Δελτίο τύπου: Από την 1η Ιανουαρίου του επόμενου έτους, η Τσεχική Δημοκρατία θα γίνει μία από τις λίγες χώρες που έχουν ειδικούς νόμους που αφορούν την κυβερνοασφάλεια. Pro Για πολλές εταιρείες, αυτό μπορεί να σημαίνει μια πολύ ταραχώδηoneγ έτος, ή την απειλή υψηλών προστίμων για μη συμμόρφωση με αυτόν τον νόμο το επόμενο έτος.
Νέος νόμος αριθ. 181/2014 Συντ. εστιάζει κυρίως στην αύξηση της ασφάλειας των κρατικών υποδομών ζωτικής σημασίας και των σημαντικών πληροφοριακών συστημάτων που διαχειρίζονται τα προσωπικά δεδομένα μεγάλου αριθμού ατόμων. Ο σκοπός των νέων κανόνων που ορίζονται στον νόμοonem είναι η πρόληψη σοβαρών απειλών για την ασφάλεια και η δυνατότητα επίλυσής τους σε πραγματικό χρόνο. "Αυτό φυσικά δεν θα ήταν δυνατό χωρίς τη θέσπιση κανόνων για τη συνεργασία μεταξύ της δημόσιας διοίκησης και του ιδιωτικού τομέα, και ο νέος νόμος θέτει σχετικά υψηλές απαιτήσεις από εταιρείες και κρατικούς θεσμούς όσον αφορά την ασφάλεια στον κυβερνοχώρο. Επιπλέον, επιλεγμένοι κρατικοί και ιδιωτικοί οργανισμοί υποχρεούνται να αναφέρουν κυβερνοεπιθέσεις και, σύμφωνα με τη νομοθεσία,oneνα τους απαντήσω," διευκρινίζει ο Vladimír Michálek, Διευθυντής Επιχειρηματικής Μονάδας Καινοτομίας & Υποδομής στη Servodata.
Σύμφωνα με το νόμο, η εποπτεία της ασφάλειας στον κυβερνοχώρο ανατίθεται στο Γραφείο Εθνικής Ασφάλειας (NBÚ) και στο Εθνικό Κέντρο Ασφάλειας στον κυβερνοχώρο με έδρα το Μπρνο. Μόλις συμβεί ένα περιστατικό ασφαλείας (ή υπάρχει πραγματική απειλή), η NBU μπορεί να εκδώσει αντιδραστικά ή προστατευτικά μέτρα που οδηγούν στην επίλυση του συμβάντος ή στην ασφάλεια βασικής υποδομής. Νέα είναι και η δυνατότητα κήρυξης κατάστασης κυβερνοκινδύνου.
Το γεγονός ότι η κυβερνοασφάλεια του κράτους δεν μπορεί να ληφθεί αψήφιστα αποδεικνύεται και από την πρόσφατη δήλωση του διευθυντή της Εθνικής Υπηρεσίας Ασφαλείας (NSA) των ΗΠΑ, ο οποίος δήλωσε ότι οργανωμένες ομάδες χάκερ λειτουργούν στην Κίνα και σε αρκετές άλλες χώρες και μπορούν να απενεργοποιήσουν πλήρως βασικά στοιχεία των υποδομών των Ηνωμένων Πολιτειών, όπως σταθμούς παραγωγής ενέργειας ή αεροπορικές εταιρείες.
Σε ποιους ισχύει;
Ο νόμος για την ασφάλεια στον κυβερνοχώρο θα αφορά πρωτίστως τους παρόχους σύνδεσης στο Διαδίκτυο και τις τηλεπικοινωνιακές υπηρεσίες γενικότερα. Ωστόσο, θα πρέπει να μελετηθεί διεξοδικά και από άλλους φορείς εκμετάλλευσης σημαντικών υποδομών πληροφορικής, οι οποίες ορίζονται με βάση τον Κανονισμό αριθ. 432/2010 Συντ. Ο κανονισμός αυτός θέτει κριτήρια για οργανισμούς στον τομέα της δημόσιας διοίκησης, της υγείας, των μεταφορών, της ενέργειας, των χρηματοοικονομικών υπηρεσιών και των χειριστών άλλων συστημάτων επικοινωνίας και πληροφοριών, σύμφωνα με τα οποία είναι εύκολο να διαπιστωθεί εάν ο νέος νόμος ισχύει για μια δεδομένη εταιρεία ή οργανισμό . Οι διαχειριστές σημαντικών πληροφοριακών συστημάτων, που περιλαμβάνουν πολλούς κρατικούς οργανισμούς και δημόσιες αρχές, πρέπει επίσης να προετοιμαστούν για την έλευση του νέου νόμου.
Επί του παρόντος, υπάρχει ένα σχέδιο τροποποίησης του κυβερνητικού κανονισμού αριθ. 432/2010 Coll., σχετικά με τα κριτήρια προσδιορισμού ενός κρίσιμου στοιχείου υποδομής (από την άποψη της κυβερνοασφάλειας), το οποίο καθορίζει επίσης κριτήρια σχετικά με τον αριθμό των ατόμων και την ταχύτητα μετάδοσης. Σύμφωνα με αυτό το σχέδιο, τα κρίσιμα στοιχεία υποδομής θα περιλαμβάνουν συστήματα πληροφοριών που διαχειρίζεται μια δημόσια αρχή και περιέχουν προσωπικά δεδομένα για περισσότερα από 300.000 άτομα και συστήματα επικοινωνίας που διασφαλίζουν τη σύνδεση ή τη διασύνδεση ενός κρίσιμου στοιχείου υποδομής με εγγυημένη χωρητικότητα μετάδοσης δεδομένων τουλάχιστον 1 Gb/s.
Ποιες είναι οι ευθύνες;
Οι εταιρείες και οι οργανισμοί στους οποίους θα εφαρμοστεί ο νέος νόμος αριθ. 181/2014 Coll. πρέπει να προετοιμαστούν για εκτεταμένα οργανωτικά και τεχνικά μέτρα, συμπεριλαμβανομένης κυρίως της εφαρμογής ενός συστήματος ασφάλειας πληροφοριών και διαχείρισης κινδύνων, της διαχείρισης της πρόσβασης προσώπων σε κρίσιμες υποδομές πληροφοριών ή σε ένα σημαντικό σύστημα πληροφοριών και, πάνω απ 'όλα, της διαχείρισης συμβάντων κυβερνοασφάλειας.
Εκτός από τη φυσική ασφάλεια, τα απαιτούμενα τεχνικά μέτρα περιλαμβάνουν την ανάγκη εφαρμογής εργαλείων για την προστασία της ακεραιότητας των δικτύων επικοινωνίας, την επαλήθευση της ταυτότητας του χρήστη, τη διαχείριση των αδειών πρόσβασης και επίσης την προστασία από κακόβουλο κώδικα. Τα στοιχεία της υποδομής πληροφοριών ζωτικής σημασίας και τα σημαντικά συστήματα πληροφοριών πρέπει επίσης να βρίσκονται υπό συνεχή παρακολούθηση, συμπεριλαμβανομένης της παρακολούθησης των δραστηριοτήτων.miniοι φορείς και οι χρήστες και οι χειριστές τους πρέπει να αναπτύξουν εργαλεία για τον εντοπισμό συμβάντων στον κυβερνοχώρο, τη συλλογή τους και την αξιολόγησή τους.
Πως να προετοιμαστείς;
Οι εταιρείες και οι οργανισμοί που πληρούν τις απαιτήσεις για ένα σύστημα διαχείρισης ασφάλειας πληροφοριών σύμφωνα με τη σειρά προτύπων ISO/IEC 27000 πιθανότατα θα είναι προετοιμασμένοι για τις απαιτήσεις του νέου Νόμου για την Κυβερνοασφάλεια, καθώς οι περισσότερες από τις διατάξεις αυτού του Νόμου βασίζονται σε αυτά τα πρότυπα.Ωστόσο, εταιρείες και οργανισμοί που έχουν υποτιμήσει την ασφάλεια των συστημάτων πληροφοριών και επικοινωνιών τους για μεγάλο χρονικό διάστημα μπορεί να έχουν μεγάλα προβλήματα." προειδοποιεί ο Vladimír Michálek από τα Servodata. Η διαδικασία συμμόρφωσης του κράτους ασφαλείας με τις απαιτήσεις του νόμου δεν θα είναι καθόλου εύκολη για αυτούς τους θεσμούς. Είναι απαραίτητο να ξεκινήσουμε με τη χαρτογράφηση της τρέχουσας κατάστασης των πληροφοριακών συστημάτων (τι δεδομένα και πώς διαχειρίζονται) και να συνεχίσουμε με τη ρύθμιση της σχετικής διαδικασίας και τεχνικών μέτρων. Μπορεί να επιβληθεί πρόστιμο έως και 100 CZK για μη τήρηση των υποχρεώσεων του νέου νόμου (για παράδειγμα, αδυναμία αναφοράς περιστατικών ασφαλείας, μη τήρηση εγγράφων ασφαλείας κ.λπ.).
Το καλύτερο σημείο εκκίνησης για εταιρείες και ιδρύματα που δεν ξέρουν από πού να ξεκινήσουν με τη συμμόρφωση της δικής τους ασφάλειας με τον νέο νόμοoneΤο καλύτερο μέρος για να ξεκινήσετε είναι μια διαβούλευση με έναν επαγγελματία πάροχο υπηρεσιών και λύσεων στον τομέα της ασφάλειας συστημάτων πληροφοριών και επικοινωνιών. Η υλοποίηση και διαχείριση της υποδομής πληροφορικής και της διαχείρισης ασφάλειας δεδομένων μπορεί επίσης να ληφθεί ως υπηρεσία από εξωτερικό πάροχο. "Και εδώ, είναι απαραίτητο να επιλέξετε έναν υψηλής ποιότητας και αξιόπιστο συνεργάτη, διότι ακόμη και σε αυτήν την περίπτωση, ο διαχειριστής του συστήματος πληροφοριών δεν απαλλάσσεται από την ευθύνη για την ασφάλειά του,», καταλήγει ο Vladimír Michálek.
