Quy định về an ninh mạng: luật, tiêu chuẩn và nghĩa vụ

Hướng dẫn Alpha » Trò chơi » Quy định về an ninh mạng: luật, tiêu chuẩn và nghĩa vụ

Các quy định về an ninh mạng đã trở thành trụ cột cơ bản giúp các doanh nghiệp, cơ quan hành chính nhà nước và người dân hoạt động tương đối an tâm trong môi trường kỹ thuật số ngày càng khắc nghiệt. Các cuộc tấn công bằng mã độc tống tiền, vi phạm dữ liệu quy mô lớn, đánh cắp danh tính và phá hoại cơ sở hạ tầng trọng yếu không còn là những viễn cảnh tương lai, mà là những sự việc thường ngày đối với các tổ chức thuộc mọi quy mô.

Trước tình hình này, giải pháp không thể chỉ giới hạn ở việc cài đặt phần mềm chống virus và hy vọng mọi chuyện sẽ ổn: cần một khung pháp lý mạnh mẽ, nhất quán và liên tục phát triển để xác định rõ các nghĩa vụ, thiết lập các tiêu chuẩn an ninh tối thiểu và thúc đẩy hợp tác quốc tế. Trong các đoạn văn sau, bạn sẽ tìm thấy tổng quan toàn diện về khung pháp lý của Tây Ban Nha và châu Âu, các tiêu chuẩn kỹ thuật quan trọng nhất (ISO, NIST, ENS), các nghĩa vụ của các công ty và các xu hướng pháp lý mới nổi.

An ninh mạng là gì và luật pháp điều chỉnh những loại mối đe dọa nào?

Khi nói về an ninh mạng, chúng ta đang nói về việc bảo vệ các hệ thống, mạng lưới và dữ liệu khỏi mọi sự truy cập, sử dụng, sửa đổi hoặc phá hủy trái phép. Định nghĩa được sử dụng bởi Sáng kiến ​​Quốc gia về Nghề nghiệp và Nghiên cứu An ninh mạng Hoa Kỳ (NICCS) mô tả nó là hoạt động, quy trình hoặc khả năng mà nhờ đó các hệ thống thông tin và truyền thông, và thông tin mà chúng chứa đựng, được bảo vệ khỏi bị hư hại hoặc khai thác.

Trên thực tế, điều này được thể hiện qua một loạt các biện pháp kỹ thuật, tổ chức, pháp lý và đào tạo nhằm bảo vệ thông tin kỹ thuật số trong môi trường mạng liên kết. An ninh mạng nằm trong phạm vi an ninh thông tin, nhưng tập trung rất rõ ràng vào các rủi ro phát sinh cụ thể trong không gian mạng.

Trong bối cảnh này, các khái niệm liên quan mà quy định cũng tập trung vào cũng xuất hiện, chẳng hạn như tội phạm mạng, các mối đe dọa trên mạng và chính không gian mạng . Tội phạm mạng bao gồm các hành vi phạm tội được thực hiện thông qua internet (gian lận trực tuyến, tấn công hệ thống, tống tiền bằng mã độc tống tiền, v.v.). Các mối đe dọa trên mạng là khả năng hoặc cơ hội gây hại bằng các phương tiện kỹ thuật số. Và không gian mạng được hiểu là thực tại liên kết mở rộng ra ngoài internet và tích hợp các mạng lưới, thiết bị và hệ thống trên toàn thế giới.

Các hoạt động bất hợp pháp thuộc phạm vi này rất đa dạng: từ gian lận thương mại điện tử hoặc đánh cắp thông tin đăng nhập đến việc đưa phần mềm độc hại vào hệ thống của công ty, phát tán tin giả nhằm gây hại cho cá nhân, mạo danh thương hiệu hoặc các cuộc tấn công có chủ đích vào cơ sở hạ tầng trọng yếu. Do đó, an ninh mạng liên quan đến nhiều lĩnh vực pháp luật khác nhau như luật hình sự, luật dân sự, bảo vệ dữ liệu và quyền về danh dự và quyền riêng tư.

Điểm mấu chốt nằm ở khía cạnh trực tuyến của hành vi và tác động của nó : khi một cuộc tấn công được thực hiện trong môi trường kỹ thuật số, tốc độ lan truyền, phạm vi địa lý và khó khăn trong việc xác định thủ phạm hoàn toàn thay đổi luật chơi. Điều này lý giải cho việc cần thiết phải nhanh chóng điều chỉnh luật pháp để bao quát những tình huống thậm chí chưa từng được xem xét trong thế giới vật lý.

Khung pháp lý của châu Âu về an ninh mạng

Liên minh châu Âu đã xây dựng một khuôn khổ pháp lý toàn diện để giải quyết các mối đe dọa trên mạng , kết hợp các chỉ thị, quy định và chiến lược cụ thể. Mục tiêu kép là: thứ nhất, nâng cao mức độ an ninh tối thiểu ở tất cả các quốc gia thành viên; và thứ hai, ngăn chặn việc một quốc gia trở thành cửa ngõ để xâm phạm an ninh của các quốc gia khác.

Chỉ thị NIS và NIS2: cốt lõi của an ninh mạng tại EU

Bước quan trọng đầu tiên trong quá trình này là Chỉ thị 2016/1148, được gọi là Chỉ thị NIS , thiết lập các biện pháp để đảm bảo mức độ an ninh chung cho các mạng và hệ thống thông tin trên toàn EU. Quy định này yêu cầu các quốc gia thành viên phải áp dụng các chiến lược an ninh mạng quốc gia, thành lập các Nhóm ứng phó sự cố an ninh máy tính (CSIRT) và giám sát các nhà điều hành dịch vụ thiết yếu và các nhà cung cấp dịch vụ kỹ thuật số.

Chỉ thị NIS quy định cụ thể các nghĩa vụ của các nhà điều hành dịch vụ thiết yếu (như năng lượng, vận tải, chăm sóc sức khỏe và ngân hàng) và một số nhà cung cấp dịch vụ kỹ thuật số. Họ được yêu cầu áp dụng các biện pháp kỹ thuật và tổ chức tương xứng với rủi ro, đảm bảo mức độ an ninh phù hợp và thông báo kịp thời cho cơ quan có thẩm quyền hoặc CSIRT quốc gia về các sự cố nghiêm trọng.

Tuy nhiên, sự gia tăng tội phạm mạng và sự tăng tốc số hóa sau đại dịch đã cho thấy cần phải tiến xa hơn. Điều này dẫn đến việc thông qua Chỉ thị (EU) 2022/2555, được gọi là NIS2 , mở rộng các lĩnh vực được điều chỉnh, tăng cường các yêu cầu quản lý rủi ro và rút ngắn đáng kể thời hạn báo cáo sự cố (24 giờ cho thông báo đầu tiên).

NIS2 tích hợp các nghĩa vụ an ninh mới, thiết lập các chế độ giám sát nghiêm ngặt hơn và các biện pháp trừng phạt kinh tế thích hợp đối với các thực thể thiết yếu và quan trọng, đồng thời chỉ rõ trách nhiệm của các cơ quan quản lý, những cơ quan này phải tham gia vào quản lý an ninh mạng và có thể bị xử phạt trong trường hợp sơ suất nghiêm trọng.

Quy định và hệ thống chứng nhận về an ninh mạng của EU

Một trụ cột quan trọng khác là Quy định An ninh mạng EU năm 2019 , nhằm tăng cường quyền hạn của ENISA (Cơ quan An ninh mạng Liên minh châu Âu) và tạo ra một khuôn khổ chứng nhận an ninh mạng châu Âu cho các sản phẩm, dịch vụ và quy trình CNTT.

Nhờ khuôn khổ này, một công ty chỉ cần chứng nhận sản phẩm hoặc dịch vụ an ninh mạng một lần và chứng chỉ đó sẽ được công nhận trên toàn EU, giúp đơn giản hóa thương mại nội bộ và tăng cường niềm tin thị trường. Chứng nhận trở thành dấu ấn chất lượng, giúp dễ dàng chứng minh sự tuân thủ các yêu cầu an ninh do khách hàng và cơ quan quản lý đặt ra.

Ủy ban châu Âu đã và đang hoàn thiện khuôn khổ này và đề xuất các sửa đổi cụ thể, chẳng hạn như sửa đổi được phê duyệt vào tháng 1 năm 2025, để cho phép các chương trình chứng nhận châu Âu áp dụng cho các dịch vụ bảo mật được quản lý (ứng phó sự cố, kiểm thử xâm nhập, kiểm toán bảo mật, tư vấn, v.v.). Mục tiêu là tăng cường niềm tin vào các dịch vụ quan trọng để ngăn chặn, phát hiện và phục hồi sau các cuộc tấn công mạng.

Một vai trò mới cho ENISA

ENISA đã phát triển từ một cơ quan chủ yếu mang tính kỹ thuật và tư vấn thành một cơ quan có nhiệm vụ thường trực và được tăng cường . Các chức năng chính của ENISA bao gồm chuẩn bị nền tảng cho các chương trình chứng nhận, công khai báo cáo về các chứng chỉ đã cấp, hỗ trợ hợp tác hoạt động giữa các quốc gia thành viên và đóng vai trò là điểm tham chiếu trong các sự cố xuyên biên giới lớn.

Hơn nữa, Ủy ban đã đề xuất ENISA phát triển năng lực quản lý lỗ hổng bảo mật chung trên toàn EU , cung cấp dịch vụ cho các bên liên quan và vận hành một điểm tiếp nhận duy nhất để báo cáo sự cố, như đã được hình dung trong các sáng kiến ​​như Digital Omnibus. Tất cả những điều này nhằm mục đích hài hòa việc quản lý lỗ hổng bảo mật và cải thiện phản ứng phối hợp đối với các cuộc tấn công phức tạp.

GDPR, eIDAS, DORA và các yếu tố quan trọng khác

Bên cạnh NIS2 và Quy định về An ninh mạng, các quy định khác của châu Âu cũng có tác động trực tiếp đến an ninh mạng. Quy định chung về bảo vệ dữ liệu (GDPR) yêu cầu áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để đảm bảo tính bảo mật, toàn vẹn và khả dụng của dữ liệu cá nhân, với mức phạt có thể lên tới 4% doanh thu toàn cầu.

Về phần mình, Quy định eIDAS thiết lập khuôn khổ cho việc nhận dạng điện tử và các dịch vụ tin cậy (chữ ký điện tử, con dấu điện tử, dấu thời gian, chứng nhận giao hàng điện tử, xác thực trang web). Bằng cách đặt ra các yêu cầu bảo mật rất nghiêm ngặt, nó trở thành một yếu tố thiết yếu để đảm bảo niềm tin vào các giao dịch kỹ thuật số trong cả khu vực công và tư.

Trong lĩnh vực tài chính, Quy định DORA (Đạo luật về khả năng phục hồi hoạt động kỹ thuật số) bổ sung thêm một lớp nghĩa vụ liên quan đến khả năng phục hồi kỹ thuật số, kiểm thử xâm nhập nâng cao, quản lý CNTT của bên thứ ba quan trọng và thông báo sự cố, phù hợp với tinh thần của NIS2 nhưng tập trung rất cụ thể vào dịch vụ tài chính.

Quy định về an ninh mạng tại Tây Ban Nha

Tây Ban Nha đã và đang điều chỉnh luật pháp của mình để phù hợp với các yêu cầu của châu Âu đồng thời đáp ứng nhu cầu bảo vệ riêng của quốc gia. Một điểm tham chiếu quan trọng là Bộ luật An ninh mạng được công bố trên Công báo Nhà nước (BOE), tập hợp các quy định chính ảnh hưởng đến lĩnh vực này.

Nghị định Hoàng gia số 12/2018 và các diễn biến tiếp theo

Nghị định Hoàng gia số 12/2018 về an ninh mạng và hệ thống thông tin là quy định chuyển đổi Chỉ thị NIS đầu tiên thành luật pháp Tây Ban Nha. Nghị định này xác định các yêu cầu về an ninh và nghĩa vụ báo cáo sự cố đối với các nhà điều hành dịch vụ thiết yếu và một số nhà cung cấp dịch vụ kỹ thuật số nhất định (các sàn giao dịch trực tuyến, công cụ tìm kiếm và dịch vụ điện toán đám mây không phải là doanh nghiệp siêu nhỏ hoặc nhỏ).

Trong số những nghĩa vụ quan trọng nhất đối với các nhà cung cấp dịch vụ kỹ thuật số quy mô vừa và lớn là: thông báo hoạt động của mình cho cơ quan có thẩm quyền (Bộ Chuyển đổi số) trong vòng ba tháng đầu tiên, áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để quản lý rủi ro an ninh, và thông báo các sự cố nghiêm trọng cho CSIRT tương ứng (nếu có, INCIBE-CERT).

Các biện pháp này phải tính đến an ninh cơ sở hạ tầng CNTT , quản lý sự cố, tính liên tục kinh doanh, giám sát và kiểm toán, cũng như tuân thủ các tiêu chuẩn quốc tế. Mặc dù tiêu chuẩn này không đưa ra danh sách đầy đủ các biện pháp kiểm soát, nhưng nó xác định rõ ràng các lĩnh vực cần được bao phủ để đạt được quản lý rủi ro hợp lý và tương xứng.

Sự phát triển về mặt pháp lý này xuất phát từ Nghị định Hoàng gia 43/2021 , trong đó quy định thêm các nghĩa vụ đối với các nhà khai thác mạng và dịch vụ thông tin liên lạc điện tử, nhằm tăng cường an ninh và khả năng phục hồi của cơ sở hạ tầng viễn thông, một trong những lĩnh vực quan trọng nhất và dễ bị tấn công mạng.

Bảo vệ dữ liệu, dịch vụ đáng tin cậy và cơ sở hạ tầng quan trọng

Về vấn đề bảo mật thông tin, Luật Hữu cơ về Bảo vệ Dữ liệu và Đảm bảo Quyền Kỹ thuật số của Tây Ban Nha (LOPDGDD) bổ sung và mở rộng GDPR tại Tây Ban Nha, thiết lập thêm các biện pháp bảo vệ và nghĩa vụ đối với việc sử dụng dữ liệu cá nhân trong môi trường kỹ thuật số. Luật này yêu cầu các tổ chức phải triển khai các biện pháp kiểm soát an ninh mạng mạnh mẽ để ngăn chặn các vụ xâm phạm và rò rỉ dữ liệu.

Trong lĩnh vực định danh điện tử và dịch vụ tin cậy, Luật 6/2020 điều chỉnh các quy định của Tây Ban Nha cho phù hợp với Quy định eIDAS, xác định các nghĩa vụ của các nhà cung cấp dịch vụ tin cậy (chữ ký và con dấu điện tử, chứng nhận giao hàng, chứng chỉ xác thực, v.v.) và thiết lập một khuôn khổ chi tiết cho an ninh mạng của các dịch vụ quan trọng này.

Mặt khác, Luật số 8/2011 về Bảo vệ Cơ sở hạ tầng trọng yếu thiết lập khung pháp lý để bảo vệ các hệ thống và tài sản thiết yếu đối với xã hội, nền kinh tế và an ninh quốc gia. Mặc dù nguồn gốc của luật này gắn liền hơn với bảo vệ vật lý, nhưng luật này thừa nhận rõ ràng rằng nhiều cơ sở hạ tầng này phụ thuộc vào mạng lưới và hệ thống CNTT, do đó, an ninh mạng được tích hợp như một phần không thể thiếu của bảo vệ tổng thể.

Thêm vào đó là Luật Viễn thông Chung năm 2022, quy định các nhà khai thác viễn thông phải áp dụng các biện pháp an ninh và thông báo các sự cố liên quan cho các cơ quan chức năng, cũng như Kế hoạch An ninh Quốc gia (ENS) , được cập nhật vào năm 2025, thiết lập các nguyên tắc, yêu cầu và mức độ an ninh bắt buộc đối với các cơ quan hành chính nhà nước và các nhà cung cấp công nghệ của họ.

Chương trình An ninh Quốc gia và Hành chính Công

Khung An ninh Quốc gia (ENS) trên thực tế là khung an ninh mạng dành cho khu vực công ở Tây Ban Nha. Khung này định nghĩa các nguyên tắc cơ bản (phòng ngừa, phát hiện, ứng phó, phục hồi, cải tiến liên tục) và quy định một tập hợp các biện pháp phải được áp dụng theo các cấp độ an ninh (thấp, trung bình, cao) liên quan đến từng hệ thống thông tin.

Chương trình này yêu cầu các cơ quan quản lý và các nhà cung cấp hợp tác với họ phải trải qua các cuộc kiểm toán và kiểm soát an ninh định kỳ , duy trì các chính sách được cập nhật, quản lý danh tính và quyền truy cập một cách thích hợp, áp dụng mã hóa khi cần thiết, và ghi lại cũng như phân tích hoạt động để phát hiện các sự cố.

NIS2 tại Tây Ban Nha: làn sóng pháp lý tiếp theo

Tây Ban Nha hiện đang soạn thảo Sắc lệnh Hoàng gia nhằm chuyển đổi NIS2 và mở rộng đáng kể số lượng các lĩnh vực và tổ chức phải tuân thủ các nghĩa vụ an ninh mạng nghiêm ngặt. Bên cạnh các lĩnh vực đã được bao gồm, các lĩnh vực mới sẽ được bổ sung, chẳng hạn như một số nhà sản xuất, dịch vụ bưu chính, nghiên cứu, nhà cung cấp công nghệ thông tin tiên tiến và các lĩnh vực khác.

Trong số những thay đổi quan trọng nhất được dự kiến ​​là việc giảm thời hạn thông báo các sự cố nghiêm trọng cho các cơ quan chức năng, xuống còn 24 giờ trong nhiều trường hợp, và tăng cường trách nhiệm quản lý cũng như các chế độ xử phạt , phù hợp với tiêu chuẩn châu Âu (mức phạt lên đến 10 triệu euro hoặc một tỷ lệ phần trăm doanh thu toàn cầu).

Các tiêu chuẩn và quy chuẩn kỹ thuật an ninh mạng quốc tế

Bên cạnh luật pháp, các tổ chức còn dựa vào các tiêu chuẩn kỹ thuật và khuôn khổ quốc tế quy định các biện pháp kiểm soát, quy trình và thực tiễn tốt nhất cần thực hiện. Những tiêu chuẩn này không chỉ giúp đảm bảo tuân thủ quy định mà còn thể hiện sự cẩn trọng cần thiết đối với khách hàng, đối tác và các cơ quan chức năng.

Bộ tiêu chuẩn ISO/IEC 27000 và bảo mật thông tin ISO

Bộ tiêu chuẩn ISO/IEC 27000 là tiêu chuẩn thực tế trong quản lý an ninh thông tin . Cốt lõi của bộ tiêu chuẩn này là ISO/IEC 27001, định nghĩa các yêu cầu để triển khai Hệ thống Quản lý An ninh Thông tin (ISMS) dựa trên chu trình cải tiến liên tục: phân tích rủi ro, xác định các biện pháp kiểm soát, triển khai chúng, xem xét lại và cải tiến chúng.

Tiêu chuẩn này dựa trên ISO/IEC 27002, cung cấp hướng dẫn toàn diện về các biện pháp kiểm soát tổ chức, kỹ thuật và vật lý (chính sách, kiểm soát truy cập, mã hóa, an ninh vật lý, vận hành an toàn, quản lý sự cố, v.v.). Các tiêu chuẩn liên quan bao gồm ISO/IEC 27005 (quản lý rủi ro), ISO/IEC 27032 (an ninh mạng theo nghĩa chặt chẽ) và ISO/IEC 27701 (bảo mật thông tin cá nhân).

Trong nhiều lĩnh vực, chứng nhận ISO 27001 gần như trở thành yêu cầu bắt buộc, vì nó giúp giảm đáng kể khả năng xảy ra các sự cố nghiêm trọng , tạo điều kiện thuận lợi cho các cuộc kiểm toán tuân thủ (GDPR, NIS2, ENS) và nâng cao hình ảnh của tổ chức đối với khách hàng và nhà đầu tư.

ISO/IEC 27032: An ninh mạng trong không gian mạng

Trong khi ISO 27001 tập trung vào quản lý tổng thể an ninh thông tin, ISO/IEC 27032 lại tập trung cụ thể vào an ninh mạng, được hiểu là bảo vệ không gian mạng nơi người dùng, hệ thống, mạng lưới và kết nối , mạng xã hội, thiết bị di động và cơ sở hạ tầng quan trọng tương tác với nhau.

Tiêu chuẩn này cung cấp các hướng dẫn để chống lại các mối đe dọa như phần mềm độc hại tiên tiến, phần mềm gián điệp, lừa đảo trực tuyến và kỹ thuật xã hội , tăng cường an ninh mạng và dịch vụ trực tuyến, thúc đẩy sự hợp tác giữa chính phủ, doanh nghiệp và người dùng, và thiết lập khuôn khổ để chia sẻ thông tin về các sự cố và lỗ hổng.

Việc triển khai công cụ này đặc biệt hữu ích cho các tổ chức dựa vào dịch vụ đám mây, nền tảng trực tuyến và hệ sinh thái hợp tác, vì nó cung cấp cho họ cái nhìn tổng quan có cấu trúc về các mối đe dọa trong môi trường kết nối và các biện pháp kiểm soát ưu tiên mà họ cần giải quyết.

ISO/IEC 27701: Bảo mật và bảo vệ dữ liệu

Tiêu chuẩn ISO /IEC 27701 mở rộng hệ thống quản lý an toàn thông tin (ISMS) của ISO 27001 để bao gồm việc quản lý quyền riêng tư dữ liệu cá nhân. Tiêu chuẩn này định nghĩa thêm các vai trò, trách nhiệm và biện pháp kiểm soát cho cả bên kiểm soát và bên xử lý dữ liệu, và phù hợp chặt chẽ với các yêu cầu của GDPR.

Bằng cách thực hiện tiêu chuẩn này, một tổ chức có thể chứng minh rõ ràng rằng họ đã tích hợp quyền riêng tư vào mô hình quản trị của mình , quản lý các rủi ro cụ thể liên quan đến dữ liệu cá nhân và đã chính thức hóa các quy trình để giải quyết các quyền của chủ thể dữ liệu, quản lý các vi phạm và hạn chế việc chuyển dữ liệu quốc tế.

ISO 22301: Đảm bảo hoạt động kinh doanh liên tục

An ninh mạng không chỉ được đánh giá bằng khả năng chống chịu tấn công mà còn bằng tốc độ phục hồi và tiếp tục hoạt động của một tổ chức . Đây là lúc tiêu chuẩn ISO 22301, tập trung vào quản lý tính liên tục kinh doanh, phát huy tác dụng.

Tiêu chuẩn này yêu cầu đánh giá tác động kinh doanh (BIA), thiết lập chiến lược duy trì hoạt động, kế hoạch phục hồi được ghi chép lại, kiểm tra thường xuyên và duy trì các cơ chế liên lạc và phối hợp trong suốt các cuộc khủng hoảng. Một sự cố an ninh mạng mà không có kế hoạch duy trì hoạt động có thể làm tê liệt một công ty trong nhiều tuần và gây ra thiệt hại hàng triệu đô la.

Khung bảo mật mạng NIST

Tại Hoa Kỳ, Khung An ninh mạng NIST đã trở thành một chuẩn mực được các tổ chức châu Âu áp dụng. Khung này được cấu trúc xung quanh năm chức năng chính: nhận diện, bảo vệ, phát hiện, phản hồi và phục hồi.

Cách tiếp cận này cho phép các công ty đánh giá mức độ trưởng thành của mình trong từng chức năng , ưu tiên đầu tư và thiết kế một chương trình an ninh mạng cân bằng. Nó đặc biệt hữu ích để bổ sung cho các yêu cầu của tiêu chuẩn NIS2 hoặc ISO, vì nó cung cấp một ngôn ngữ chung và một khung khái niệm rất rõ ràng.

Chương trình An ninh Quốc gia (ENS) và các chứng nhận tại Tây Ban Nha

Trong bối cảnh Tây Ban Nha, Hệ thống An ninh Quốc gia (ENS) đóng vai trò là bản chuyển thể bắt buộc và áp dụng tại địa phương cho nhiều nguyên tắc của các tiêu chuẩn quốc tế , đặc biệt là đối với khu vực công. Các tổ chức cung cấp dịch vụ cho chính phủ thường được yêu cầu phải tuân thủ hệ thống này, điều này trên thực tế thúc đẩy họ áp dụng các mô hình tương tự như ISO 27001 và 27002.

Cùng với Chương trình An ninh Quốc gia (ENS), việc áp dụng các chứng nhận như ISO 27001 và khung tiêu chuẩn NIST ngày càng tăng. Tây Ban Nha nằm trong số các quốc gia hàng đầu ở châu Âu về số lượng tổ chức được chứng nhận, và các khảo sát cho thấy các công ty được chứng nhận giúp giảm thiểu các sự cố nghiêm trọng và cải thiện khả năng ứng phó với các cuộc tấn công.

Nghĩa vụ và các biện pháp tốt nhất về an ninh mạng dành cho các công ty

Ngoài nội dung pháp lý, bất kỳ tổ chức nào xử lý thông tin nhạy cảm hoặc cung cấp dịch vụ kỹ thuật số đều phải nhận thức an ninh mạng là một trách nhiệm chiến lược . Ngay cả khi một công ty không thuộc phạm vi điều chỉnh nghiêm ngặt của NIS2 hoặc Nghị định Hoàng gia 12/2018, các cơ quan chức năng vẫn khuyến nghị nên triển khai một kế hoạch an ninh mạnh mẽ.

Phân tích rủi ro và kiểm toán ban đầu

Bước đầu tiên và hợp lý nhất là tiến hành phân tích rủi ro để xác định các tài sản quan trọng (dữ liệu, hệ thống, quy trình), các lỗ hổng kỹ thuật và tổ chức, các mối đe dọa có khả năng xảy ra nhất (mã độc tống tiền, lừa đảo trực tuyến, tấn công DDoS, rò rỉ thông tin nội bộ) và tác động tiềm tàng của từng kịch bản.

Song song đó, việc kiểm toán an ninh mạng cho phép đánh giá mức độ trưởng thành hiện tại: các chính sách hiện có, cấu hình kỹ thuật, mức độ vá lỗi, đào tạo nhân viên, sự phụ thuộc vào bên thứ ba, v.v. Cái nhìn tổng quan toàn diện này cho phép xây dựng một kế hoạch hành động thực tế, ưu tiên các biện pháp mang lại lợi tức đầu tư cao nhất trong việc giảm thiểu rủi ro.

Định nghĩa các chính sách và quy trình nội bộ

Khi đã hiểu rõ rủi ro, bước tiếp theo là chuyển các quyết định thành các chính sách nội bộ và quy trình hoạt động rõ ràng . Điều này bao gồm việc xác định những ứng dụng nào được phép sử dụng, cách quản lý tài khoản người dùng, các yêu cầu về mật khẩu, cách sử dụng thiết bị cá nhân (BYOD), xử lý phương tiện lưu trữ ngoài, cách thực hiện và kiểm tra sao lưu dữ liệu, v.v.

Việc thiết lập các quy trình quản lý sự cố (ai làm gì, khi nào cần thông báo, cần báo cáo cho ai), các quy tắc sử dụng phương tiện truyền thông nội bộ (email, công cụ cộng tác), các quy tắc về quyền truy cập vật lý vào cơ sở vật chất và các tiêu chí bảo mật cần yêu cầu từ các nhà cung cấp dịch vụ đám mây hoặc lưu trữ cũng rất cần thiết.

Tự động hóa và các công cụ công nghệ

Chính sách tự thân sẽ vô nghĩa nếu thiếu các công cụ công nghệ hỗ trợ việc thực thi chúng . Các thành phần quan trọng bao gồm hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS), giải pháp quản lý danh tính và quyền truy cập (IAM), nền tảng tương quan thông tin và sự kiện bảo mật (SIEM), và các giải pháp mã hóa dữ liệu cho dữ liệu ở trạng thái tĩnh và khi truyền tải.

Tự động hóa cũng rất quan trọng trong việc quản lý vòng đời của chứng chỉ số , việc quản lý kém thời hạn hết hạn của chúng gây ra nhiều sự cố hơn tưởng tượng: gián đoạn dịch vụ, lỗi xác thực, hoặc thậm chí là vi phạm an ninh nếu chứng chỉ bị xâm phạm không được thu hồi kịp thời.

Quản lý chứng chỉ số và ký mã

Chứng chỉ số máy chủ và người dùng (DV, OV, EV) rất cần thiết để đảm bảo tính xác thực của trang web, tính bảo mật của thông tin liên lạc và tính toàn vẹn của dữ liệu được trao đổi. Các tổ chức nên đảm bảo lựa chọn loại chứng chỉ phù hợp, quản lý tập trung, nhận thông báo hết hạn và tự động gia hạn bất cứ khi nào có thể.

Song song đó, đối với các công ty phát triển phần mềm hoặc phân phối ứng dụng, việc ký mã số là một biện pháp kiểm soát cơ bản: nó đảm bảo rằng mã nguồn không bị giả mạo kể từ khi phát hành và ngăn người dùng cài đặt các tệp thực thi bị sửa đổi bằng phần mềm độc hại. Chứng chỉ ký mã, đặc biệt là những chứng chỉ có xác thực mở rộng (EV), tuân thủ các tiêu chuẩn tin cậy được yêu cầu bởi hệ điều hành và trình duyệt.

Bảo mật email và đào tạo nhân viên

Email vẫn là phương thức tấn công được ưa chuộng nhất: các chiến dịch lừa đảo và phần mềm độc hại phát tán qua email là nguyên nhân gây ra phần lớn các vụ việc . Để giảm thiểu rủi ro này, cần phải triển khai các giao thức như SPF, DKIM và DMARC, sử dụng mã hóa và chữ ký số trong các email nhạy cảm, đồng thời triển khai các giải pháp lọc nâng cao và sử dụng các tiện ích mở rộng trình duyệt an toàn.

Tuy nhiên, công nghệ thôi là chưa đủ nếu thiếu đi sự đào tạo và nâng cao nhận thức liên tục . Kinh nghiệm cho thấy hơn 80% các sự cố có yếu tố con người: nhấp chuột trái phép, chia sẻ thông tin đăng nhập, mật khẩu yếu, sử dụng thiết bị cá nhân bất cẩn, v.v. Việc tích hợp an ninh mạng vào văn hóa doanh nghiệp cũng quan trọng như việc cài đặt một tường lửa tốt.

Vai trò của các tổ chức quốc tế trong việc điều chỉnh an ninh mạng

An ninh mạng, theo định nghĩa, là một vấn đề xuyên biên giới, và đó là lý do tại sao các tổ chức như Liên Hợp Quốc, NATO, G7 hoặc G20 đã đảm nhận vai trò quan trọng trong việc phát triển các nguyên tắc, khuyến nghị và khuôn khổ hợp tác có ảnh hưởng trực tiếp đến luật pháp Tây Ban Nha và châu Âu.

Hội đồng châu Âu đã thúc đẩy Công ước Budapest về tội phạm mạng , vốn vẫn là hiệp ước quốc tế chuẩn mực để truy tố tội phạm mạng. Tây Ban Nha đã điều chỉnh Bộ luật Hình sự và các thủ tục hợp tác tư pháp của mình cho phù hợp với công ước này, tạo điều kiện thuận lợi cho việc điều tra và truy tố các tội phạm xuyên biên giới.

Song song đó, các diễn đàn như G7 và G20 đã đưa ra các cam kết chính trị về bảo vệ cơ sở hạ tầng trọng yếu, chống tội phạm mạng, quản trị internet và bảo vệ dữ liệu . Những hướng dẫn này ảnh hưởng đến việc soạn thảo các chiến lược an ninh mạng quốc gia và các cải cách pháp lý nhằm tăng cường khả năng phục hồi của hệ thống tài chính, ngành năng lượng và chính phủ điện tử.

Về phần mình, NATO đã đưa không gian mạng vào như một lĩnh vực hoạt động khác của phòng thủ tập thể . Việc Tây Ban Nha tham gia các cuộc tập trận như Locked Shields và Cyber ​​​​Coalition góp phần nâng cao năng lực phòng thủ mạng, điều chỉnh luật pháp quốc gia và tăng cường hợp tác với các đồng minh trong trường hợp xảy ra các cuộc tấn công mạng quy mô lớn.

Cuối cùng, Liên Hợp Quốc, thông qua Liên minh Viễn thông Quốc tế (ITU) và các tổ chức khác, thúc đẩy các tiêu chuẩn toàn cầu, các khuyến nghị kỹ thuật và các chương trình đào tạo giúp các quốc gia phát triển các khuôn khổ pháp lý nhất quán, bảo vệ nhân quyền trong không gian mạng và phối hợp tốt hơn để chống lại các mối đe dọa mạng chung.

Toàn bộ khuôn khổ quốc tế này tạo áp lực mạnh mẽ lên Tây Ban Nha và các quốc gia EU còn lại trong việc cập nhật và điều chỉnh khung pháp lý của họ cho phù hợp với các tiêu chuẩn toàn cầu , cả về phòng ngừa lẫn ứng phó với các sự cố.

Nhìn chung, các quy định về an ninh mạng đã trở thành một loại lá chắn pháp lý phát triển với tốc độ chóng mặt tương tự như các mối đe dọa: các chỉ thị của châu Âu như NIS2, các quy định như GDPR, DORA hoặc eIDAS, luật pháp quốc gia, các chương trình an ninh công cộng, tiêu chuẩn ISO và khung NIST kết hợp với nhau như những mảnh ghép của một bức tranh, buộc các tổ chức phải xem xét nghiêm túc việc quản lý rủi ro kỹ thuật số, chuyên nghiệp hóa các chương trình bảo mật của họ và coi khả năng phục hồi trên mạng không còn là điều kiện bổ sung mà là điều kiện thiết yếu để tiếp tục cạnh tranh và hoạt động một cách đảm bảo trong nền kinh tế hiện nay.