Kiber-xavfsizlikni tartibga solish - Cyber-security regulation

A kiberxavfsizlikni tartibga solish himoya qiladigan ko'rsatmalardan iborat axborot texnologiyalari va kompyuter tizimlari kompaniyalar va tashkilotlarni o'z tizimlari va ma'lumotlarini himoya qilishga majbur qilish maqsadida kiberhujumlar kabi viruslar, qurtlar, Troyan otlari, fishing, xizmatni rad etish (DOS) hujumlari, ruxsatsiz kirish (intellektual mulk yoki maxfiy ma'lumotlarni o'g'irlash) va tizim hujumlarini boshqarish.[1] Kiberhujumlarning oldini olish uchun ko'plab choralar mavjud.

Kiberxavfsizlik chora-tadbirlar kiradi xavfsizlik devorlari, virusga qarshi dastur, kirishni aniqlash va oldini olish tizimlar, shifrlash va tizimga kiring parollar.[2] O'rtasida tartibga solish va hamkorlikdagi sa'y-harakatlar orqali kiberxavfsizlikni yaxshilashga urinishlar bo'lgan hukumat kiberxavfsizlikni ixtiyoriy ravishda takomillashtirishni rag'batlantirish uchun xususiy sektor.[1] Sanoat regulyatorlari, shu jumladan bank regulyatorlari, kiberxavfsizlik xavfi to'g'risida xabardor bo'lib, kiberxavfsizlikni tartibga soluvchi ekspertizaning bir yo'nalishi sifatida kiritishni boshlagan yoki rejalashtirgan.[1]

Fon

2011 yilda DoD deb nomlangan ko'rsatmani chiqardi Kiber kosmosda ishlash bo'yicha mudofaa strategiyasi bo'limi beshta maqsadni o'z ichiga olgan: kiber makonga operatsion domen sifatida qarash, DoD tarmoqlari va tizimlarini himoya qilish uchun yangi mudofaa kontseptsiyalaridan foydalanish, "hukumatning butun kiberxavfsizlik strategiyasi" ni amalga oshirishda boshqa idoralar va xususiy sektor bilan hamkorlik qilish, ishlash jamoaviy kiberxavfsizlikni qo'llab-quvvatlash va tezkor texnologik innovatsiyalarga qodir bo'lgan kiber ishchi kuchini rivojlantirishni qo'llab-quvvatlash uchun xalqaro ittifoqchilar bilan.[2] 2011 yil mart GAO hisobotda "federal hukumatning axborot tizimlari va mamlakatning kiber-muhim infratuzilmasini muhofaza qilishni hukumat miqyosidagi yuqori xavfli hudud sifatida belgilab qo'yilganligi" qayd etilgan bo'lib, federal axborot xavfsizligi 1997 yildan buyon yuqori xavfli hudud sifatida belgilangan. 2003 yildan boshlab muhim infratuzilmani himoya qiluvchi tizimlar kiber muhim deb nomlangan kiber CIP infratuzilmasini muhofaza qilish ham kiritilgan.[3]

2013 yil noyabr oyida DoD yangi kiberxavfsizlik qoidasini (78 Fed. Reg. 69373) ilgari surdi, bu pudratchilarga ma'lum talablarni qo'ydi: ayrimlariga rioya qilish NIST Axborot texnologiyalari standartlari, DoD-ga kiberxavfsizlik to'g'risida majburiy ravishda xabar berish va subpudratchilarga bir xil talablarni qo'llaydigan "pastga tushish" moddasi.[4]

Kongressning 2013 yil iyun oyidagi hisobotida kiberxavfsizlikka rioya qilish bilan bog'liq 50 dan ortiq nizom borligi aniqlandi. The Federal Axborot xavfsizligini boshqarish to'g'risidagi 2002 y (FISMA) kiberxavfsizlik bo'yicha federal qoidalarni tartibga soluvchi asosiy qoidalardan biridir.[4]

Qo'shma Shtatlar

Federal hukumat

Kiberxavfsizlik bo'yicha federal qoidalar kam, mavjudlari esa ma'lum sohalarga qaratilgan. Kiberxavfsizlik bo'yicha uchta asosiy qoidalar 1996 y Tibbiy sug'urtaning portativligi va javobgarligi to'g'risidagi qonun (HIPAA), 1999 yil Gramm-leich-bliley qonuni va 2002 yil Milliy xavfsizlik to'g'risidagi qonun, o'z ichiga olgan Federal Axborot xavfsizligini boshqarish to'g'risidagi qonun (FISMA). Uchta qoidada sog'liqni saqlash tashkilotlari, moliya institutlari va federal idoralar o'z tizimlari va ma'lumotlarini himoya qilishlari shart.[3] Masalan, har bir davlat idorasiga taalluqli bo'lgan FISMA "axborot xavfsizligi bo'yicha majburiy siyosat, tamoyillar, standartlar va ko'rsatmalar ishlab chiqish va amalga oshirishni talab qiladi". Shu bilan birga, qoidalar kompyuter bilan bog'liq ko'plab sanoat tarmoqlariga, masalan Internet-provayderlar (Internet-provayderlar) va dasturiy ta'minot kompaniyalari.[4] Bundan tashqari, qoidalar kiberxavfsizlik bo'yicha qanday choralar ko'rilishi kerakligini aniqlamaydi va xavfsizlikning faqat "oqilona" darajasini talab qiladi. Ushbu qoidalarning noaniq tili talqin qilish uchun juda ko'p joy qoldiradi. Bryus Shnayer Cupertino's Counterpane Internet Security kompaniyasining asoschisi, hukumat ularni majbur qilmasa, kompaniyalar kiberxavfsizlikka etarlicha sarmoya kiritmaydi deb ta'kidlamoqda.[5] Shuningdek, u hukumatning sa'y-harakatlariga qaramay, hukumat tizimlariga muvaffaqiyatli kiberhujumlar hanuzgacha yuz berayotganini ta'kidlamoqda.[6]

Deb taklif qilingan Ma'lumotlar sifati to'g'risidagi qonun allaqachon taqdim etadi Boshqarish va byudjet idorasi amalga oshirish uchun qonuniy vakolat muhim infratuzilmani muhofaza qilish tomonidan qoidalar Ma'muriy protsessual qonun qoidalar tuzish jarayoni. Ushbu g'oya to'liq tekshirilmagan va a dan oldin qo'shimcha huquqiy tahlilni talab qiladi qoidalarni buzish boshlashi mumkin.[5]

Shtat hukumatlari

Shtatlar hukumatlari xavfsizligi past bo'lgan firmalarning ommaviy ko'rinishini oshirish orqali kiberxavfsizlikni yaxshilashga harakat qildilar. 2003 yilda, Kaliforniya Kaliforniya fuqarolarining shaxsiy ma'lumotlarini saqlaydigan va xavfsizligi buzilgan har qanday kompaniya voqea tafsilotlarini oshkor qilishi shart bo'lgan Xavfsizlikni buzish to'g'risidagi qonunni qabul qildi. Shaxsiy ma'lumotlar nomi, ijtimoiy Havfsizlik raqami, haydovchilik guvohnomasining raqami, Kredit karta raqami yoki moliyaviy ma'lumotlar.[7] Boshqa bir qancha shtatlar Kaliforniyadan o'rnak olib, xavfsizlik qoidalarini buzish to'g'risida shunga o'xshash qoidalarni qabul qildilar.[8] Xavfsizlikni buzish to'g'risidagi bunday qoidalar firmalarga o'zlarining tizimlarini qanday himoya qilishni tanlashda erkinlik berib, ularni kiberxavfsizligi uchun jazolaydi. Shuningdek, tartibga solish kompaniyalarga obro'sini yo'qotishi va natijada muvaffaqiyatli kiberhujum natijasida yuzaga keladigan iqtisodiy zararni oldini olish uchun kiberxavfsizlikka o'z ixtiyori bilan sarmoya kiritishi uchun turtki yaratadi.[6]

2004 yilda, Kaliforniya shtati qonunchilik palatasi Kaliforniya Assambleyasi to'g'risidagi qonun loyihasini qabul qildi 1950, shuningdek Kaliforniya aholisi uchun shaxsiy ma'lumotlarga ega bo'lgan yoki saqlaydigan korxonalarga ham tegishli. Tartibga solish, korxonalar uchun xavfsizlikni oqilona darajada ushlab turishni talab qiladi va ular xavfsizlik amaliyotlarini talab qilishni biznes sheriklariga ham tatbiq etadi.[9] Tartibga solish federal standartni takomillashtirishdir, chunki u kiberxavfsizlikning maqbul standartini saqlash uchun zarur bo'lgan firmalar sonini kengaytiradi. Biroq, federal qonunchilik singari, bu ham kiberxavfsizlikning "oqilona" darajasini talab qiladi, bu sud amaliyoti o'rnatilguncha izohlash uchun juda ko'p joy qoldiradi.[10]

Tavsiya etilgan tartibga solish

The AQSh Kongressi kiberxavfsizlikni tartibga solishni kengaytiradigan ko'plab qonun loyihalarini taklif qildi. The Iste'molchilar ma'lumotlarining xavfsizligi va bildirishnoma to'g'risidagi qonun o'zgartiradi Gramm-leich-bliley qonuni moliya institutlari tomonidan xavfsizlik buzilishlarini oshkor qilishni talab qilish. Kongressmenlar, shuningdek, "Gramm-Leach-Bliley-ni iste'molchilarning moliyaviy ma'lumotlariga tegadigan barcha sohalar, shu jumladan kredit karta orqali to'lovni qabul qiladigan har qanday firma uchun kengaytirishni" taklif qildilar.[11] Kongress shaxsiy ma'lumotlarini saqlaydigan kompaniyalar uchun Kaliforniyadagi "Xavfsizlik buzilishi to'g'risida ogohlantirish to'g'risida" gi qonunga o'xshash kiberxavfsizlik qoidalarini taklif qildi. Axborotni muhofaza qilish va xavfsizlik to'g'risidagi qonunda ma'lumotlar vositachilaridan "ma'lumotlar aniqligi va maxfiyligini ta'minlash, foydalanuvchilarning haqiqiyligini tekshirish va kuzatib borish, ruxsatsiz faoliyatni aniqlash va oldini olish hamda shaxslarga etkazilishi mumkin bo'lgan zararni kamaytirish" talab qilinadi.[12]

Kongress kompaniyalardan kiberxavfsizlikni yaxshilashni talab qilishdan tashqari, kiberhujumlarni jinoiy javobgarlikka tortadigan qonun loyihalarini ham ko'rib chiqmoqda. O'zingizni Kiber Tresass Qonunidan Xavfsiz Himoyalash (SPY ACT ) ushbu turdagi qonun loyihasi edi. Fishing va josuslarga qarshi dastur qonun loyihasi va 2005 yil 23 mayda qabul qilingan AQSh Vakillar palatasi ammo vafot etdi AQSh Senati.[6] Qonun loyihasi "kompyuterni o'z nazorati ostiga olish, uning sozlamalarini o'zgartirish, yig'ish yoki egasini oshkor qilishga majburlash uchun ruxsatsiz foydalanishni noqonuniy qiladi. shaxsan aniqlanadigan ma'lumotlar, kiruvchi dasturlarni o'rnating va xavfsizlik, josuslarga qarshi dasturlarni buzing yoki virusga qarshi dastur."[13]

2011 yil 12 mayda AQSh Barak Obama to'plamini taklif qildi kiberxavfsizlik sohasidagi qonunchilik islohotlari AQSh, federal hukumat va muhim infratuzilma xavfsizligini yaxshilash. Bir yil davomida jamoatchilik muhokamasi va Kongress tinglovlari o'tkazildi, natijada Vakillar Palatasi o'tgan yili ma'lumot almashish to'g'risidagi qonun loyihasi va Senat rivojlanayotgan a kelishuv qonun loyihasi milliy xavfsizlik, shaxsiy hayot va biznes manfaatlarini muvozanatlashtirishga intilish.

2012 yil iyul oyida senatorlar tomonidan 2012 yildagi kiberxavfsizlik to'g'risidagi qonun taklif qilingan edi Jozef Liberman va Syuzan Kollinz.[14] Qonun loyihasida asosiy infratuzilmani kiberhujumlardan himoya qilish uchun ixtiyoriy ravishda "eng yaxshi amaliyot standartlarini" yaratish talab etilishi kerak edi, bu esa korxonalarni javobgarlikni himoya qilish kabi imtiyozlar orqali qabul qilishga da'vat etiladi.[15] Qonun loyihasi Senatda ovozga qo'yildi, ammo qabul qilinmadi.[16] Obama ushbu Qonunni qo'llab-quvvatlashini a Wall Street Journal op-ed[17]va shuningdek, rasmiylar tomonidan harbiy va milliy xavfsizlik, shu jumladan, qo'llab-quvvatlandi Jon O. Brennan, Oq uyning terrorizmga qarshi kurash bo'yicha bosh maslahatchisi.[18][19] Ga binoan Washington Post, ekspertlarning ta'kidlashicha, ushbu aktni qabul qilmaslik Qo'shma Shtatlarni "keng tarqalgan xakerlik yoki jiddiy kiberhujumga qarshi himoyasiz" qoldirishi mumkin. [20] Ushbu harakatga respublikachi senatorlar qarshi chiqishdi Jon Makkeyn ushbu hujjat samarali bo'lmagan va korxonalar uchun "yuk" bo'lishi mumkin bo'lgan qoidalarni joriy etishidan kim xavotirda edi.[21] Senat ovoz berganidan keyin respublikachi senator Kay Beyli Xetchison qonun loyihasiga qarshi chiqish partiyaviy masala emasligini, ammo kiberxavfsizlikka to'g'ri yondashmasligini ta'kidladi.[22]Senatning ovozi qat'iy ravishda partiyaviy yo'nalishda bo'lmagan, chunki olti demokrat qarshi, besh respublikachi esa unga qarshi ovoz bergan.[23] Qonun loyihasini tanqid qilganlar orasida AQSh Savdo palatasi,[24] kabi targ'ibot guruhlari Amerika fuqarolik erkinliklari ittifoqi va Elektron chegara fondi,[25] kiberxavfsizlik bo'yicha mutaxassis Jodi Uestbi va Heritage Foundation, ikkalasi ham hukumat kiberxavfsizlik bo'yicha harakat qilishi kerak bo'lsa-da, qonun loyihasi nuqtai nazaridan nuqsonli va "federal rolni juda tajovuzkor" deb ta'kidladi.[26]

2013 yil fevral oyida Obama muhim infratuzilmaning kiberxavfsizligini oshirish to'g'risidagi ijro buyrug'ini taklif qildi. Bu siyosatning so'nggi takrorlanishini anglatadi, ammo qonun deb hisoblanmaydi, chunki u hali Kongress tomonidan ko'rib chiqilmagan. DHS va muhim infratuzilma kompaniyalari o'rtasida axborot oqimini tezligini oshirish orqali mavjud bo'lgan davlat-xususiy sheriklik aloqalarini yaxshilashga intiladi. U federal agentliklarni maqsad sifatida belgilangan har qanday xususiy sektor sub'ektlariga kiber tahdid bo'yicha ogohlantirishlarni baham ko'rishga yo'naltiradi. Shuningdek, DHSga tegishli davlat va xususiy sektor sub'ektlari uchun xavfsizlikni rasmiylashtirish jarayonlarini tezlashtirish uchun federal hukumatga ushbu ma'lumotlarni tegishli sezgir va tasniflangan darajalarda almashish imkoniyatini berish uchun jarayonni takomillashtirish vazifasini yuklaydi. U kiberxavflarni kamaytirish uchun zamonaviy sanoatning ilg'or tajribalari va ixtiyoriy standartlarini o'z ichiga olgan asosni ishlab chiqishga yo'naltiradi. Va nihoyat, bu adolatli axborot amaliyoti printsiplariga muvofiq shaxsiy hayot va fuqarolik erkinliklarini himoya qilishni o'z ichiga olgan federal idoralarga vazifa.[7]

2015 yil yanvar oyida Obama kiberxavfsizlik bo'yicha yangi qonunchilik taklifini e'lon qildi. Ushbu taklif AQShni kiber jinoyatlar sonidan ko'paytirishga tayyorgarlik ko'rish maqsadida qilingan. Ushbu taklifda Obama AQSh uchun yanada xavfsizroq kiber makonni yaratish bo'yicha uchta asosiy harakatni aytib o'tdi. Birinchi asosiy harakat kiberxavfsizlik to'g'risida ma'lumot almashish imkoniyatini yaratish muhimligini ta'kidladi. Bunga imkon berish orqali taklif hukumat va xususiy sektor o'rtasida ma'lumot almashishni rag'batlantirdi. Bu hukumatga xususiy firmalar qanday asosiy kiber tahdidlarga duch kelayotganligini bilishga imkon beradi va keyinchalik hukumat o'zlarining ma'lumotlarini baham ko'rgan firmalar uchun javobgarlikni himoya qilishga imkon beradi. Bundan tashqari, bu hukumatga AQShni nimadan himoya qilish kerakligi to'g'risida yaxshiroq tasavvur beradi. Ushbu taklifda ta'kidlangan yana bir asosiy harakat - bu huquqni muhofaza qilish organlarini kiberjinoyatchilikka qarshi kurashishda ularga kerakli asbob-uskunalar berish orqali ularni yanada ko'proq jihozlash uchun zamonaviylashtirish edi. Shuningdek, u kiber jinoyatlar va oqibatlari tasniflarini yangilaydi. Buning bir usuli, moliyaviy ma'lumotni chet elda sotish uchun jinoyat qilishdir. Ushbu sa'y-harakatlarning yana bir maqsadi - kiber jinoyatlar uchun javobgarlikka tortish. Qonunchilik taklifining so'nggi katta sa'y-harakati, agar shaxsiy ma'lumotlari qurbon qilingan bo'lsa, iste'molchilarga ma'lumotlarning buzilganligi to'g'risida hisobot berishni korxonalardan talab qilish edi. Kompaniyalardan buni talab qilish orqali iste'molchilar o'zlarining shaxsiy ma'lumotlarini o'g'irlash xavfi borligini bilishadi.[8]

2016 yil fevral oyida Obama kiberxavfsizlik bo'yicha Milliy xavfsizlik bo'yicha harakat rejasini (CNAP) ishlab chiqdi. Ushbu reja AQShni kiber tahdidlardan himoya qilish maqsadida uzoq muddatli harakatlar va strategiyalarni yaratish uchun qilingan. Rejaning asosiy yo'nalishi kiber jinoyatlar xavfi tobora ortib borayotgani to'g'risida jamoatchilikni xabardor qilish, kiberxavfsizlik himoyasini takomillashtirish, amerikaliklarning shaxsiy ma'lumotlarini himoya qilish va amerikaliklarga raqamli xavfsizlikni qanday boshqarish to'g'risida ma'lumot berish edi. Ushbu rejadagi eng muhim voqealardan biri "Milliy kiberxavfsizlikni oshirish bo'yicha komissiya" ni tuzishni o'z ichiga oladi. Buning maqsadi - davlat va xususiy sektor uchun yanada kuchli kiberxavfsizlikni yaratish bo'yicha tavsiyalar berishga hissa qo'shishi mumkin bo'lgan turli xil fikrlaydigan guruhdan iborat Komissiyani yaratish. Rejaning ikkinchi muhim jihati - hukumat IT-ni o'zgartirish. Yangi hukumat axborot texnologiyalari uni yanada xavfsizroq AT-ni o'rnatishi uchun amalga oshiradi. Rejaning uchinchi muhim jihati shundaki, amerikaliklarga ko'p sonli autentifikatsiya qilish orqali o'zlarining onlayn hisoblarini qanday himoya qilishlari va shaxsiy ma'lumotlarini o'g'irlashdan saqlanishlari to'g'risida bilim berish. Rejaning to'rtinchi muhim jihati, 2016 yilda kiberxavfsizlikka kiritilgan 35 foiz ko'proq mablag'ni kiritishdir.[9]

Hukumatning boshqa harakatlari

Tartibga solishdan tashqari, federal hukumat kiberxavfsizlikni yaxshilashga harakat qildi va tadqiqot uchun ko'proq resurslar ajratdi va standartlarni yozish uchun xususiy sektor bilan hamkorlik qildi. 2003 yilda Prezident Kiber makon xavfsizligini ta'minlash bo'yicha milliy strategiya qildi Milliy xavfsizlik bo'limi (DHS) xavfsizlik bo'yicha tavsiyalar va milliy echimlarni o'rganish uchun mas'uldir. Ushbu reja hukumat va sanoat o'rtasida "kiberhujumlarga qarshi favqulodda vaziyatlarda javob berish tizimini yaratish va mamlakatning bunday tahdidlarga qarshi zaifligini kamaytirish uchun" hamkorlikdagi harakatlarni talab qiladi.[27] 2004 yilda AQSh Kongressi kiberxavfsizlik va Prezidentning kiber makonni xavfsizligini ta'minlash bo'yicha Milliy strategiyasida ko'rsatilgan ko'plab maqsadlarga erishish uchun 4,7 milliard dollar ajratdi.[28] Ba'zi sanoat xavfsizligi mutaxassislari ta'kidlashlaricha, Prezidentning kiber makonni xavfsizligini ta'minlash bo'yicha milliy strategiyasi bu birinchi qadam, ammo etarli emas.[29] Bryus Shnayer shunday dedi: "Kiber makonni xavfsizligini ta'minlash bo'yicha milliy strategiya hali hech narsani ta'minlamagan". [30] Biroq, Prezidentning Milliy strategiyasida aniq maqsad, kompyuterlar egalari uchun o'zlarining xavfsizligini yaxshilash uchun hukumat o'z zimmasiga olish va muammolarni hal qilish uchun asos yaratishdir.[31] Shu bilan birga, strategiyada ko'rsatilgan hamkorlikdagi sa'y-harakatlarda ishtirok etadigan kompaniyalar kashf etilgan xavfsizlik echimlarini qabul qilishlari shart emas.

Qo'shma Shtatlarda AQSh Kongressi hayotiy infratuzilmani muhofaza qilishning ixtiyoriy standartlarini yaratadigan, 2012 yildagi Kiber xavfsizlik to'g'risidagi qonundan keyin Senat orqali o'tolmagan ma'lumotni shaffofroq qilishga harakat qilmoqda.[10] 2013 yil fevral oyida oq uy ga imkon beradigan "Muhim infratuzilma kiberxavfsizligini oshirish" deb nomlangan ijro buyrug'i chiqardi ijro etuvchi hokimiyat tahdidlar to'g'risida ko'proq kompaniyalar va shaxslar bilan ma'lumot almashish.[10][11] 2013 yil aprel oyida Vakillar palatasi Kiber razvedka almashish va himoya qilish to'g'risidagi qonun (CISPA), buzilish to'g'risidagi ma'lumotlarni oshkor qiladigan kompaniyalarga qarshi sud da'volaridan himoya qilishni talab qiladi.[10] The Obama ma'muriyati qonun loyihasiga veto qo'yishi mumkinligini aytdi.[10]

Hindiston

Veb-saytining buzilishi nuqtai nazaridan Hind kosmik agentligi 2015 yildagi tijorat vakili, Antrix korporatsiyasi va hukumatning Raqamli Hindiston dasturi, kiber-huquq mutaxassisi va advokati Hindiston Oliy sudi, Pavan Dugal, "kiber xavfsizlik bo'yicha maxsus qonunchilik Hindiston uchun asosiy talab sifatida. Kiber xavfsizlikni AT qonuni tarkibiga kiritish kifoya emas. Biz kiber xavfsizlikni nafaqat tarmoq nuqtai nazaridan, balki milliy nuqtai nazardan ham. "[12]

Yevropa Ittifoqi

Kiberxavfsizlik standartlari zamonaviy texnologiyalarga asoslangan biznesda katta e'tiborga ega. O'zlarining daromadlarini ko'paytirish uchun korporatsiyalar o'zlarining aksariyat operatsiyalarini Internet orqali boshqarish orqali texnologiyadan foydalanadilar. Internet tarmog'idagi operatsiyalarni keltirib chiqaradigan ko'plab xavf-xatarlar mavjud bo'lganligi sababli, bunday operatsiyalar keng qamrovli va keng ko'lamli qoidalar bilan himoyalangan bo'lishi kerak. Amaldagi kiberxavfsizlik qoidalarining barchasi biznes operatsiyalarining turli jihatlarini qamrab oladi va ko'pincha biznes yuritadigan mintaqa yoki mamlakatga qarab farq qiladi. Mamlakat jamiyati, infratuzilmasi va qadriyatlaridagi farqlar sababli, bitta yuqori darajadagi kiber xavfsizlik standarti xatarlarni kamaytirish uchun maqbul emas. AQSh standartlari operatsiyalar uchun asos yaratgan bo'lsa-da, Yevropa Ittifoqi Evropa Ittifoqi hududida faoliyat yuritadigan korxonalar uchun yanada moslashtirilgan qoidalarni yaratdi. Bundan tashqari, yorug'likda Brexit, Buyuk Britaniyaning bunday xavfsizlik qoidalariga qanday rioya qilishni tanlaganligini ko'rib chiqish muhimdir.

Evropa Ittifoqidagi uchta asosiy qoidalarga ENISA, NIS Direktivasi va Evropa Ittifoqining GDPR kiradi. Ular Raqamli yagona bozor strategiya.

ENISA

The Evropa Ittifoqining kiberxavfsizlik agentligi (ENISA) - bu dastlab Internet tarmog'idagi barcha operatsiyalar uchun Tarmoq va axborot xavfsizligini oshirish maqsadida (NIS) Evropa Parlamenti va Kengashining 2004 yil 10 martdagi 460/2004 sonli Nizomi (EC) tomonidan tashkil etilgan boshqaruv agentligi. Evropa Ittifoqida. ENISA hozirda 526/2013 sonli (EI) Nizomga muvofiq ishlaydi,[13] ENISA Evropa Ittifoqining barcha a'zo davlatlari bilan bir qator xizmatlarni ko'rsatish uchun faol ishlaydi. Ularning faoliyatining yo'nalishi uchta omilga bog'liq:

  • Xavfsizlikni buzganlik uchun choralar ko'rish bo'yicha a'zo davlatlarga tavsiyalar
  • Evropa Ittifoqining barcha a'zo davlatlari uchun siyosat ishlab chiqish va amalga oshirishni qo'llab-quvvatlash
  • Evropa Ittifoqidagi operatsion guruhlar bilan ishlashga amaliy yondashishni ENISA bilan bevosita qo'llab-quvvatlash[14]

ENISA ijro etuvchi direktor va Doimiy manfaatdorlar guruhi ko'magiga asoslangan boshqaruv kengashidan iborat. Ammo aksariyat operatsiyalarni turli bo'limlar rahbarlari boshqaradi.[15]

ENISA kiberxavfsizlik bo'yicha barcha muhim masalalarni qamrab oladigan turli xil nashrlarni chiqardi. ENISA ning o'tmishdagi va hozirgi tashabbuslari qatoriga Evropa Ittifoqining Bulutli strategiyasi, Axborot kommunikatsiya texnologiyalarining ochiq standartlari, Evropa Ittifoqining kiber xavfsizlik strategiyasi va Kiber xavfsizlik bo'yicha muvofiqlashtirish guruhi kiradi. ENISA shuningdek, mavjud bo'lgan xalqaro standart tashkilotlar bilan hamkorlikda ishlaydi ISO va ITU.[16]

NIS Direktivasi

2016 yil 6 iyulda Evropa Parlamenti siyosatni o'rnatdi Tarmoq va axborot tizimlari xavfsizligi bo'yicha ko'rsatma (the NIS Direktivasi).[17]

Ushbu yo'riqnoma 2016 yil avgustida kuchga kirdi va Evropa Ittifoqining barcha a'zo davlatlariga ushbu ko'rsatmalarni o'zlarining milliy qonunlariga kiritish uchun 21 oy muhlat berildi.[18] NIS Direktivasining maqsadi Evropa Ittifoqida kiberxavfsizlikning yuqori darajasini yaratishdir. Ushbu ko'rsatma raqamli xizmat ko'rsatuvchi provayderlarga (DSP) va muhim xizmatlar operatorlariga (OES) sezilarli darajada ta'sir qiladi. Muhim xizmatlarning operatorlari, agar ular muhim ijtimoiy yoki iqtisodiy faoliyat bilan shug'ullanadigan bo'lsa, xavfsizlik buzilgan taqdirda operatsiyalariga katta ta'sir ko'rsatadigan har qanday tashkilotlarni o'z ichiga oladi. Endilikda DSP-lar ham, OES ham xavfsizlik bo'yicha katta voqealar to'g'risida kompyuter xavfsizligi hodisalariga javob berish guruhlariga (CSIRT) xabar berishlari uchun javobgar.[19] DSP-lar muhim xizmatlarning operatorlari kabi qat'iy qoidalarga rioya qilinmasa ham, Evropa Ittifoqida o'rnatilmagan, ammo hali ham Evropa Ittifoqida ishlaydigan DSP-lar hali ham qoidalarga duch kelmoqdalar. DSP va OES o'zlarining axborot tizimlarini texnik xizmatini uchinchi shaxslarga topshirgan taqdirda ham, NIS Direktivasi ularni har qanday xavfsizlik hodisalari uchun javobgarlikka tortadi.[20]

Evropa Ittifoqiga a'zo davlatlardan Milliy vakolatli organlar (NCAs) va yagona aloqa nuqtalari (SPOCs) dan tashqari CSIRTlarni o'z ichiga olgan NIS direktivasi strategiyasini yaratish talab qilinadi. Bunday resurslarga ta'sirni minimallashtiradigan tarzda kiberxavfsizlik buzilishlarini ko'rib chiqish mas'uliyati yuklangan. Bundan tashqari, Evropa Ittifoqining barcha a'zo davlatlari kiber xavfsizlik to'g'risidagi ma'lumotlarni almashishga da'vat etiladi.[21]

Xavfsizlik talablariga kiberxavfsizlikni buzish xavfini boshqaruvchi texnik choralar kiradi. DSP ham, OES ham o'zlarining axborot tizimlarini va xavfsizlik siyosatini chuqur baholashga imkon beradigan ma'lumotlarni taqdim etishi kerak.[22] Barcha muhim hodisalar CSIRT-larga xabar qilinishi kerak. Kiberxavfsizlikning muhim hodisalari xavfsizlikni buzgan foydalanuvchilar soni, shuningdek hodisaning uzoq davom etishi va hodisaning geografik joylashuvi bilan belgilanadi.[22]

Evropa Ittifoqining kiberxavfsizlik to'g'risidagi qonuni

Evropa Ittifoqining kiberxavfsizligi Harakat raqamli mahsulotlar, xizmatlar va jarayonlar uchun Evropa Ittifoqi miqyosida kiberxavfsizlikni sertifikatlash tizimini yaratadi. U NIS direktivasini to'ldiradi. ENISA Evropaning kiberxavfsizlikni sertifikatlash tizimini yaratish va saqlashda muhim rol o'ynaydi.[23]

Evropa Ittifoqi GDPR

Asosiy maqola: Ma'lumotlarni muhofaza qilishning umumiy reglamenti

Evropa Ittifoqi Ma'lumotlarni muhofaza qilishning umumiy reglamenti (GDPR) 2016 yil 14 aprelda o'rnatildi, ammo amaldagi ijro sanasi 2018 yil 25 mayda o'rnatildi.[24] GDPR Evropa Ittifoqining barcha a'zo davlatlari o'rtasida ma'lumotlarni himoya qilish uchun yagona standartni yaratishni maqsad qilgan. O'zgarishlarga geografik chegaralarni qayta aniqlash kiradi. Bu Evropa Ittifoqida ishlaydigan yoki Evropa Ittifoqining har qanday rezidentining ma'lumotlari bilan shug'ullanadigan sub'ektlarga tegishli. Ma'lumotlar qaerda ishlashidan qat'i nazar, agar Evropa Ittifoqi fuqarosi ma'lumotlari qayta ishlansa, endi tashkilot GDPRga bo'ysunadi.[25]

GDPR bo'yicha jarimalar ham ancha qat'iydir va ularning qaysi biri yuqori bo'lsa, 20 million evroni yoki korxonaning yillik oborotining 4 foizini tashkil qilishi mumkin.[25] Bundan tashqari, avvalgi qoidalarda bo'lgani kabi, Evropa Ittifoqida yashovchi shaxslarning huquqlari va erkinliklariga ta'sir ko'rsatadigan barcha ma'lumotlar buzilishi 72 soat ichida oshkor qilinishi kerak.

Umumiy kengash, Evropa Ittifoqi Ma'lumotlarni Himoya qilish Kengashi, EDP, GDPR tomonidan o'rnatilgan barcha nazoratga javobgardir.

GDPRda rozilik katta rol o'ynaydi. Evropa Ittifoqi fuqarolari bilan bog'liq ma'lumotlarga ega bo'lgan kompaniyalar endi ularga ma'lumot almashishdan voz kechish huquqini taqdim etishlari kerak, chunki ular ma'lumot almashishga rozilik bildirganlaridek.[26]

Bundan tashqari, fuqarolar o'zlarida saqlangan ma'lumotlarning ishlashini cheklashlari va kompaniyalarga o'zlarining ma'lumotlarini saqlashlariga ruxsat berishlarini tanlashlari mumkin, ammo ularni qayta ishlashga imkon bermaydilar, bu aniq farqni keltirib chiqaradi. Oldingi qoidalardan farqli o'laroq, GDPR shuningdek, fuqaroning ma'lumotlarini Evropa Ittifoqidan tashqarida yoki fuqaroning oldindan roziligisiz uchinchi shaxsga o'tkazilishini cheklaydi.[26]

Taklif etilgan e-Maxfiylik to'g'risidagi nizom shuningdek, 2018 yil 25 maydan amal qilishi rejalashtirilgan.

Reaksiyalar

Mutaxassislar kiberxavfsizlikni yaxshilash zarur degan fikrga qo'shilishgan bo'lsa-da, echim ko'proq davlat tomonidan tartibga solinadimi yoki xususiy sektorning yangilikmi degan fikrda kelishmovchiliklar mavjud.

Qo'llab-quvvatlash

Ko'pgina davlat amaldorlari va kiberxavfsizlik bo'yicha mutaxassislar xususiy sektor kiberxavfsizlik muammosini hal qila olmadi va tartibga solish zarur deb hisoblaydilar. Richard Klark "sanoat faqat tartibga solish bilan tahdid qilganingizda javob beradi. Agar sanoat [tahdidga] javob bermasa, siz unga rioya qilishingiz kerak."[32] Uning fikricha, dasturiy ta'minot ishlab chiqaruvchi kompaniyalar yanada xavfsiz dasturlarni ishlab chiqarishga majbur bo'lishi kerak.[33] Bryus Shnayer dasturiy ta'minot kompaniyalarini iqtisodiy rag'batlantirish orqali xavfsizroq kod yozishga undaydigan tartibga solishni ham qo'llab-quvvatlaydi.[34] AQSh vakili Rik Boucher (D–VA ) dasturiy ta'minot kompaniyalarini kodidagi xavfsizlik nuqsonlari uchun javobgar qilish orqali kiberxavfsizlikni yaxshilashni taklif qiladi.[35] Bundan tashqari, dasturiy ta'minot xavfsizligini yaxshilash uchun Klark kommunal xizmatlar va Internet-provayderlar kabi ba'zi tarmoqlar tartibga solishni talab qiladi, deb hisoblaydi.[36]

Qarama-qarshilik

Boshqa tomondan, ko'plab xususiy sektor rahbarlari va lobbistlari ko'proq tartibga solish ularning kiberxavfsizlikni yaxshilash imkoniyatlarini cheklaydi, deb hisoblashadi. Xarris Miller, a lobbist va prezidenti Amerikaning axborot texnologiyalari assotsiatsiyasi, tartibga solish innovatsiyalarni inhibe qiladi deb hisoblaydi.[37] Rik Uayt, sobiq korporativ advokat va prezident va Bosh ijrochi direktor TechNet lobbi guruhi ham ko'proq tartibga solishga qarshi. Uning ta'kidlashicha, "xususiy sektor kiber kosmosdagi yangi hujum usullariga javoban innovatsiyalarni va moslashishni davom etishi kerak va shu maqsadda biz Prezident Bush va Kongressni tartibga soluvchi cheklovlarni qo'llab-quvvatlaymiz".[38]

Ko'pgina xususiy sektor rahbarlarining tartibga solishga qarshi bo'lishining yana bir sababi bu qimmatga tushishi va xususiy tadbirkorlik faoliyati ustidan davlat nazorati bilan bog'liqligidir. Firmalar xuddi tartibga solish, foydani kamaytirish kabi tashvishlanadilar, chunki tartibga solish, ularning kiberxavfsizlik muammosini samarali hal qilish uchun ularning moslashuvchanligini cheklaydi.

Shuningdek qarang

Izohlar

  1. ^ "ChoicePoint hodisasidan keyin ma'lumotlar buzilganligi xronologiyasi. "(2005). 2005 yil 13 oktyabrda olingan.
  2. ^ "Elektron maxfiylik to'g'risidagi axborot markazining qonun loyihasi: 109-kongressda maxfiylik, so'zlashuv va fuqarolik erkinliklarini kuzatish. "(2005). 23 oktyabr 2005 yilda qabul qilingan.
  3. ^ "Kompyuter viruslari qanday ishlaydi. "(2005). 10 oktyabr 2005 yilda qabul qilingan.
  4. ^ "Kiber makon xavfsizligini ta'minlash bo'yicha milliy strategiya. "(2003). 2005 yil 14-dekabrda olingan.
  5. ^ "Xavfsizlik buzilganligi to'g'risida ogohlantirish - fuqarolik kodeksining 1798.29 va 1798.82 - 1798.84 bo'limlari. "2003). 23 oktyabr 2005 yilda qabul qilingan.
  6. ^ "Richard Klark bilan intervyu. "(2003). 2005 yil 4-dekabrda olingan.
  7. ^ Gordon, L. A., Loeb, M. P., Lucyshyn, W. & Richardson, R. (2005). "2005 CSI / FBI kompyuter jinoyati va xavfsizlik bo'yicha so'rov. "2005 yil 10 oktyabrda olingan.
  8. ^ Heiman, B. J. (2003). Kiberxavfsizlikni tartibga solish bu erda. RSA xavfsizlik konferentsiyasi, Vashington, DC 2005 yil 17-oktabrda olingan.
  9. ^ Kirby, C. (2003 yil, 4-dekabr, 2003 yil). "Forum kiberxavfsizlikka bag'ishlangan ". San-Fransisko xronikasi.
  10. ^ Lemos, R. (2003). "Bush kiberxavfsizlikning yakuniy rejasini e'lon qiladi. "2005 yil 4-dekabrda olingan.
  11. ^ Menn, J. (2002 yil, 14 yanvar 2002 yil). "Xavfsizlik nuqsonlari Microsoft uchun tuzoq bo'lishi mumkin "Los-Anjeles Tayms, bet1-bet.
  12. ^ Rasmussen, M., va Braun, A. (2004). "Kaliforniya qonuni axborot xavfsizligi uchun parvarish burchini belgilaydi. "2005 yil 31 oktyabrda olingan.
  13. ^ Shmitt, E., Charron, C., Anderson, E. va Jozef, J. (2004). "Tavsiya etilgan ma'lumotlar to'g'risidagi qonunlar sotuvchilar uchun nimani anglatadi. "2005 yil 31 oktyabrda olingan.
  14. ^ Jennifer Rizzo. (2012 yil 2-avgust) "Senatda kiberxavfsizlik to'g'risidagi qonun loyihasi muvaffaqiyatsiz tugadi. "Kirish 2012 yil 29-avgust.
  15. ^ Pol Rozenzveyg. (2012 yil 23-iyul) "2012 yildagi kiberxavfsizlik to'g'risidagi qonun: Qayta ko'rib chiqilgan kiber-qonun hali ham muammolarga duch kelmoqda. "Heritage Foundation. 2012 yil 20-avgustda kirgan.
  16. ^ Ed O'Kif va Ellen Nakashima. (2012 yil 2-avgust) "Senatda kiberxavfsizlik to'g'risidagi qonun loyihasi muvaffaqiyatsiz tugadi "Washington Post. 2012 yil 20-avgustda o'qilgan.
  17. ^ Aleks Fitspatrik. (2012 yil 20-iyul) "Obama yangi kiberxavfsizlik to'g'risidagi qonun loyihasiga bosh barmog'ini taqdim etdi. "Mashable. Kirish 2012 yil 29-avgust.
  18. ^ Brendan Sasso. (2012 yil 4-avgust) "Senatning kiberxavfsizlik to'g'risidagi qonun loyihasi mag'lubiyatga uchraganidan so'ng, Obama ijro tartibini tanlab oldi ". Tepalik. 2012 yil 20-avgustda foydalanilgan.
  19. ^ Jaykumar Vijayan. (2012 yil 16-avgust) "Kiberxavfsizlik to'g'risidagi qonun bo'yicha hech qanday partiyaviy kurash olib borilmaydi, deydi GOP senatori ". Computerworld. Kirish 2012 yil 29-avgust.
  20. ^ Karl Franzen. (2012 yil 2-avgust) "Senatda kiberxavfsizlik to'g'risidagi qonun muvaffaqiyatsizlikka uchraganligi sababli, maxfiylik himoyachilari xursand bo'lishadi ". TPM. 2012 yil 29 avgust.
  21. ^ Aleks Fitspatrik. (2012 yil 2-avgust) "Senatda kiberxavfsizlik Bill Stalls ". Mashable. Kirish 29-avgust, 2012-yil.
  22. ^ Jodi Uestbi (2012 yil 13-avgust) "Kongress kiber qonunchilik bo'yicha maktabga qaytishi kerak ". Forbes. Kirish 2012 yil 20-avgust.

Adabiyotlar

  1. ^ a b "Kiber: xavfni o'ylang, IT emas" (PDF). pwc.com. PwC moliyaviy xizmatlarini tartibga solish amaliyoti, 2015 yil aprel.
  2. ^ "Kiber-kosmosda ishlash uchun DOD-strategiyasi" (PDF).
  3. ^ Shouner, Stiven L.; Berto, Devid J. (2012-03-01). Rivojlanayotgan siyosat va amaliyot muammolari (2011). Rochester, NY: Ijtimoiy fanlarni tadqiq qilish tarmog'i. SSRN  2014385.
  4. ^ a b Shouner, Stiven; Berto, Devid (2014-01-01). "Rivojlanayotgan siyosat va amaliyot muammolari". GW yuridik fakulteti nashrlari va boshqa asarlar.
  5. ^ "Agentliklar infratuzilmani muhofaza qilishning muhim qoidalarini chiqarishga vakolatiga egami?". Olingan 27 dekabr 2016.
  6. ^ a b "O'zingizni Kiber Trepass Qonunidan Xavfsiz Himoyalash (2005; 109-Kongress HR 29) - GovTrack.us". GovTrack.us.
  7. ^ "Boshqaruv buyrug'i - muhim infratuzilmaning kiberxavfsizligini yaxshilash". whitehouse.gov.
  8. ^ "KIBERSPACENING XAVFSIZLIGI - Prezident Obama kiberxavfsizlik bo'yicha yangi qonunchilik takliflari va boshqa kiberxavfsizlik harakatlarini e'lon qildi". whitehouse.gov. 2015-01-13. Olingan 2017-08-06.
  9. ^ "HAQIDA MA'LUMOT: Kiberxavfsizlik bo'yicha milliy harakat rejasi". whitehouse.gov. 2016-02-09. Olingan 2017-08-06.
  10. ^ a b v d FT maxsus hisoboti (2013 yil 7-iyun). "Maxfiylik veb uchun kurashga xalaqit beradi". Financial Times. Olingan 12 iyun 2013.
  11. ^ "Boshqaruv buyrug'i - muhim infratuzilmaning kiberxavfsizligini yaxshilash". Oq uy. Matbuot kotibining devoni. Olingan 12 iyun 2013.
  12. ^ "Kiberxavfsizlik bo'yicha maxsus qonunchilik kerak: Pavan Duggal - tezkor kompyuter". Tezkor kompyuter. 2015 yil 31-avgust.
  13. ^ "L_2013165EN.01004101.xml". eur-lex.europa.eu. Olingan 2017-03-08.
  14. ^ "ENISA haqida - ENISA". www.enisa.europa.eu. Olingan 2017-03-08.
  15. ^ "Tuzilishi va tashkiloti - ENISA". www.enisa.europa.eu. Olingan 2017-03-08.
  16. ^ Purser, Stiv (2014). "Kiber xavfsizlik standartlari". Xetveyda Melissa E. (tahrir). Kompyuter tarmog'ini himoya qilishning eng yaxshi usullari: hodisalarni aniqlash va ularga javob berish. Nato Science for Peace and Security Series - D: Axborot va kommunikatsiya xavfsizligi. 35. IOS Press. doi:10.3233/978-1-61499-372-8-97. ISBN  978-1-61499-372-8.
  17. ^ "Evropa Parlamenti va Kengashining 2016 yil 6 iyuldagi (Evropa Ittifoqi) 2016 yil 6 iyuldagi Ittifoq bo'ylab tarmoq va axborot tizimlari xavfsizligini yuqori darajadagi yuqori darajadagi chora-tadbirlari to'g'risida" direktivasi.. Evro Lex. Olingan 2018-04-26.
  18. ^ "Tarmoq va axborot tizimlarining xavfsizligi bo'yicha ko'rsatma (NIS Direktivasi)". Raqamli yagona bozor. Olingan 2017-03-12.
  19. ^ 09:36, 7-yanvar, 2016-yil; tweet_btn (), OUT-LAW COM. "Tarmoq va axborot xavfsizligi bo'yicha ko'rsatma - kim kiradi va kim chiqadi?". Olingan 2017-03-12.CS1 maint: raqamli ismlar: mualliflar ro'yxati (havola)
  20. ^ "NIS Direktivasi nashr etildi: Evropa Ittifoqiga a'zo davlatlarning amalga oshirishi uchun atigi ikki yildan kam vaqt bor - Ma'lumotlarni muhofaza qilish to'g'risidagi hisobot". Ma'lumotlarni muhofaza qilish to'g'risidagi hisobot. 2016-07-21. Olingan 2017-03-12.
  21. ^ "Evropa Ittifoqining tarmoq va axborot xavfsizligi (NIS) direktivasi bo'yicha kelishuvga erishildi | Deloitte Luxembourg | Technology | Insight". Deloitte Lyuksemburg. Olingan 2017-03-12.
  22. ^ a b "Tarmoq va axborot xavfsizligi bo'yicha ko'rsatma Brexit bo'yicha ovoz berishga qaramasdan Buyuk Britaniyada amalga oshiriladi", - deydi hukumat.. www.out-law.com. Olingan 2017-03-12.
  23. ^ "Evropa Ittifoqining kiberxavfsizlik to'g'risidagi qonuni". Olingan 2019-12-06.
  24. ^ "Evropa Ittifoqining GDPR-ning asosiy sahifasi". Evropa Ittifoqining GDPR portali. Olingan 2017-03-12.
  25. ^ a b "Ma'lumotlarni muhofaza qilishning umumiy reglamentidagi asosiy o'zgarishlar". Evropa Ittifoqining GDPR portali. Olingan 2017-03-12.
  26. ^ a b "Ma'lumotlarni muhofaza qilishning umumiy qoidalariga (GDPR) umumiy nuqtai". ico.org.uk. 2017-03-03. Olingan 2017-03-12.