационе рањивости, највероватније претње (ренсомвер, фишинг, DDoS, интерна цурења) и потенцијални утицај сваког сценарија.

Паралелно са тим, ревизија сајбер безбедности омогућава процену тренутног нивоа зрелости: постојећих политика, техничких конфигурација, нивоа закрпа, обуке особља, зависности од трећих страна итд. Овај свеобухватни преглед омогућава развој реалистичног акционог плана, дајући приоритет мерама са највећим повраћајем инвестиције у смањење ризика.

Дефиниција интерних политика и процедура

Када се ризик разуме, време је да се одлуке претворе у јасне интерне политике и оперативне процедуре . То укључује дефинисање које су апликације дозвољене, како се управља корисничким налозима, који захтеви за лозинку важе, како се користе лични уређаји (BYOD), шта се ради са екстерним медијима за складиштење, како се врше и тестирају резервне копије и тако даље.

Такође је неопходно успоставити процедуре за управљање инцидентима (ко шта ради, када обавестити, коме ескалирати), правила за коришћење корпоративних комуникационих медија (е-пошта, алати за сарадњу), правила за физички приступ објектима и безбедносне критеријуме које треба захтевати од добављача услуга у облаку или хостингу.

Аутоматизација и технолошки алати

Саме политике су бесмислене без технолошких алата који олакшавају њихову имплементацију . Кључне компоненте укључују системе за откривање и спречавање упада (IDS/IPS), решења за управљање идентитетом и приступом (IAM), платформе за корелацију безбедносних информација и догађаја (SIEM) и решења за шифровање података за податке у стању мировања и у транзиту.

Аутоматизација је такође кључна у управљању животним циклусом дигиталних сертификата , чији лоше управљани рокови истека узрокују више инцидената него што се чини: прекиди услуга, неуспеси у аутентификацији или чак кршења безбедности ако се угрожени сертификати не опозову на време.

Управљање дигиталним сертификатима и потписивање кода

Дигитални сертификати сервера и корисника (DV, OV, EV) су неопходни за обезбеђивање аутентичности веб странице, поверљивости комуникације и интегритета размењених података. Организације треба да обезбеде да изаберу одговарајући тип сертификата, централизују његово управљање, примају упозорења о истеку и аутоматизују обнављања кад год је то могуће.

Паралелно са тим, за компаније које развијају софтвер или дистрибуирају апликације, дигитално потписивање кода је фундаментална контрола: гарантује да код није мењан од његовог објављивања и спречава кориснике да инсталирају извршне датотеке измењене злонамерним софтвером. Сертификати за потписивање кода, посебно они са проширеном валидацијом (EV), испуњавају стандарде поверења које захтевају оперативни системи и прегледачи.

Безбедност е-поште и обука особља

Е-пошта остаје преферирани вектор за нападаче: фишинг кампање и злонамерни софтвер дистрибуиран путем е-поште стоје иза велике већине инцидената . Да би се смањио овај ризик, неопходно је имплементирати протоколе као што су SPF, DKIM и DMARC, користити шифровање и дигиталне потписе у осетљивим е-порукама, применити напредна решења за филтрирање и користити безбедна проширења прегледача.

Међутим, сама технологија није довољна без континуиране обуке и подизања свести . Искуство показује да преко 80% инцидената има људску компоненту: неовлашћени кликови, дељени акредитиви, слабе лозинке, непажљиво коришћење личних уређаја и тако даље. Интеграција сајбер безбедности у културу компаније је једнако важна као и инсталирање доброг заштитног зида (фајервола).

Улога међународних организација у регулисању сајбер безбедности

Сајбер безбедност је, по дефиницији, прекогранични проблем и зато су организације попут УН, НАТО-а, Г7 или Г20 преузеле релевантну улогу у развоју принципа, препорука и оквира за сарадњу који директно утичу на шпанско и европско законодавство.

Савет Европе је промовисао Будимпештанску конвенцију о сајбер криминалу , која остаје референтни међународни уговор за кривично гоњење сајбер криминала. Шпанија је ускладила свој Кривични законик и процедуре правосудне сарадње са овом конвенцијом, олакшавајући истрагу и кривично гоњење злочина који прелазе границе.

Паралелно са тим, форуми попут Г7 и Г20 издали су политичке обавезе о заштити критичне инфраструктуре, борби против сајбер криминала, управљању интернетом и заштити података . Ове смернице утичу на израду националних стратегија за сајбер безбедност и правних реформи које јачају отпорност финансијског система, енергетског сектора и електронске управе.

НАТО је, са своје стране, укључио сајбер простор као још једну оперативну област колективне одбране . Учешће Шпаније у вежбама као што су „Закључани штитови“ и „Сајбер коалиција“ доприноси побољшању капацитета сајбер одбране, прилагођавању националног законодавства и јачању сарадње са савезницима у случају великих сајбер напада.

Коначно, УН, преко Међународне уније за телекомуникације (ITU) и других тела, промовише глобалне стандарде, техничке препоруке и програме обуке који помажу земљама да развију кохерентне регулаторне оквире, заштите људска права у сајбер простору и боље координирају против уобичајених сајбер претњи.

Читав овај међународни оквир врши снажан притисак на Шпанију и остатак земаља ЕУ да своје правне оквире ажурирају и усклађују са глобалним стандардима , како у превенцији тако и у реаговању на инциденте.

Генерално, регулатива сајбер безбедности постала је нека врста регулаторног штита који се развија истим френетичним темпом као и претње: европске директиве попут NIS2, прописи попут GDPR-а, DORA-е или eIDAS-а, национални закони, шеме јавне безбедности, ISO стандарди и NIST оквири се уклапају попут делова слагалице која приморава организације да веома озбиљно схвате управљање дигиталним ризицима, да професионализују своје безбедносне програме и да претпоставе да сајбер отпорност више није додатак, већ суштински услов за наставак конкуренције и пословања са гаранцијама у данашњој економији.