Siber güvenlik düzenlemeleri: yasalar, standartlar ve yükümlülükler

Alfa Kılavuzu » Juegos » Siber güvenlik düzenlemeleri: yasalar, standartlar ve yükümlülükler

Siber güvenlik düzenlemeleri, giderek daha saldırgan hale gelen dijital ortamda işletmelerin, kamu idarelerinin ve vatandaşların nispeten gönül rahatlığıyla faaliyet göstermeleri için temel bir unsur haline gelmiştir . Fidye yazılımı saldırıları, büyük veri ihlalleri, kimlik hırsızlığı ve kritik altyapının sabotajı artık geleceğe ait senaryolar değil, her ölçekteki kuruluş için günlük olaylardır.

Bu durum göz önüne alındığında, çözüm yalnızca virüs koruma yazılımı yüklemek ve en iyisini ummakla sınırlı kalamaz: net yükümlülükler tanımlamak, minimum güvenlik standartları oluşturmak ve uluslararası işbirliğini teşvik etmek için sağlam, tutarlı ve sürekli gelişen bir düzenleyici çerçeveye ihtiyaç vardır . Aşağıdaki paragraflarda, İspanyol ve Avrupa yasal çerçevesine, en önemli teknik standartlara (ISO, NIST, ENS), şirketlerin yükümlülüklerine ve ortaya çıkan düzenleyici eğilimlere ilişkin kapsamlı bir genel bakış bulacaksınız.

Siber güvenlik nedir ve yasa hangi tür tehditleri düzenler?

Siber güvenlikten bahsettiğimizde, sistemleri, ağları ve verileri yetkisiz erişim, kullanım, değişiklik veya tahribattan korumaktan bahsediyoruz. ABD Ulusal Siber Güvenlik Kariyerleri ve Çalışmaları Girişimi (NICCS) tarafından kullanılan tanım ise, bilgi ve iletişim sistemlerinin ve içerdikleri bilgilerin hasara veya istismara karşı savunulması faaliyeti, süreci veya yeteneği olarak tanımlar.

Pratikte bu, birbirine bağlı bir ağ ortamında dijital bilgileri korumayı amaçlayan bir dizi teknik, organizasyonel, yasal ve eğitim önlemi anlamına gelir . Siber güvenlik, bilgi güvenliği şemsiyesi altında yer alır, ancak özellikle siber alanda ortaya çıkan risklere çok net bir şekilde odaklanır.

Bu bağlamda, düzenlemelerin de odaklandığı siber suç, siber tehditler ve siber uzay gibi ilgili kavramlar ortaya çıkmaktadır . Siber suç, internet üzerinden işlenen suç teşkil eden davranışları (çevrimiçi dolandırıcılık, sistem saldırıları, fidye yazılımı ile şantaj vb.) kapsar. Siber tehditler, dijital araçlar kullanılarak zarar verme olasılıkları veya fırsatlarıdır. Siber uzay ise internetin ötesine uzanan ve dünya çapında ağları, cihazları ve sistemleri entegre eden birbirine bağlı gerçeklik olarak anlaşılır.

Bu kapsamda ele alınan yasa dışı faaliyetler oldukça çeşitlidir: e-ticaret dolandırıcılığı veya kimlik bilgilerinin çalınmasından , bir şirketin sistemlerine kötü amaçlı yazılım bulaştırılmasına, bireye zarar vermek amacıyla sahte haber yayılmasına, marka taklitine veya kritik altyapıya yönelik kasıtlı saldırılara kadar uzanır. Bu nedenle siber güvenlik, ceza hukuku, medeni hukuk, veri koruma ve şeref ve gizlilik hakları gibi çeşitli hukuk dallarıyla bağlantılıdır.

Buradaki kilit nokta, davranışın çevrimiçi boyutu ve etkisidir : Dijital ortamda bir saldırı gerçekleştirildiğinde, yayılma hızı, coğrafi erişim ve failin belirlenmesinin zorluğu oyunun kurallarını tamamen değiştirir. Bu durum, fiziksel dünyada daha önce hiç ele alınmamış durumları kapsayacak şekilde mevzuatın hızla uyarlanmasını haklı çıkarır.

Avrupa siber güvenlik düzenleme çerçevesi

Avrupa Birliği, direktifleri, düzenlemeleri ve özel stratejileri bir araya getirerek siber tehditlerle mücadele etmek için kapsamlı bir düzenleyici çerçeve geliştirmiştir . Amaç iki yönlüdür: birincisi, tüm üye devletlerde minimum güvenlik seviyesini yükseltmek; ikincisi ise, bir ülkenin savunmasızlığının diğer ülkelerin güvenliğini tehlikeye atmasına yol açmasını önlemektir.

NIS ve NIS2 Direktifleri: AB'de siber güvenliğin kalbi

Bu sürecin ilk önemli adımı, AB genelinde ağlar ve bilgi sistemleri için ortak bir güvenlik seviyesi sağlamaya yönelik önlemler belirleyen , NIS Direktifi olarak bilinen 2016/1148 sayılı Direktif olmuştur . Bu düzenleme, Üye Devletlerin ulusal siber güvenlik stratejileri benimsemelerini, Bilgisayar Güvenliği Olay Müdahale Ekipleri (CSIRT) oluşturmalarını ve temel hizmet operatörlerini ve dijital hizmet sağlayıcılarını izlemelerini gerektirmektedir.

NIS Direktifi, özellikle temel hizmet sağlayıcılarının (enerji, ulaşım, sağlık ve bankacılık gibi) ve belirli dijital hizmet sağlayıcılarının yükümlülüklerini düzenlemektedir . Bu sağlayıcılar, riske orantılı teknik ve organizasyonel önlemler almak, yeterli güvenlik seviyesini sağlamak ve önemli olayları yetkili makama veya ulusal CSIRT'e derhal bildirmekle yükümlüdürler.

Ancak, pandemi sonrasında siber suçlardaki artış ve dijitalleşmenin hızlanması, daha ileri adımlar atılması gerektiğinin göstergesi oldu. Bu durum, kapsanan sektörleri genişleten, risk yönetimi gereksinimlerini güçlendiren ve olay bildirim sürelerini önemli ölçüde kısaltan (ilk bildirim için 24 saat) NIS2 olarak bilinen (AB) 2022/2555 sayılı Direktifin kabul edilmesine yol açtı.

NIS2, yeni güvenlik yükümlülüklerini içermekte, daha sıkı denetim rejimleri ve önemli kuruluşlar için ilgili ekonomik yaptırımlar oluşturmakta ve siber güvenlik yönetimine dahil olması gereken ve ağır ihmal durumunda yaptırıma tabi tutulabilecek yönetim organlarının sorumluluğuna açıkça işaret etmektedir.

AB Siber Güvenlik Yönetmeliği ve Sertifikasyon Sistemi

Bir diğer önemli unsur ise , ENISA'nın (Avrupa Birliği Siber Güvenlik Ajansı) yetkisini güçlendiren ve BİT ürünleri, hizmetleri ve süreçleri için Avrupa siber güvenlik sertifikasyon çerçevesi oluşturan 2019 AB Siber Güvenlik Yönetmeliği'dir .

Bu çerçeve sayesinde, bir şirket siber güvenlik ürünü veya hizmetini yalnızca bir kez sertifikalandırabilir ve bu sertifikanın AB genelinde tanınmasını sağlayabilir; bu da iç ticareti kolaylaştırır ve piyasa güvenini artırır. Sertifikasyon, müşteriler ve düzenleyiciler tarafından talep edilen güvenlik gereksinimlerine uyumu göstermeyi kolaylaştıran bir kalite mührü haline gelir.

Avrupa Komisyonu bu çerçeveyi iyileştirmeye devam ediyor ve yönetilen güvenlik hizmetlerine (olay müdahalesi, sızma testi, güvenlik denetimi, danışmanlık vb.) uygulanabilir Avrupa sertifikasyon şemalarına izin vermek için Ocak 2025'te onaylanan gibi belirli değişiklikler önerdi. Amaç, siber saldırıları önleme, tespit etme ve bunlardan kurtulma açısından kritik öneme sahip hizmetlere olan güveni güçlendirmektir.

ENISA için yeni bir rol

ENISA, öncelikle teknik ve danışmanlık görevi gören bir kuruluştan, kalıcı ve güçlendirilmiş bir yetkiye sahip bir kuruluşa dönüşmüştür . Başlıca işlevleri arasında sertifikasyon şemaları için zemin hazırlamak, verilen sertifikalar hakkında kamuoyuna rapor vermek, üye devletler arasında operasyonel işbirliğini desteklemek ve büyük sınır ötesi olaylarda referans noktası olarak hareket etmek yer almaktadır.

Ayrıca Komisyon, ENISA'nın paydaşlara hizmet sunan ve Dijital Omnibus gibi girişimlerde öngörüldüğü gibi olay bildirimleri için tek bir giriş noktası işleten, AB çapında ortak bir güvenlik açığı yönetimi yeteneği geliştirmesini önermiştir . Tüm bunlar, güvenlik açığı yönetimini uyumlu hale getirmeyi ve karmaşık saldırılara karşı koordineli yanıtı iyileştirmeyi amaçlamaktadır.

GDPR, eIDAS, DORA ve diğer önemli unsurlar

NIS2 ve Siber Güvenlik Yönetmeliği'nin yanı sıra, diğer Avrupa düzenlemeleri de siber güvenliği doğrudan etkiliyor. Genel Veri Koruma Yönetmeliği (GDPR) , kişisel verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini garanti altına almak için uygun teknik ve organizasyonel önlemlerin alınmasını gerektiriyor ve bu önlemlere uyulmaması durumunda küresel cironun %4'üne kadar varan cezalar öngörüyor.

eIDAS Yönetmeliği ise elektronik kimlik doğrulama ve güven hizmetleri (elektronik imzalar, mühürler, zaman damgaları, onaylı elektronik teslimat, web sitesi kimlik doğrulaması) için çerçeveyi oluşturmaktadır. Çok sıkı güvenlik gereksinimleri belirleyerek, hem kamu hem de özel sektörde dijital işlemlere duyulan güvenin sağlanması için temel bir unsur haline gelmektedir.

Finans sektöründe, DORA (Dijital Operasyonel Dayanıklılık Yasası) Yönetmeliği, NIS2'nin ruhuna uygun olarak ancak özellikle finansal hizmetlere odaklanarak, dijital dayanıklılık, gelişmiş sızma testleri, kritik üçüncü taraf BT yönetimi ve olay bildirimine ilişkin ek bir yükümlülük katmanı getiriyor.

İspanya'da siber güvenlik düzenlemeleri

İspanya, kendi koruma ihtiyaçlarını karşılarken aynı zamanda Avrupa gerekliliklerine uyum sağlamak için mevzuatını güncelliyor. Bu alanda önemli bir referans noktası, Resmi Gazete'de (BOE) yayımlanan ve bu alanı etkileyen temel düzenlemeleri derleyen Siber Güvenlik Kanunu'dur .

12/2018 sayılı Kraliyet Kararnamesi ve müteakip gelişmeler

Ağların ve bilgi sistemlerinin güvenliğine ilişkin 12/2018 sayılı Kraliyet Kararnamesi, ilk NIS Direktifi'ni İspanyol hukukuna aktaran düzenlemedir. Bu düzenleme, temel hizmet operatörleri ve belirli dijital hizmet sağlayıcıları (mikro veya küçük işletme olmayan çevrimiçi pazar yerleri, arama motorları ve bulut bilişim hizmetleri) için güvenlik gereksinimlerini ve olay bildirim yükümlülüklerini tanımlar.

Orta ve büyük ölçekli dijital hizmet sağlayıcıları için en önemli yükümlülükler arasında şunlar yer almaktadır: faaliyetlerini ilk üç ay içinde yetkili makama (Dijital Dönüşüm Bakanlığı) bildirmek, güvenlik risklerini yönetmek için uygun teknik ve organizasyonel önlemler almak ve önemli olayları ilgili CSIRT'e (uygun olduğu durumlarda INCIBE-CERT'e) bildirmek.

Bu önlemler , BT altyapı güvenliği , olay yönetimi, iş sürekliliği, izleme ve denetim ile uluslararası standartlara uyumluluğu dikkate almalıdır. Standart, kapsamlı bir kontrol listesi sunmasa da, makul ve orantılı risk yönetimi sağlamak için ele alınması gereken alanları açıkça tanımlar.

Bu düzenleyici gelişme , elektronik iletişim ağları ve hizmetleri operatörleri için ek yükümlülükler belirleyen ve siber saldırılara karşı en kritik sektörlerden biri olan telekomünikasyon altyapılarının güvenliğini ve dayanıklılığını güçlendiren 43/2021 sayılı Kraliyet Kararnamesi'nden kaynaklanmaktadır .

Veri koruma, güvenilir hizmetler ve kritik altyapı

Gizlilik açısından, İspanya'da Veri Koruma ve Dijital Hakların Güvencesi Hakkında Organik Kanun (LOPDGDD) , dijital ortamlarda kişisel verilerin kullanımı için ek güvenceler ve yükümlülükler getirerek GDPR'ı tamamlar ve genişletir. Bu mevzuat, kuruluşların veri ihlallerini ve sızıntılarını önlemek için güçlü siber güvenlik kontrolleri uygulamalarını gerektirir.

Elektronik kimlik doğrulama ve güven hizmetleri alanında, 6/2020 sayılı Kanun, İspanyol düzenlemelerini eIDAS Yönetmeliğine uyarlayarak, güven hizmeti sağlayıcılarının (elektronik imza ve mühür, onaylı teslimat, kimlik doğrulama sertifikaları vb.) yükümlülüklerini tanımlamakta ve bu kritik hizmetlerin siber güvenliği için ayrıntılı bir çerçeve oluşturmaktadır.

Öte yandan, Kritik Altyapıların Korunması Hakkında 8/2011 Sayılı Kanun , toplum, ekonomi ve ulusal güvenlik için hayati önem taşıyan sistem ve varlıkların korunmasına yönelik yasal çerçeveyi oluşturmaktadır. Kökenleri daha çok fiziksel korumaya bağlı olsa da, kanun bu altyapıların çoğunun BİT ağlarına ve sistemlerine bağlı olduğunu açıkça kabul ederek siber güvenliği genel korumanın ayrılmaz bir parçası olarak ele almaktadır.

Tüm bunlara ek olarak, iletişim operatörlerini güvenlik önlemleri almaya ve ilgili olayları yetkililere bildirmeye zorunlu kılan 2022 tarihli Genel Telekomünikasyon Kanunu ve kamu idareleri ile teknoloji sağlayıcıları için zorunlu güvenlik ilkelerini, gereksinimlerini ve seviyelerini belirleyen, 2025 yılında güncellenen Ulusal Güvenlik Şeması (ENS) da bulunmaktadır.

Ulusal Güvenlik Planı ve Kamu Yönetimleri

Ulusal Güvenlik Çerçevesi (ENS), pratikte İspanya'daki kamu sektörü için siber güvenlik çerçevesidir . Temel ilkeleri (önleme, tespit, müdahale, kurtarma, sürekli iyileştirme) tanımlar ve her bilgi sistemine ilişkin güvenlik seviyelerine (düşük, orta, yüksek) göre uygulanması gereken bir dizi önlemi belirtir.

Bu düzenleme, idarelerin ve onlarla çalışan tedarikçilerin periyodik güvenlik denetimlerinden ve kontrollerinden geçmesini , güncel politikaları sürdürmesini, kimlikleri ve erişimi düzgün bir şekilde yönetmesini, uygun yerlerde şifreleme uygulamasını ve olayları tespit etmek için faaliyetleri kaydedip analiz etmesini gerektirir.

İspanya'da NIS2: Bir sonraki düzenleme dalgası

İspanya, NIS2'yi ulusal mevzuata aktaracak ve sıkı siber güvenlik yükümlülüklerine tabi sektör ve kuruluş sayısını önemli ölçüde genişletecek Kraliyet Kararnamesi üzerinde zaten çalışıyor . Halihazırda kapsanan sektörlere ek olarak, bazı üreticiler, posta hizmetleri, araştırma, gelişmiş BİT sağlayıcıları ve diğerleri gibi yeni alanlar da dahil edilecek.

Beklenen en önemli değişiklikler arasında, ciddi olayların yetkililere bildirilmesi için tanınan sürelerin genel olarak kısaltılması (çoğu durumda 24 saate indirilecek) ve Avrupa rakamlarıyla uyumlu olarak yönetim sorumluluklarının ve yaptırım rejimlerinin güçlendirilmesi (10 milyon euroya kadar para cezası veya küresel cironun belirli bir yüzdesi) yer almaktadır.

Uluslararası siber güvenlik teknik standartları ve normları

Mevzuatın ötesinde, kuruluşlar hangi kontrollerin, süreçlerin ve en iyi uygulamaların uygulanacağını belirten teknik standartlara ve uluslararası çerçevelere güvenirler . Bu standartlar yalnızca mevzuata uyumu sağlamaya yardımcı olmakla kalmaz, aynı zamanda müşterilere, ortaklara ve yetkililere gerekli özeni gösterdiklerini de kanıtlar.

ISO/IEC 27000 ailesi ve ISO bilgi güvenliği

ISO/IEC 27000 ailesi, bilgi güvenliği yönetiminde fiili standarttır . Temelinde, sürekli iyileştirme döngüsüne dayalı bir Bilgi Güvenliği Yönetim Sistemi (ISMS) uygulama gereksinimlerini tanımlayan ISO/IEC 27001 yer alır: riskleri analiz et, kontrolleri tanımla, uygula, gözden geçir ve iyileştir.

Bu standart , organizasyonel, teknik ve fiziksel kontroller (politikalar, erişim kontrolü, şifreleme, fiziksel güvenlik, güvenli operasyonlar, olay yönetimi vb.) konusunda kapsamlı rehberlik sağlayan ISO/IEC 27002 standardına dayanmaktadır. İlgili standartlar arasında ISO/IEC 27005 (risk yönetimi), ISO/IEC 27032 (dar anlamda siber güvenlik) ve ISO/IEC 27701 (gizlilik) yer almaktadır.

Birçok sektörde, ISO 27001 sertifikasına sahip olmak neredeyse bir giriş şartı haline gelmiştir; çünkü bu sertifika ciddi olayların olasılığını önemli ölçüde azaltır , uyumluluk denetimlerini (GDPR, NIS2, ENS) kolaylaştırır ve kuruluşun müşteriler ve yatırımcılar nezdindeki imajını iyileştirir.

ISO/IEC 27032: Siber Alanda Siber Güvenlik

ISO 27001 genel bilgi güvenliği yönetimine odaklanırken, ISO/IEC 27032 özellikle siber güvenliğe, yani kullanıcıların, sistemlerin, ağların ve bağlantıların , sosyal ağların, mobil cihazların ve kritik altyapıların etkileşimde bulunduğu siber alanın korunmasına odaklanmaktadır .

Bu standart , gelişmiş kötü amaçlı yazılımlar, casus yazılımlar, kimlik avı ve sosyal mühendislik gibi tehditlerle mücadele , ağların ve çevrimiçi hizmetlerin güvenliğinin güçlendirilmesi, hükümetler, işletmeler ve kullanıcılar arasında işbirliğinin teşvik edilmesi ve olaylar ve güvenlik açıkları hakkında bilgi paylaşımı için çerçeveler oluşturulması konularında yol gösterici ilkeler sunmaktadır.

Bu uygulamanın, özellikle bulut hizmetlerine, çevrimiçi platformlara ve iş birliğine dayalı ekosistemlere güvenen kuruluşlar için faydalı olduğu söylenebilir; çünkü bu sayede birbirine bağlı ortamlardaki tehditlere ve ele almaları gereken öncelikli kontrollere ilişkin yapılandırılmış bir bakış açısı elde ederler.

ISO/IEC 27701: Gizlilik ve veri koruma

ISO /IEC 27701, ISO 27001'in Bilgi Güvenliği Yönetim Sistemi'ni (ISMS) kişisel veri gizliliğinin yönetimini de kapsayacak şekilde genişletir . Hem veri sorumluları hem de veri işleyicileri için ek roller, sorumluluklar ve kontroller tanımlar ve GDPR gereklilikleriyle yakından uyumludur.

Bu standardı uygulayarak, bir kuruluş gizliliği yönetim modeline entegre ettiğini , kişisel verilerle ilgili belirli riskleri yönettiğini ve veri sahibi haklarını ele almak, ihlalleri yönetmek ve uluslararası veri transferlerini sınırlamak için süreçleri resmileştirdiğini açıkça gösterebilir.

ISO 22301: İş Sürekliliği

Siber güvenlik yalnızca bir saldırıya dayanma yeteneğiyle değil, aynı zamanda bir kuruluşun toparlanma ve faaliyetlerine devam etme hızıyla da ölçülür . İşte bu noktada, iş sürekliliği yönetimine odaklanan ISO 22301 devreye giriyor.

Bu standart, iş etkisi değerlendirmeleri (BIA'lar), süreklilik stratejilerinin oluşturulması, belgelenmiş kurtarma planları, düzenli testler ve krizler sırasında iletişim ve koordinasyon mekanizmalarının sürdürülmesini gerektirir. Süreklilik planı olmayan bir siber güvenlik olayı, bir şirketi haftalarca felç edebilir ve milyonlarca dolarlık kayıplara yol açabilir.

NIST Siber Güvenlik Çerçevesi

Amerika Birleşik Devletleri'nde NIST Siber Güvenlik Çerçevesi, Avrupa kuruluşları tarafından da benimsenen bir ölçüt haline gelmiştir. Beş temel işlev etrafında yapılandırılmıştır: tanımlama, koruma, tespit etme, müdahale etme ve kurtarma.

Bu yaklaşım, şirketlerin her bir fonksiyondaki olgunluk düzeylerini değerlendirmelerine , yatırımları önceliklendirmelerine ve dengeli bir siber güvenlik programı tasarlamalarına olanak tanır. Özellikle NIS2 veya ISO standartlarının gereksinimlerini tamamlamak için faydalıdır, çünkü ortak bir dil ve çok net bir kavramsal çerçeve sağlar.

İspanya'da Ulusal Güvenlik Şeması (ENS) ve sertifikaları

İspanya bağlamında, Ulusal Güvenlik Şeması (ENS), özellikle kamu sektörü için uluslararası standartların birçok ilkesinin yerel ve zorunlu bir çevirisi görevi görmektedir . Devlete hizmet veren kuruluşların genellikle bu şemaya uyum sağlamaları gerekmektedir; bu da pratikte onları ISO 27001 ve 27002'ye benzer modelleri benimsemeye itmektedir.

Ulusal Güvenlik Şeması (ENS) ile birlikte, ISO 27001 ve NIST çerçeveleri gibi sertifikasyonların benimsenmesi de artmaktadır. İspanya, sertifikalı kuruluş sayısı bakımından Avrupa'nın en üst sıralarında yer almakta olup, yapılan araştırmalar sertifikalı şirketlerin ciddi olayları azalttığını ve saldırılara karşı müdahale kapasitelerini artırdığını göstermektedir.

Şirketler için siber güvenlik yükümlülükleri ve en iyi uygulamalar

Yasa hükümlerinin ötesinde, hassas bilgileri işleyen veya dijital hizmetler sunan her kuruluş, siber güvenliği stratejik bir sorumluluk olarak kabul etmelidir . Bir şirket NIS2 veya 12/2018 sayılı Kraliyet Kararnamesi'nin katı kapsamı dışında kalsa bile, yetkililer sağlam bir güvenlik planı uygulanmasını önermektedir.

Risk analizi ve ilk denetim

İlk mantıklı adım, kritik varlıkları (veri, sistemler, süreçler), teknik ve organizasyonel güvenlik açıklarını, en olası tehditleri (fidye yazılımı, kimlik avı, DDoS, iç sızıntılar) ve her senaryonun potansiyel etkisini belirleyen bir risk analizi yapmaktır .

Buna paralel olarak, siber güvenlik denetimi, mevcut olgunluk düzeyinin değerlendirilmesine olanak tanır: mevcut politikalar, teknik yapılandırmalar, yama seviyeleri, personel eğitimi, üçüncü taraflara bağımlılık vb. Bu kapsamlı genel bakış, risk azaltmada en yüksek yatırım getirisi sağlayan önlemlere öncelik vererek gerçekçi bir eylem planı geliştirilmesini sağlar.

İç politika ve prosedürlerin tanımlanması

Risk anlaşıldıktan sonra, alınan kararları net iç politikalar ve işletim prosedürlerine dönüştürme zamanı gelir . Bu, hangi uygulamalara izin verildiğini, kullanıcı hesaplarının nasıl yönetildiğini, hangi parola gereksinimlerinin geçerli olduğunu, kişisel cihazların (BYOD) nasıl kullanıldığını, harici depolama ortamlarıyla ne yapıldığını, yedeklemelerin nasıl gerçekleştirildiğini ve test edildiğini vb. içerir.

Olay yönetimi prosedürlerinin (kimin ne yapacağı, ne zaman bildirim yapılacağı, kime iletileceği), kurumsal iletişim araçlarının (e-posta, iş birliği araçları) kullanımına ilişkin kuralların, tesislere fiziksel erişim kurallarının ve bulut veya barındırma hizmeti sağlayıcılarından talep edilecek güvenlik kriterlerinin oluşturulması da şarttır .

Otomasyon ve teknolojik araçlar

Politikalar , uygulanmalarını kolaylaştıran teknolojik araçlar olmadan tek başına anlamsızdır . Temel bileşenler arasında saldırı tespit ve önleme sistemleri (IDS/IPS), kimlik ve erişim yönetimi (IAM) çözümleri, güvenlik bilgi ve olay ilişkilendirme (SIEM) platformları ve hem depolanan hem de iletilen veriler için veri şifreleme çözümleri yer almaktadır.

Otomasyon, dijital sertifikaların yaşam döngüsünün yönetilmesinde de hayati önem taşır ; zira kötü yönetilen sertifika süreleri, göründüğünden daha fazla soruna yol açar: hizmet kesintileri, kimlik doğrulama hataları ve hatta tehlikeye atılmış sertifikalar zamanında iptal edilmezse güvenlik ihlalleri.

Dijital sertifika yönetimi ve kod imzalama

Sunucu ve kullanıcı dijital sertifikaları (DV, OV, EV), web sitesinin orijinalliğini, iletişimin gizliliğini ve değiş tokuş edilen verilerin bütünlüğünü sağlamak için çok önemlidir . Kuruluşlar, uygun sertifika türünü seçmeli, yönetimini merkezileştirmeli, son kullanma tarihi uyarıları almalı ve mümkün olduğunca yenilemeleri otomatikleştirmelidir.

Öte yandan, yazılım geliştiren veya uygulama dağıtan şirketler için dijital kod imzalama temel bir kontrol mekanizmasıdır: kodun yayınlandığından beri değiştirilmediğini garanti eder ve kullanıcıların kötü amaçlı yazılımlarla değiştirilmiş yürütülebilir dosyaları yüklemesini engeller. Kod imzalama sertifikaları, özellikle genişletilmiş doğrulama (EV) özelliğine sahip olanlar, işletim sistemleri ve tarayıcılar tarafından istenen güven standartlarına uygundur.

E-posta güvenliği ve personel eğitimi

Saldırganlar için tercih edilen yöntem hala e-postadır: Kimlik avı kampanyaları ve e-posta yoluyla dağıtılan kötü amaçlı yazılımlar, olayların büyük çoğunluğunun arkasında yer almaktadır . Bu riski azaltmak için SPF, DKIM ve DMARC gibi protokollerin uygulanması, hassas e-postalarda şifreleme ve dijital imzaların kullanılması, gelişmiş filtreleme çözümlerinin devreye alınması ve güvenli tarayıcı uzantılarının kullanılması gerekmektedir.

Ancak, sürekli eğitim ve farkındalık olmadan teknoloji tek başına yetersiz kalır . Deneyimler, olayların %80'inden fazlasının insan kaynaklı olduğunu göstermektedir: yetkisiz tıklamalar, paylaşılan kimlik bilgileri, zayıf şifreler, kişisel cihazların dikkatsiz kullanımı vb. Siber güvenliği şirket kültürüne entegre etmek, iyi bir güvenlik duvarı kurmak kadar önemlidir.

Uluslararası kuruluşların siber güvenliğin düzenlenmesindeki rolü

Siber güvenlik, tanımı gereği sınır ötesi bir sorundur ve bu nedenle BM, NATO, G7 veya G20 gibi kuruluşlar, İspanyol ve Avrupa mevzuatını doğrudan etkileyen ilkeler, tavsiyeler ve işbirliği çerçevelerinin geliştirilmesinde önemli bir rol üstlenmiştir.

Avrupa Konseyi, siber suçların kovuşturulması için uluslararası bir referans anlaşması olmaya devam eden Budapeşte Siber Suçlar Sözleşmesi'ni desteklemiştir . İspanya, Ceza Kanunu'nu ve adli işbirliği prosedürlerini bu sözleşmeyle uyumlu hale getirerek, sınır ötesi suçların soruşturulmasını ve kovuşturulmasını kolaylaştırmıştır.

Buna paralel olarak, G7 ve G20 gibi forumlar, kritik altyapının korunması, siber suçlarla mücadele, internet yönetimi ve veri koruma konularında siyasi taahhütlerde bulundu . Bu yönergeler, ulusal siber güvenlik stratejilerinin ve finansal sistemin, enerji sektörünün ve e-devletin dayanıklılığını güçlendiren yasal reformların hazırlanmasını etkiliyor.

NATO da siber alanı kolektif savunmanın bir diğer operasyonel alanı olarak benimsemiştir . İspanya'nın Kilitli Kalkanlar ve Siber Koalisyon gibi tatbikatlara katılımı, siber savunma yeteneklerinin geliştirilmesine, ulusal mevzuatın düzenlenmesine ve büyük ölçekli siber saldırılar durumunda müttefiklerle iş birliğinin güçlendirilmesine katkıda bulunmaktadır.

Son olarak, BM, Uluslararası Telekomünikasyon Birliği (ITU) ve diğer kuruluşlar aracılığıyla, ülkelerin tutarlı düzenleyici çerçeveler geliştirmelerine, siber alanda insan haklarını korumalarına ve ortak siber tehditlere karşı daha iyi koordinasyon sağlamalarına yardımcı olan küresel standartları, teknik tavsiyeleri ve eğitim programlarını teşvik etmektedir.

Bu uluslararası çerçeve, İspanya ve AB'nin geri kalan ülkeleri üzerinde, hem olayların önlenmesinde hem de olaylara müdahalede yasal çerçevelerini güncel tutmaları ve küresel standartlarla uyumlu hale getirmeleri konusunda güçlü bir baskı oluşturmaktadır.

Genel olarak, siber güvenlik düzenlemeleri, tehditlerle aynı çılgın hızda gelişen bir tür düzenleyici kalkan haline geldi: NIS2 gibi Avrupa direktifleri, GDPR, DORA veya eIDAS gibi düzenlemeler, ulusal yasalar, kamu güvenliği programları, ISO standartları ve NIST çerçeveleri, kuruluşları dijital risk yönetimini çok ciddiye almaya, güvenlik programlarını profesyonelleştirmeye ve siber dayanıklılığın artık bir ek özellik değil, günümüz ekonomisinde rekabet etmeye ve güvencelerle faaliyet göstermeye devam etmek için temel bir koşul olduğunu kabul etmeye zorlayan bir yapbozun parçaları gibi bir araya geliyor.