Regulasyon sa cybersecurity: mga batas, pamantayan at obligasyon

Gabay sa Alpha » Juegos » Regulasyon sa cybersecurity: mga batas, pamantayan at obligasyon

Ang mga regulasyon sa cybersecurity ay naging isang pangunahing haligi para sa mga negosyo, pampublikong administrasyon, at mga mamamayan upang makapagtrabaho nang may relatibong kapayapaan ng isip sa isang lalong agresibong digital na kapaligiran. Ang mga pag-atake ng ransomware, malawakang paglabag sa datos, pagnanakaw ng pagkakakilanlan, at pagsabotahe sa mahahalagang imprastraktura ay hindi na mga senaryo sa hinaharap, kundi mga pang-araw-araw na pangyayari para sa mga organisasyon ng lahat ng laki.

Dahil sa sitwasyong ito, ang solusyon ay hindi maaaring limitado sa pag-install ng antivirus software at pag-asa sa pinakamahusay: kinakailangan ang isang matibay, magkakaugnay, at patuloy na nagbabagong balangkas ng regulasyon upang tukuyin ang malinaw na mga obligasyon, magtatag ng mga minimum na pamantayan sa seguridad, at pagyamanin ang internasyonal na kooperasyon. Sa mga sumusunod na talata, makikita mo ang isang komprehensibong pangkalahatang-ideya ng legal na balangkas ng Espanya at Europa, ang pinakamahalagang teknikal na pamantayan (ISO, NIST, ENS), ang mga obligasyon para sa mga kumpanya, at mga umuusbong na uso sa regulasyon.

Ano ang cybersecurity at anong mga uri ng banta ang kinokontrol ng batas?

Kapag pinag-uusapan natin ang cybersecurity, pinag-uusapan natin ang pagprotekta sa mga sistema, network, at data mula sa anumang hindi awtorisadong pag-access, paggamit, pagbabago, o pagkasira. Ang kahulugang ginamit ng U.S. National Initiative for Cybersecurity Careers and Studies (NICCS) ay naglalarawan dito bilang aktibidad, proseso, o kakayahan kung saan ang mga sistema ng impormasyon at komunikasyon, at ang impormasyong nilalaman ng mga ito, ay ipinagtatanggol laban sa pinsala o pagsasamantala.

Sa pagsasagawa, isinasalin ito sa isang hanay ng mga teknikal, organisasyonal, legal, at pagsasanay na hakbang na naglalayong pangalagaan ang digital na impormasyon sa isang magkakaugnay na kapaligiran ng network. Ang cybersecurity ay nasa ilalim ng payong ng seguridad ng impormasyon, ngunit may napakalinaw na pokus sa mga panganib na partikular na lumilitaw sa cyberspace.

Sa kontekstong ito, lumilitaw ang mga kaugnay na konsepto na pinagtutuunan din ng pansin ng regulasyon, tulad ng cybercrime, mga banta sa cyber, at ang cyberspace mismo . Saklaw ng cybercrime ang mga kriminal na gawain na ginagawa sa pamamagitan ng internet (online fraud, mga pag-atake sa system, pangingikil gamit ang ransomware, atbp.). Ang mga banta sa cyber ay ang mga posibilidad o pagkakataon na magdulot ng pinsala gamit ang mga digital na paraan. At ang cyberspace ay nauunawaan bilang ang magkakaugnay na realidad na umaabot nang lampas sa internet at isinasama ang mga network, device, at system sa buong mundo.

Ang mga ilegal na aktibidad na nasa ilalim ng payong ito ay lubos na iba-iba: mula sa pandaraya sa e-commerce o pagnanakaw ng kredensyal hanggang sa pagpapasok ng malware sa mga sistema ng isang kumpanya, ang pagkalat ng pekeng balita upang makapinsala sa isang indibidwal, panggagaya sa tatak, o sinasadyang pag-atake sa mga kritikal na imprastraktura. Samakatuwid, ang cybersecurity ay kumokonekta sa magkakaibang sangay ng batas tulad ng batas kriminal, batas sibil, proteksyon ng datos, at mga karapatan sa karangalan at privacy.

Ang susi ay nasa online na dimensyon ng pag-uugali at ang epekto nito : kapag ang isang pag-atake ay isinagawa sa digital na kapaligiran, ang bilis ng pagkalat, ang heograpikal na abot, at ang kahirapan ng pagpapatungkol ay ganap na nagbabago sa mga patakaran ng laro. Ito ang nagbibigay-katwiran sa mabilis na pag-aangkop ng batas upang masakop ang mga sitwasyon na hindi pa naisaalang-alang sa pisikal na mundo.

Ang balangkas ng regulasyon sa Europa para sa cybersecurity

Ang Unyong Europeo ay bumuo ng isang komprehensibong balangkas ng regulasyon upang matugunan ang mga banta sa cyber , na pinagsasama ang mga direktiba, regulasyon, at mga partikular na estratehiya. Ang layunin ay dalawa: una, upang itaas ang pinakamababang antas ng seguridad sa lahat ng mga estadong miyembro; at pangalawa, upang maiwasan ang kahinaan ng isang bansa na maging daanan para makompromiso ang iba.

Mga Direktiba ng NIS at NIS2: ang puso ng cybersecurity sa EU

Ang unang pangunahing hakbang sa prosesong ito ay ang Directive 2016/1148, na kilala bilang NIS Directive , na nagtatag ng mga hakbang upang matiyak ang isang karaniwang antas ng seguridad para sa mga network at mga sistema ng impormasyon sa buong EU. Inaatasan ng regulasyong ito ang mga Estadong Miyembro na gamitin ang mga pambansang estratehiya sa cybersecurity, lumikha ng mga Computer Security Incident Response Team (CSIRT), at subaybayan ang mga operator ng mahahalagang serbisyo at mga digital service provider.

Partikular na kinokontrol ng NIS Directive ang mga obligasyon ng mga operator ng mahahalagang serbisyo (tulad ng enerhiya, transportasyon, pangangalagang pangkalusugan, at pagbabangko) at ilang mga digital service provider. Kinakailangan silang magpatibay ng mga teknikal at organisasyonal na hakbang na naaayon sa panganib, tiyakin ang sapat na antas ng seguridad, at agad na ipaalam sa karampatang awtoridad o sa pambansang CSIRT ang mga mahahalagang insidente.

Gayunpaman, ang pagtaas ng cybercrime at ang pagbilis ng digitalization kasunod ng pandemya ay nagpakita ng pangangailangang magpatuloy pa. Ito ang humantong sa pag-aampon ng Directive (EU) 2022/2555, na kilala bilang NIS2 , na nagpapalawak ng mga sektor na sakop, nagpapalakas ng mga kinakailangan sa pamamahala ng peligro, at makabuluhang nagpapaikli sa mga deadline ng pag-uulat ng insidente (24 na oras para sa unang abiso).

Isinasama ng NIS2 ang mga bagong obligasyon sa seguridad, nagtatatag ng mas mahigpit na mga rehimen ng pangangasiwa at mga kaugnay na parusang pang-ekonomiya para sa mahahalaga at mahahalagang entidad, at tahasang itinuturo ang responsibilidad ng mga lupong tagapamahala, na dapat kasangkot sa pamamahala ng cybersecurity at maaaring parusahan sakaling magkaroon ng matinding kapabayaan.

Regulasyon at sistema ng sertipikasyon ng Cybersecurity ng EU

Ang isa pang mahalagang haligi ay ang 2019 EU Cybersecurity Regulation , na nagpapalakas sa mandato ng ENISA (European Union Agency for Cybersecurity) at lumilikha ng isang European cybersecurity certification framework para sa mga produkto, serbisyo, at proseso ng ICT.

Dahil sa balangkas na ito, maaaring sertipikahan ng isang kumpanya ang isang produkto o serbisyo sa cybersecurity nang isang beses lamang at kilalanin ang sertipikong iyon sa buong EU, na nagpapadali sa panloob na kalakalan at nagpapataas ng kumpiyansa sa merkado. Ang sertipikasyon ay nagiging isang tatak ng kalidad na nagpapadali sa pagpapakita ng pagsunod sa mga kinakailangan sa seguridad na hinihingi ng mga customer at regulator.

Pinupino ng European Commission ang balangkas na ito at nagpanukala ng mga partikular na pagbabago, tulad ng inaprubahan noong Enero 2025, upang payagan ang mga iskema ng sertipikasyon sa Europa na mailapat sa mga pinamamahalaang serbisyo sa seguridad (tugon sa insidente, pagsubok sa penetration, mga pag-audit sa seguridad, pagkonsulta, atbp.). Ang layunin ay palakasin ang tiwala sa mga serbisyong mahalaga para sa pagpigil, pagtuklas, at pagbangon mula sa mga cyberattack.

Isang bagong tungkulin para sa ENISA

Ang ENISA ay umunlad mula sa isang pangunahing teknikal at tagapayo na katawan patungo sa isa na may permanente at pinalakas na mandato . Kabilang sa mga pangunahing tungkulin nito ang paghahanda ng pundasyon para sa mga iskema ng sertipikasyon, pampublikong pag-uulat sa mga inilabas na sertipiko, pagsuporta sa kooperasyong operasyonal sa pagitan ng mga estadong miyembro, at pag-arte bilang isang punto ng sanggunian sa mga pangunahing insidente sa pagitan ng mga bansang miyembro.

Bukod pa rito, iminungkahi ng Komisyon na bumuo ang ENISA ng isang karaniwang kakayahan sa pamamahala ng kahinaan sa buong EU , na nagbibigay ng mga serbisyo sa mga stakeholder at nagpapatakbo ng isang iisang punto ng pagpasok para sa pag-uulat ng insidente, gaya ng nakikita sa mga inisyatibo tulad ng Digital Omnibus. Layunin ng lahat ng ito na pagtugmain ang pamamahala ng kahinaan at pagbutihin ang koordinadong tugon sa mga kumplikadong pag-atake.

GDPR, eIDAS, DORA at iba pang mahahalagang elemento

Kasama ng NIS2 at ng Cybersecurity Regulation, ang iba pang mga regulasyon sa Europa ay may direktang epekto sa cybersecurity. Hinihiling ng General Data Protection Regulation (GDPR) ang pag-aampon ng mga naaangkop na teknikal at organisasyonal na hakbang upang matiyak ang pagiging kumpidensyal, integridad, at pagkakaroon ng personal na data, na may mga parusa na maaaring umabot ng hanggang 4% ng pandaigdigang kita.

Ang Regulasyon ng eIDAS , sa bahagi nito, ay nagtatatag ng balangkas para sa mga serbisyo ng elektronikong pagkakakilanlan at tiwala (mga elektronikong lagda, mga selyo, mga timestamp, sertipikadong elektronikong paghahatid, at pagpapatunay ng website). Sa pamamagitan ng pagtatakda ng napakahigpit na mga kinakailangan sa seguridad, ito ay nagiging isang mahalagang elemento para matiyak ang tiwala sa mga digital na transaksyon sa parehong pampubliko at pribadong sektor.

Sa sektor ng pananalapi, ang DORA (Digital Operational Resilience Act) Regulation ay nagdaragdag ng karagdagang patong ng mga obligasyon patungkol sa digital resilience, advanced penetration testing, kritikal na pamamahala ng ICT ng ikatlong partido, at abiso sa insidente, na naaayon sa diwa ng NIS2 ngunit may partikular na pokus sa mga serbisyong pinansyal.

Regulasyon sa cybersecurity sa Espanya

Inaangkop ng Espanya ang batas nito upang umayon sa mga kinakailangan ng Europa habang sabay na tinutugunan ang sarili nitong mga pangangailangan sa proteksyon. Ang isang mahalagang sanggunian ay ang Cybersecurity Law Code na inilathala sa Official State Gazette (BOE), na nagtitipon ng mga pangunahing regulasyon na nakakaapekto sa larangang ito.

Batas ng Royal Decree 12/2018 at ang kasunod na pag-unlad

Ang Royal Decree-Law 12/2018, tungkol sa seguridad ng mga network at mga sistema ng impormasyon , ay ang regulasyon na naglilipat sa unang NIS Directive tungo sa batas ng Espanya. Tinutukoy nito ang mga kinakailangan sa seguridad at mga obligasyon sa pag-uulat ng insidente para sa mga operator ng mahahalagang serbisyo at ilang mga digital service provider (mga online marketplace, search engine, at mga serbisyo ng cloud computing na hindi micro o maliliit na negosyo).

Kabilang sa mga pinakamahalagang obligasyon para sa mga katamtaman at malalaking digital service provider ay: pagpapabatid ng kanilang aktibidad sa karampatang awtoridad (Ministry of Digital Transformation) sa loob ng unang tatlong buwan, pag-aampon ng mga naaangkop na teknikal at organisasyonal na hakbang upang pamahalaan ang mga panganib sa seguridad, at pag-abiso ng mga mahahalagang insidente sa kaukulang CSIRT (kung naaangkop, INCIBE-CERT).

Dapat isaalang-alang ng mga hakbang na ito ang seguridad sa imprastraktura ng IT , pamamahala ng insidente, pagpapatuloy ng negosyo, pagsubaybay at pag-awdit, pati na rin ang pagsunod sa mga internasyonal na pamantayan. Bagama't hindi nagbibigay ang pamantayan ng kumpletong listahan ng mga kontrol, malinaw nitong tinutukoy ang mga lugar na dapat saklawin upang makamit ang makatwiran at proporsyonal na pamamahala ng panganib.

Ang pagbuo ng regulasyon ay nagmula sa Royal Decree 43/2021 , na tumutukoy sa mga karagdagang obligasyon para sa mga operator ng mga elektronikong network at serbisyo ng komunikasyon, na nagpapatibay sa seguridad at katatagan ng mga imprastraktura ng telekomunikasyon, isa sa mga pinakamahalagang sektor at nalalantad sa mga cyberattack.

Proteksyon ng datos, mga mapagkakatiwalaang serbisyo at kritikal na imprastraktura

Sa usapin ng privacy, ang Spanish Organic Law on Data Protection and Guarantee of Digital Rights (LOPDGDD) ay kumukumpleto at nagpapalawak sa GDPR sa Espanya, na nagtatatag ng mga karagdagang pananggalang at obligasyon para sa paggamit ng personal na data sa mga digital na kapaligiran. Inaatasan ng batas na ito ang mga organisasyon na magpatupad ng matibay na mga kontrol sa cybersecurity upang maiwasan ang mga paglabag at pagtagas ng data.

Sa larangan ng elektronikong pagkakakilanlan at mga serbisyo ng tiwala, iniaangkop ng Batas 6/2020 ang mga regulasyon ng Espanya sa Regulasyon ng eIDAS, na tumutukoy sa mga obligasyon ng mga tagapagbigay ng serbisyo ng tiwala (elektronikong lagda at selyo, sertipikadong paghahatid, mga sertipiko ng pagpapatotoo, atbp.) at nagtatatag ng isang detalyadong balangkas para sa cybersecurity ng mga kritikal na serbisyong ito.

Sa kabilang banda, ang Batas 8/2011 sa Proteksyon ng Kritikal na Imprastraktura ay nagtatatag ng legal na balangkas para sa pagprotekta sa mga sistema at ari-arian na mahalaga sa lipunan, ekonomiya, at pambansang seguridad. Bagama't ang pinagmulan nito ay mas malapit na nauugnay sa pisikal na proteksyon, hayagang kinikilala ng batas na marami sa mga imprastrakturang ito ay nakasalalay sa mga network at sistema ng ICT, kaya isinasama ang cybersecurity bilang isang mahalagang bahagi ng pangkalahatang proteksyon.

Dagdag pa rito ang Pangkalahatang Batas sa Telekomunikasyon ng 2022, na nag-oobliga sa mga operator ng komunikasyon na gumamit ng mga hakbang sa seguridad at ipaalam sa mga awtoridad ang mga kaugnay na insidente, pati na rin ang National Security Scheme (ENS) , na na-update noong 2025, na nagtatatag ng mga mandatoryong prinsipyo, kinakailangan, at antas ng seguridad para sa mga pampublikong administrasyon at kanilang mga tagapagbigay ng teknolohiya.

Pambansang Iskema ng Seguridad at mga Pampublikong Administrasyon

Ang National Security Framework (ENS) ay, sa pagsasagawa, ang balangkas ng cybersecurity para sa pampublikong sektor sa Espanya. Tinutukoy nito ang mga pangunahing prinsipyo (pag-iwas, pagtuklas, pagtugon, pagbawi, patuloy na pagpapabuti) at tinutukoy ang isang hanay ng mga hakbang na dapat ilapat ayon sa mga antas ng seguridad (mababa, katamtaman, mataas) na nauugnay sa bawat sistema ng impormasyon.

Ang pamamaraang ito ay nangangailangan ng mga administrasyon at mga supplier na nakikipagtulungan sa kanila na sumailalim sa mga pana-panahong pag-audit at kontrol sa seguridad , mapanatili ang mga na-update na patakaran, maayos na pamahalaan ang mga pagkakakilanlan at access, maglapat ng encryption kung saan naaangkop, at itala at suriin ang aktibidad upang matukoy ang mga insidente.

NIS2 sa Espanya: ang susunod na alon ng regulasyon

Pinag-aaralan na ng Espanya ang Royal Decree na magbabago sa NIS2 at magpapalawak nang malaki sa bilang ng mga sektor at entidad na napapailalim sa mahigpit na obligasyon sa cybersecurity. Bukod sa mga sektor na sakop na, isasama rin ang mga bagong larangan, tulad ng ilang partikular na tagagawa, serbisyo sa koreo, pananaliksik, mga advanced na tagapagbigay ng ICT, at iba pa.

Kabilang sa mga pinakamahalagang pagbabagong inaasahan ay ang pangkalahatang pagbawas sa mga limitasyon sa oras para sa pag-abiso sa mga awtoridad tungkol sa mga seryosong insidente, na babawasan sa 24 oras sa maraming pagkakataon, at ang pagpapalakas ng mga responsibilidad sa pamamahala at mga rehimeng nagpapataw ng parusa , na naaayon sa mga numero ng Europa (mga multa na hanggang 10 milyong euro o isang porsyento ng pandaigdigang kita).

Mga internasyonal na pamantayan at pamantayan sa teknikal na cybersecurity

Higit pa sa batas, ang mga organisasyon ay umaasa sa mga teknikal na pamantayan at mga internasyonal na balangkas na tumutukoy kung aling mga kontrol, proseso, at pinakamahusay na kasanayan ang ipatutupad. Ang mga pamantayang ito ay hindi lamang nakakatulong na matiyak ang pagsunod sa mga regulasyon kundi nagpapakita rin ng angkop na pagsisikap sa mga kliyente, kasosyo, at awtoridad.

Pamilya ng ISO/IEC 27000 at seguridad ng impormasyon ng ISO

Ang pamilya ng ISO/IEC 27000 ang de facto na pamantayan sa pamamahala ng seguridad ng impormasyon . Sa kaibuturan nito ay ang ISO/IEC 27001, na tumutukoy sa mga kinakailangan para sa pagpapatupad ng isang Information Security Management System (ISMS) batay sa patuloy na siklo ng pagpapabuti: suriin ang mga panganib, tukuyin ang mga kontrol, ipatupad ang mga ito, suriin ang mga ito, at pagbutihin ang mga ito.

Ang pamantayan ay batay sa ISO/IEC 27002, na nagbibigay ng komprehensibong gabay sa mga kontrol sa organisasyon, teknikal, at pisikal (mga patakaran, kontrol sa pag-access, pag-encrypt, pisikal na seguridad, mga ligtas na operasyon, pamamahala ng insidente, atbp.). Kabilang sa mga kaugnay na pamantayan ang ISO/IEC 27005 (pamamahala ng peligro), ISO/IEC 27032 (cybersecurity sa mahigpit na kahulugan), at ISO/IEC 27701 (pribasiya).

Sa maraming sektor, ang pagkakaroon ng sertipikasyon ng ISO 27001 ay halos naging isang kinakailangan sa pagpasok, dahil malaki ang nababawasan nito sa posibilidad ng mga malubhang insidente , pinapadali ang mga compliance audit (GDPR, NIS2, ENS) at pinapabuti ang imahe ng organisasyon sa mga customer at mamumuhunan.

ISO/IEC 27032: Seguridad sa Siber sa Siber

Bagama't nakatuon ang ISO 27001 sa pangkalahatang pamamahala ng seguridad ng impormasyon, ang ISO/IEC 27032 ay partikular na nakatuon sa cybersecurity na nauunawaan bilang proteksyon ng cyberspace kung saan nakikipag-ugnayan ang mga gumagamit, sistema, network at koneksyon , mga social network, mobile device at mahahalagang imprastraktura.

Ang pamantayang ito ay nagbibigay ng mga alituntunin para sa paglaban sa mga banta tulad ng advanced malware, spyware, phishing at social engineering , pagpapalakas ng seguridad ng mga network at mga serbisyong online, pagpapalakas ng kolaborasyon sa pagitan ng mga pamahalaan, negosyo at mga gumagamit, at pagtatatag ng mga balangkas para sa pagbabahagi ng impormasyon tungkol sa mga insidente at kahinaan.

Ang pagpapatupad nito ay lalong kapaki-pakinabang para sa mga organisasyong umaasa sa mga serbisyo ng cloud, mga online platform, at mga collaborative ecosystem, dahil nagbibigay ito sa kanila ng isang nakabalangkas na pananaw sa mga banta sa magkakaugnay na mga kapaligiran at ang mga kontrol na prayoridad na kailangan nilang tugunan.

ISO/IEC 27701: Pagkapribado at proteksyon ng datos

Pinalalawak ng ISO /IEC 27701 ang ISMS ng ISO 27001 upang masakop ang pamamahala ng privacy ng personal na data. Tinutukoy nito ang mga karagdagang tungkulin, responsibilidad, at kontrol para sa parehong mga tagakontrol at tagaproseso ng data, at malapit na nakahanay sa mga kinakailangan ng GDPR.

Sa pamamagitan ng pagpapatupad ng pamantayang ito, malinaw na maipapakita ng isang organisasyon na isinama nito ang privacy sa modelo ng pamamahala nito , pinamamahalaan ang mga partikular na panganib na may kaugnayan sa personal na data, at pormal na nagbalangkas ng mga proseso upang matugunan ang mga karapatan ng paksa ng data, pamahalaan ang mga paglabag, at limitahan ang mga internasyonal na paglilipat ng data.

ISO 22301: Pagpapatuloy ng Negosyo

Ang cybersecurity ay hindi lamang sinusukat sa kakayahang makayanan ang isang pag-atake, kundi pati na rin sa bilis kung saan ang isang organisasyon ay maaaring makabangon at magpatuloy sa pagpapatakbo . Dito pumapasok ang ISO 22301, na nakatuon sa pamamahala ng pagpapatuloy ng negosyo.

Ang pamantayang ito ay nangangailangan ng mga pagtatasa ng epekto sa negosyo (business impact assessments o BIA), pagtatatag ng mga estratehiya sa pagpapatuloy, mga dokumentadong plano sa pagbawi, regular na pagsusuri, at pagpapanatili ng mga mekanismo ng komunikasyon at koordinasyon sa panahon ng mga krisis. Ang isang insidente sa cybersecurity na walang plano sa pagpapatuloy ay maaaring magparalisa sa isang kumpanya nang ilang linggo at magdulot ng milyun-milyong pagkalugi.

NIST Cybersecurity Framework

Sa Estados Unidos, ang NIST Cybersecurity Framework ay naging isang pamantayan na pinagtibay din ng mga organisasyong Europeo. Ito ay nakabalangkas sa limang pangunahing tungkulin: tukuyin, protektahan, tuklasin, tumugon, at makabawi.

Ang pamamaraang ito ay nagbibigay-daan sa mga kumpanya na masuri ang kanilang kapanahunan sa bawat tungkulin , unahin ang mga pamumuhunan, at magdisenyo ng isang balanseng programa sa cybersecurity. Ito ay lalong kapaki-pakinabang para sa pagpupuno sa mga kinakailangan ng mga pamantayan ng NIS2 o ISO, dahil nagbibigay ito ng isang karaniwang wika at isang napakalinaw na konseptwal na balangkas.

Pambansang Iskema ng Seguridad (ENS) at mga sertipikasyon sa Espanya

Sa konteksto ng Espanyol, ang National Security Scheme (ENS) ay nagsisilbing lokal at mandatoryong pagsasalin ng maraming prinsipyo ng mga internasyonal na pamantayan , lalo na para sa pampublikong sektor. Ang mga organisasyong nagbibigay ng serbisyo sa gobyerno ay kadalasang kinakailangang umayon sa pamamaraang ito, na sa pagsasagawa ay nagtutulak sa kanila na gumamit ng mga modelong katulad ng ISO 27001 at 27002.

Kasama ng National Security Scheme (ENS), ang pag-aampon ng mga sertipikasyon tulad ng ISO 27001 at mga balangkas ng NIST ay lumalago. Ang Espanya ay kabilang sa mga nangungunang bansa sa Europa sa mga tuntunin ng bilang ng mga sertipikadong organisasyon, at ipinapakita ng mga survey na ang mga sertipikadong kumpanya ay nakakabawas ng mga malubhang insidente at nagpapabuti ng kanilang kapasidad sa pagtugon sa mga pag-atake.

Mga obligasyon sa cybersecurity at pinakamahusay na kasanayan para sa mga kumpanya

Higit pa sa nakasaad sa batas, ang anumang organisasyon na humahawak ng sensitibong impormasyon o nagbibigay ng mga digital na serbisyo ay dapat kilalanin ang cybersecurity bilang isang estratehikong responsibilidad . Kahit na ang isang kumpanya ay nasa labas ng mahigpit na saklaw ng NIS2 o Royal Decree-Law 12/2018, inirerekomenda ng mga awtoridad ang pagpapatupad ng isang matibay na plano sa seguridad.

Pagsusuri ng panganib at paunang pag-audit

Ang unang makatwirang hakbang ay ang pagsasagawa ng pagsusuri sa panganib na tumutukoy sa mga kritikal na asset (datos, sistema, proseso), mga kahinaan sa teknikal at organisasyon, mga malamang na banta (ransomware, phishing, DDoS, mga internal na tagas) at ang potensyal na epekto ng bawat senaryo.

Kasabay nito, ang isang cybersecurity audit ay nagbibigay-daan para sa pagtatasa ng kasalukuyang antas ng kapanahunan: mga umiiral na patakaran, mga teknikal na configuration, mga antas ng patching, pagsasanay ng mga kawani, pagdepende sa mga ikatlong partido, atbp. Ang komprehensibong pangkalahatang-ideya na ito ay nagbibigay-daan sa pagbuo ng isang makatotohanang plano ng aksyon, na inuuna ang mga hakbang na may pinakamalaking balik sa puhunan sa pagbabawas ng panganib.

Kahulugan ng mga panloob na patakaran at pamamaraan

Kapag naunawaan na ang panganib, oras na para isalin ang mga desisyon sa malinaw na panloob na mga patakaran at mga pamamaraan sa pagpapatakbo . Kabilang dito ang pagtukoy kung aling mga application ang pinapayagan, kung paano pinamamahalaan ang mga user account, kung anong mga kinakailangan sa password ang nalalapat, kung paano ginagamit ang mga personal na device (BYOD), ano ang ginagawa gamit ang mga external storage media, kung paano isinasagawa at sinusubok ang mga backup, at iba pa.

Mahalaga ring magtatag ng mga pamamaraan sa pamamahala ng insidente (sino ang gagawa ng ano, kailan aabisuhan, kanino idudulog ang kaso), mga patakaran para sa paggamit ng media ng komunikasyon ng korporasyon (email, mga collaborative tool), mga patakaran para sa pisikal na pag-access sa mga pasilidad, at mga pamantayan sa seguridad na kakailanganin mula sa mga cloud o hosting service provider.

Mga kagamitang pang-awtomasyon at teknolohikal

Walang saysay ang mga patakaran lamang kung wala ang mga teknolohikal na kagamitan na nagpapadali sa pagpapatupad ng mga ito . Kabilang sa mga pangunahing bahagi ang mga intrusion detection and prevention system (IDS/IPS), mga solusyon sa identity and access management (IAM), mga platform ng security information and event correlation (SIEM), at mga solusyon sa data encryption para sa data na nakaimbak at habang dinadala.

Mahalaga rin ang automation sa pamamahala ng lifecycle ng mga digital certificate , na ang mga expiration nito na hindi maayos na pinamamahalaan ay nagdudulot ng mas maraming insidente kaysa sa inaakala: mga pagkaantala ng serbisyo, pagkabigo ng authentication, o kahit na mga paglabag sa seguridad kung ang mga nakompromisong certificate ay hindi binawi sa tamang oras.

Pamamahala ng digital na sertipiko at paglagda ng code

Mahalaga ang mga digital certificate ng server at user (DV, OV, EV) para matiyak ang pagiging tunay ng website, ang pagiging kumpidensyal ng mga komunikasyon, at ang integridad ng ipinagpapalit na data. Dapat tiyakin ng mga organisasyon na pipiliin nila ang naaangkop na uri ng certificate, isa-sentralisa ang pamamahala nito, makatanggap ng mga alerto sa pag-expire, at i-automate ang mga pag-renew hangga't maaari.

Kasabay nito, para sa mga kumpanyang bumubuo ng software o namamahagi ng mga aplikasyon, ang digital code signing ay isang pangunahing kontrol: tinitiyak nito na ang code ay hindi pa nakikialam simula nang ilabas ito at pinipigilan ang mga user na mag-install ng mga executable na binago ng malware. Ang mga code signing certificate, lalo na ang mga may extended validation (EV), ay sumusunod sa mga pamantayan ng tiwala na kinakailangan ng mga operating system at browser.

Seguridad ng email at pagsasanay sa mga kawani

Ang email ay nananatiling mas pinipiling paraan ng mga umaatake: ang mga kampanya ng phishing at malware na ipinamamahagi ng email ang nasa likod ng karamihan ng mga insidente . Upang mabawasan ang panganib na ito, kinakailangang ipatupad ang mga protocol tulad ng SPF, DKIM, at DMARC, gumamit ng encryption at mga digital na lagda sa mga sensitibong email, at mag-deploy ng mga advanced na solusyon sa pagsala at gumamit ng mga secure na extension ng browser.

Gayunpaman, ang teknolohiya lamang ay hindi sapat kung walang patuloy na pagsasanay at kamalayan . Ipinapakita ng karanasan na mahigit 80% ng mga insidente ay may kinalaman sa tao: hindi awtorisadong pag-click, ibinahaging kredensyal, mahinang password, pabaya na paggamit ng mga personal na device, at iba pa. Ang pagsasama ng cybersecurity sa kultura ng kumpanya ay kasinghalaga ng pag-install ng isang mahusay na firewall.

Ang papel ng mga internasyonal na organisasyon sa pagkontrol sa cybersecurity

Ang cybersecurity, ayon sa kahulugan, ay isang problemang tumatawid sa mga hangganan, at kaya naman ang mga organisasyong tulad ng UN, NATO, G7 o G20 ay gumanap ng mahalagang papel sa pagbuo ng mga prinsipyo, rekomendasyon, at balangkas ng kooperasyon na direktang nakakaimpluwensya sa batas ng Espanya at Europa.

Itinaguyod ng Konseho ng Europa ang Budapest Convention on Cybercrime , na nananatiling pamantayang internasyonal na kasunduan para sa pag-uusig sa mga cybercrime. Inihanay ng Espanya ang mga pamamaraan ng Kodigo Kriminal at kooperasyong panghukuman nito sa kumbensyong ito, na nagpapadali sa pagsisiyasat at pag-uusig sa mga krimeng tumatawid sa mga hangganan.

Kasabay nito, ang mga forum tulad ng G7 at G20 ay naglabas ng mga pangakong pampulitika sa proteksyon ng kritikal na imprastraktura, ang paglaban sa cybercrime, pamamahala sa internet, at proteksyon ng datos . Ang mga alituntuning ito ay nakakaimpluwensya sa pagbalangkas ng mga pambansang estratehiya sa cybersecurity at mga legal na reporma na nagpapalakas sa katatagan ng sistemang pinansyal, sektor ng enerhiya, at e-government.

Sa bahagi naman ng NATO, isinama na nito ang cyberspace bilang isa pang operational domain ng kolektibong depensa . Ang pakikilahok ng Espanya sa mga pagsasanay tulad ng Locked Shields at Cyber ​​​​Coalition ay nakakatulong sa pagpapabuti ng mga kakayahan sa cyber defense, pagsasaayos ng pambansang batas, at pagpapalakas ng kooperasyon sa mga kaalyado sakaling magkaroon ng malawakang cyberattacks.

Panghuli, ang UN, sa pamamagitan ng International Telecommunication Union (ITU) at iba pang mga katawan, ay nagtataguyod ng mga pandaigdigang pamantayan, mga teknikal na rekomendasyon, at mga programa sa pagsasanay na tumutulong sa mga bansa na bumuo ng magkakaugnay na mga balangkas ng regulasyon, protektahan ang mga karapatang pantao sa cyberspace, at mas mahusay na makipag-ugnayan laban sa mga karaniwang banta sa cyber.

Ang buong internasyonal na balangkas na ito ay naglalagay ng matinding presyon sa Espanya at sa iba pang mga estado ng EU na panatilihing updated at nakahanay ang kanilang mga legal na balangkas sa mga pandaigdigang pamantayan , kapwa sa pag-iwas at bilang tugon sa mga insidente.

Sa pangkalahatan, ang regulasyon sa cybersecurity ay naging isang uri ng kalasag sa regulasyon na umuunlad kasabay ng mabilis na bilis ng mga banta: ang mga direktiba sa Europa tulad ng NIS2, mga regulasyon tulad ng GDPR, DORA o eIDAS, mga pambansang batas, mga iskema sa pampublikong seguridad, mga pamantayan ng ISO at mga balangkas ng NIST ay nagsasama-sama na parang mga piraso ng isang palaisipan na pumipilit sa mga organisasyon na seryosohin ang pamamahala ng digital risk, gawing propesyonal ang kanilang mga programa sa seguridad at ipagpalagay na ang cyber resilience ay hindi na isang dagdag, kundi isang mahalagang kondisyon upang patuloy na makipagkumpitensya at gumana nang may mga garantiya sa ekonomiya ngayon.