Regulació de la ciberseguretat

Una regulació de ciberseguretat inclou directives que protegeixen la tecnologia de la informació i els sistemes informàtics amb el propòsit d'obligar les empreses i organitzacions a protegir els seus sistemes i la informació dels ciberatacs com virus, cucs, cavalls de Troia, phishing, atacs de denegació de servei (DOS), accés no autoritzat (robatori), propietat intel·lectual o informació confidencial) i els atacs al sistema de control. Tot i que les regulacions de ciberseguretat tenen com a objectiu minimitzar els riscos cibernètics i millorar la protecció, la incertesa derivada dels canvis freqüents o de les noves regulacions pot afectar significativament les estratègies de resposta de l'organització.

Hi ha nombroses mesures disponibles per prevenir els ciberatacs. Les mesures de ciberseguretat inclouen tallafocs, programari antivirus, sistemes de detecció i prevenció d'intrusions, xifratge i contrasenyes d'inici de sessió. Hi ha hagut intents de millorar la ciberseguretat mitjançant la regulació i els esforços col·laboratius entre el govern i el sector privat per fomentar millores voluntàries de la ciberseguretat. Els reguladors de la indústria, inclosos els reguladors bancaris, s'han adonat del risc de la ciberseguretat i han començat o tenen previst començar a incloure la ciberseguretat com a aspecte dels exàmens reguladors.

Investigacions recents suggereixen que també hi ha una manca de regulació i aplicació de la ciberseguretat a les empreses marítimes, inclosa la connectivitat digital entre vaixells i ports.

Rerefons

El 2011, el Departament de Defensa dels Estats Units va publicar una guia anomenada Estratègia del Departament de Defensa per a Operar al Ciberespai que articulava cinc objectius: tractar el ciberespai com un domini operatiu, emprar nous conceptes defensius per protegir les xarxes i sistemes del DoD, associar-se amb altres agències i sector privat en la recerca d'una "estratègia de ciberseguretat a tot el govern", per treballar amb aliats internacionals en suport de la ciberseguretat col·lectiva i per donar suport al desenvolupament d'una força de treball cibernètica capaç d'innovar tecnològicament ràpidament. Un informe de la GAO de març de 2011 "va identificar la protecció dels sistemes d'informació del govern federal i la infraestructura cibernètica del país com una àrea d'alt risc a tot el govern", assenyalant que la seguretat de la informació federal havia estat designada com a àrea d'alt risc des de 1997. A partir de l'any 2003, també s'han inclòs sistemes que protegeixen la infraestructura crítica, anomenats protecció d'infraestructura crítica cibernètica de ciber CIP.

El novembre de 2013, el DoD va presentar la nova regla de ciberseguretat (78 Fed. Reg. 69373), que imposava certs requisits als contractistes: el compliment de certs estàndards informàtics del NIST, la notificació obligatòria d'incidents de ciberseguretat al DoD i un "flow-down". "clàusula que aplica els mateixos requisits als subcontractistes.

Un informe del Congrés de juny de 2013 va trobar que hi havia més de 50 estatuts rellevants per al compliment de la ciberseguretat. La Llei federal de gestió de la seguretat de la informació de 2002 (FISMA) és un dels estatuts clau que regeixen les regulacions federals de ciberseguretat.

Unió Europea

Els estàndards de ciberseguretat han tingut una gran importància en les empreses actuals impulsades per la tecnologia. Per maximitzar els seus beneficis, les corporacions aprofiten la tecnologia fent funcionar la majoria de les seves operacions per Internet. Atès que hi ha un gran nombre de riscos que comporten operacions d'internet, aquestes operacions han d'estar protegides per una normativa exhaustiva i àmplia. Les regulacions de ciberseguretat existents cobreixen diferents aspectes de les operacions empresarials i sovint varien segons la regió o el país en què opera l'empresa. A causa de les diferències en la societat, la infraestructura i els valors d'un país, un estàndard de seguretat cibernètica general no és òptim per reduir els riscos. Tot i que els estàndards dels EUA proporcionen una base per a les operacions, la Unió Europea ha creat una regulació més adaptada per a les empreses que operen específicament a la UE. A més, a la llum del Brexit, és important tenir en compte com el Regne Unit ha optat per adherir-se a aquestes regulacions de seguretat.

Tres regulacions principals dins de la UE inclouen l'ENISA, la Directiva NIS i el GDPR de la UE. Formen part de l'estratègia del Mercat Únic Digital.

Directiva NIS

El 6 de juliol de 2016, el Parlament Europeu va posar en política la Directiva sobre seguretat de xarxes i sistemes d'informació (Directiva NIS).

Llei de ciberseguretat de la UE

La Llei de ciberseguretat de la UE estableix un marc de certificació de ciberseguretat a tota la UE per a productes, serveis i processos digitals. Complementa la Directiva NIS. ENISA tindrà un paper clau en l'establiment i el manteniment del marc europeu de certificació de la ciberseguretat.

Llei de resiliència cibernètica

La Llei de resiliència cibernètica (CRA) és un reglament proposat el 15 de setembre de 2022 per la Comissió Europea que estableix estàndards comuns de ciberseguretat per a productes de maquinari i programari a la UE.