Kibernetička sigurnost u Ujedinjenom Kraljevstvu: prijetnje, zakoni i strategije

Univerzalna avantura » Osnovne informacije » Kibernetička sigurnost u Ujedinjenom Kraljevstvu: prijetnje, zakoni i strategije

La Kibernetička sigurnost u Ujedinjenom Kraljevstvu postala je glavni prioritet za vladu, tvrtke i građane. Posljednjih godina zemlja je patila od svega, od masovnih kampanja ransomwarea i međunarodnih špijunskih operacija do napada na kritičnu infrastrukturu i javne institucije. Sve je to prisililo na jačanje zakona, tehničkih standarda, specijaliziranih agencija i programa ekonomske potpore kako bi se izgradio pravi nacionalni digitalni štit.

Istovremeno, britanski ekosustav kibernetičke sigurnosti je također snažna ekonomska i inovacijska polugaStvara tisuće kvalificiranih radnih mjesta, potiče vrhunske startupove i oslanja se na svjetski poznata sveučilišta i istraživačke centre. Razumijevanje kako je ova obrana strukturirana, koje je prijetnje pokreću i koje obveze imaju tvrtke ključno je za svakoga tko posluje ili obrađuje podatke u Ujedinjenom Kraljevstvu, bilo da se radi o lokalnom malom ili srednjem poduzeću, velikoj multinacionalnoj korporaciji ili javnoj upravi.

Kibernetičko-sigurnosne prijetnje u Ujedinjenom Kraljevstvu

Las Kibernetičke prijetnje koje pogađaju Ujedinjeno Kraljevstvo su raznolike, česte i sve sofisticiranije.Ne govorimo samo o izoliranim kibernetičkim napadima, već o organiziranim kampanjama, špijunskim operacijama koje sponzorira država i kriminalnim aktivnostima s jakim ekonomskim i društvenim utjecajem.

U posljednjoj godini koju je analizirao Nacionalni centar za kibernetičku sigurnost (NCSC), Ujedinjeno Kraljevstvo moralo je intervenirati u 429 značajnih incidenataOd njih, 204 je klasificirano kao "nacionalno važno". To je više nego dvostruko više od broja registriranog u istoj kategoriji prethodne godine, što pokazuje jasan skok u obimu i težini obrađenih slučajeva.

Unutar tih incidenata, neki 18 upada kategorizirano je kao "vrlo značajno"samo jedan korak ispod nacionalne kibernetičke krize. Ove su operacije ozbiljno utjecale na bitne usluge, odjele središnje vlade, ključne sektore gospodarstva, a u nekim slučajevima i na znatan dio stanovništva.

Ovaj kontekst doveo je do toga da se kibernetička sigurnost sada smatra element opstanka poslovanja i nacionalne otpornostiI kreatori politika i rukovoditelji slažu se: neodlučnost kada je u pitanju ulaganje u digitalnu zaštitu postala je strateška ranjivost.

Najčešće vrste napada: od phishinga do ransomwarea

Tehnike korištene protiv britanskih organizacija kombiniraju klasične metode s naprednim taktikama.Ne radi se o jednoj vrsti prijetnje, već o nizu vektora koji se često koriste lančano unutar iste kampanje.

Jedan od glavnih protagonista i dalje je PhishingE-poruke, SMS poruke ili poruke aplikacija koje se lažno predstavljaju kao banke, dobavljači, vladine agencije ili čak suradnici, s ciljem krađe vjerodajnica, osobnih podataka ili uvođenja zlonamjernog softvera. Imitacije korporativnih portala za prijavu ili lažnih stranica za plaćanje uobičajene su.

El ransomware Postala je jedna od najunosnijih prijetnji za kriminalne skupine i jedna od najrazornijih za žrtve. Napadači šifriraju kritične podatke, paraliziraju sustave i traže otkupninu za objavljivanje informacija. Ponekad također unaprijed kradu podatke i prijete da će ih procuriti ako se plaćanje ne izvrši, čime dodaju komponentu iznude ugleda.

Las povrede podataka Mogu proizaći iz vanjskih napada, ali i iz unutarnjih pogrešaka: e-poruke poslane pogrešnom primatelju, netočne sigurnosne konfiguracije, izložene baze podataka ili zaposlenici koji postaju žrtve kampanja socijalnog inženjeringa. Bilo da su namjerne ili slučajne, ove vrste kršenja sigurnosti nose vrlo visoke regulatorne, pravne i reputacijske troškove.

Također su zabrinjavajući distribuirani napadi uskraćivanja usluge (DDoS)Ovi napadi preopterećuju web stranice i online usluge ogromnim prometom, čineći ih neoperativnima. Uobičajeni su protiv vladinih portala, financijskih usluga, web-mjesta za e-trgovinu i tvrtki s jakom digitalnom prisutnošću.

Konačno, ljudski faktor unutar organizacija ne može se zanemariti. unutarnje prijetnje To se kreće od nezadovoljnih zaposlenika koji odaju podatke do korisnika koji nemarno ostavljaju ranjivosti. Labave kontrole pristupa, nedostatak obuke i neadekvatan nadzor povećavaju rizik od ovakvih incidenata.

Uloga Nacionalnog centra za kibernetičku sigurnost (NCSC)

El Nacionalni centar za kibernetičku sigurnost (NCSC) je tehnički autoritet za kibernetičku sigurnost u Ujedinjenom Kraljevstvu.Izvještava GCHQ-u i služi kao mjesto susreta između vlade, privatnog sektora, akademske zajednice i građana radi koordinacije obrane od kibernetičkih prijetnji.

Njegova deklarirana misija je učiniti Ujedinjeno Kraljevstvo najsigurnije mjesto za život i rad u digitalnom okruženjuKako bi se to postiglo, NCSC kombinira obavještajne podatke o prijetnjama, odgovor na incidente, tehničke savjete, programe podizanja svijesti i međunarodnu suradnju. Ne samo da reagira na napade, već i proaktivno radi na smanjenju površine napada u zemlji.

Među njegovim ključnim funkcijama je kontinuirano praćenje krajolika prijetnjiAnalizira taktike, tehnike i postupke (TTP) kriminalnih skupina i državnih aktera te dijeli informacije s tvrtkama i javnim tijelima putem različitih kanala, uključujući obavještajna izvješća, tehnička upozorenja i platforme za dijeljenje.

Kada se dogodi ozbiljan incident, NCSC koordinira nacionalni odgovorPodržava pogođene subjekte, pomaže u obuzdavanju napada, savjetuje o mjerama oporavka i sudjeluje u atribuciji kada je to moguće. U svom godišnjem pregledu zabilježio je stotine incidenata kojima se upravljalo u jednoj godini, s posebnim naglaskom na bitne usluge i javnu upravu.

Osim toga, organizacija potiče inicijative poput programa Aktivna kibernetička obranašto uključuje usluge poput DNS Protectora ili alata za provjeru weba za automatsko blokiranje zlonamjernih domena, lažnih stranica i phishing sadržaja usmjerenog na britanske građane i organizacije.

Međunarodna suradnja i slučajevi kibernetičke špijunaže

Geopolitička dimenzija kibernetičke sigurnosti postaje sve očitija, a Ujedinjeno Kraljevstvo je javno je izdvojio određene državne aktere zbog špijunskih kampanja i digitalne sabotažeKina i Iran često se pojavljuju u izvješćima i savjetodavnim dokumentima NCSC-a i britanske vlade.

Nedavno je London uveo sankcije protiv tehnoloških tvrtki sa sjedištem u Kini Optužene za pokretanje neselektivnih kibernetičkih napada na više od 80 IT sustava u vlasništvu vlada i velikih tvrtki u raznim zemljama, tvrtke poput Sichuan Anxun Information Technology (i-Soon) i Integrity Technology Group identificirane su kao tvrtke koje upravljaju tajnim mrežama i podržavaju zlonamjerne operacije povezane s kineskim obavještajnim službama.

NCSC vjeruje da postoji privatni "ekosustav" u Kini koji podržava državne kibernetičke operacijeOva mreža, sastavljena od tvrtki za kibernetičku sigurnost, posrednika osobnih podataka i skupina unajmljenih hakera, često djeluje u poluslužbenom svojstvu. Omogućuje operacije poput kampanje kibernetičke špijunaže poznate kao SALT TYPHOON, koja je ciljala vlade, telekomunikacije, vojnu infrastrukturu i javne usluge na globalnoj razini.

U međuvremenu, britanski centar je također izdao posebna upozorenja o povećanom riziku od kibernetičkih napada koji potječu iz Irana ili ih Iran podržavaPogotovo u kontekstu napetosti na Bliskom istoku i vojnih operacija u regiji. Iako UK nije uvijek primarna meta, tvrtke koje tamo posluju ili imaju dobavljače mogu pretrpjeti kolateralnu štetu.

Spomenuti rizici uključuju kampanje DDoS napadi, sabotaža korporativnih web stranica, krađa osjetljivih informacija i napadi na industrijske sustaveTakođer postoji interes za osobne podatke iranskih disidenata i za moguću kombinaciju digitalnih upada s fizičkom sabotažom podatkovnih centara i druge infrastrukture.

Ekonomski i poslovni utjecaj kibernetičkih napada

Osim tehničke štete, kibernetički incidenti imaju izravan utjecaj na britansko gospodarstvoIzvješća NCSC-a i nedavne vijesti pokazuju kako kibernetički napad može paralizirati lance opskrbe, usporiti izvoz ili ugroziti velike industrijske tvrtke.

Jedan od navedenih primjera je onaj Jaguar Land Rover (JLR)čija je usluga bila ozbiljno poremećena tjednima nakon kibernetičkog incidenta. Ove vrste poremećaja utječu na cijeli lanac vrijednosti i dovode u pitanje ambiciozne makroekonomske ciljeve poput postizanja najvećeg održivog rasta u G7, prema riječima stručnjaka za ekonomsku sigurnost.

Maloprodajni sektor također nije izuzet. Veliki brendovi poput Marks & Spencer, The Co-op ili Harrods Pretrpjeli su napade, vjerojatno povezane s ransomware skupinama poput Scattered Spidera. U slučaju M&S-a, obustava online narudžbi i troškovi oporavka procjenjuju se na stotine milijuna funti, uključujući izgubljeni prihod, sanacijske radove i potencijalne zahtjeve za naknadu štete.

Iz financijske perspektive, kibernetički napadi generiraju izravni troškovi za tehnički odgovor, obavještavanje kupaca, pravno savjetovanje i regulatorne kazneTome se dodaju i neizravni troškovi poput pada produktivnosti, povećanja premija osiguranja, štete po ugledu i gubitka povjerenja investitora i partnera.

Iz tih razloga, vlasti inzistiraju da Ulaganje u kibernetičku sigurnost nije opcionalno.To je dio troškova poslovanja u digitalnom okruženju. Vladina poruka izvršnim direktorima i predsjednicima velikih tvrtki je jasna: moraju poduzeti konkretne i hitne korake kako bi ojačali svoju obranu, jer neaktivnost se pretvara u operativni i financijski rizik.

Pravni i regulatorni okvir za kibernetičku sigurnost u Ujedinjenom Kraljevstvu

Za razliku od drugih zemalja, Ujedinjeno Kraljevstvo nema jedinstveni i globalni zakon o kibernetičkoj sigurnostiNjegov okvir sastoji se od skupa sektorskih i međusektorskih pravila koja zajedno reguliraju korištenje sustava, zaštitu osobnih podataka, kontinuitet osnovnih usluga i kazneni progon kibernetičkog kriminala.

Temelj kibernetičkog kriminala je Zakon o zlouporabi računala iz 1990. (CMA), kasnije izmijenjen Zakonom o teškim zločinima iz 2015. Ovaj zakon kriminalizira neovlašteni pristup računalima i podacima, izmjenu programa, razvoj i distribuciju alata za hakiranje te djela osmišljena za nanošenje ozbiljne štete gospodarstvu, okolišu, nacionalnoj sigurnosti ili ljudskoj dobrobiti.

La nezakonito presretanje komunikacijaIstražna komunikacija, uključujući onu prenesenu računalom, regulirana je Zakonom o regulaciji istražnih ovlasti (RIPA) i sljednim zakonodavstvom o istražnim ovlastima. Ti zakoni utvrđuju zakonska ograničenja prisluškivanja i prikupljanja informacija, kao i odgovarajuće kazne.

U području zaštite podataka, Ujedinjena Kraljevina primjenjuje Opća uredba o zaštiti podataka (RGPD), prilagođen Zakonom o zaštiti podataka iz 2018. (DPA). Ovaj okvir obvezuje organizacije da provedu odgovarajuće sigurnosne mjere za zaštitu osobnih podataka i uspostavlja načela kao što su zakonitost, transparentnost, minimizacija, točnost, ograničenje pohrane, integritet, povjerljivost i odgovornost.

DPA također uključuje Direktiva za provedbu zakonaObrada podataka od strane tijela kao što su Nacionalna agencija za kriminal (NCA), Uprava za financijsko ponašanje (FCA) i Ured za ozbiljne prijevare je regulirana. Ured povjerenika za informiranje (ICO) odgovoran je za praćenje i kažnjavanje nepoštivanja tih obveza.

Paralelno, Pravilnik za mreže i informacijske sustave 2018. (NISR) Njime se transponira Direktiva EU o NIS-u i primjenjuje se na operatere bitnih usluga (energija, voda, promet, zdravstvo itd.) i određene pružatelje digitalnih usluga. Zahtijeva proporcionalne tehničke i organizacijske mjere za upravljanje rizicima i nalaže prijavljivanje incidenata sa značajnim utjecajem na kontinuitet usluge.

Drugi relevantni tekstovi uključuju Zakon o prijevari iz 2006., koji kažnjava prijevaru počinjenu digitalnim sredstvima, Zakon o autorskim pravima, dizajnu i patentima iz 1988. o intelektualnom vlasništvu i Uredba o privatnosti i elektroničkim komunikacijama, koja nameće posebne obveze pružateljima javnih komunikacijskih usluga.

Zaštita podataka, sankcije i odgovornost tvrtki

Režim sankcija u vezi s osobnim podacima je posebno strog, što dodaje snažan poticaj da se kibernetička sigurnost shvati ozbiljnoZakon o zaštiti podataka predviđa dvije glavne razine administrativnih kazni, ovisno o težini kršenja.

S jedne strane, sankcije do 2% globalnog godišnjeg prometa ili 10 milijuna eura (što god je veće) za povrede kao što su nedostatak odgovarajućih sigurnosnih mjera, nevođenje potrebnih evidencija, neimenovanje službenika za zaštitu podataka kada je to potrebno ili nesuradnja s ICO-om.

Na sljedećoj razini, kazne mogu doseći 4% globalnog prometa ili 20 milijuna eura zbog kršenja osnovnih načela postupanja, ignoriranja prava ispitanika ili ometanja rada regulatora. Ponovljeni prekršaji i namjera mogu dodatno pogoršati situaciju.

Osim administrativnih sankcija, Osobe pogođene sigurnosnim propustom imaju pravo tražiti odštetu. za pretrpljenu štetu, što tvrtke izlaže građanskim tužbama. U određenim slučajevima, direktori i menadžeri mogu snositi osobnu odgovornost ako se dokaže da je u kršenju propisa postojao grubi nemar ili pristanak.

Ovaj pristup prisiljava organizacije da usvojiti model upravljanja rizicima temeljen na proaktivnoj odgovornostiProcjena prijetnji, dokumentiranje odluka, opravdavanje radnji i održavanje dokaza o usklađenosti su ključni. Puko tvrđenje da je napad bio neizbježan više nije općeprihvaćeno ako se nisu slijedile priznate najbolje prakse.

Nacionalna strategija kibernetičke sigurnosti i javno-privatna suradnja

Kako bi koordinirala sve te napore, Ujedinjeno Kraljevstvo pokrenulo je Petogodišnja nacionalna strategija kibernetičke sigurnostiOvaj plan, uz potporu ulaganja od oko 1.900 milijardi funti, što je više nego dvostruko više od prethodne strategije, počiva na tri stupa: obrani, odvraćanju i razvoju kibernetičkih sposobnosti.

Tijekom prvih nekoliko godina provedbe, NCSC je izvijestio o stotinama obrađenih incidenata, Razotkrivene stotine tisuća phishing stranica i deseci vodiča i preporuka objavljenih za tvrtke i građane. Ideja je smanjiti i vjerojatnost napada i njegov utjecaj kada se dogodi.

Suradnja između vlade i privatnog sektora je središnja os ove strategijeInicijative poput platforme CiSP (Cyber ​​Security Information Sharing Partnership) omogućuju dijeljenje informacija o prijetnjama i ranjivostima gotovo u stvarnom vremenu između organizacija u različitim sektorima.

NCSC također promiče programe kao što su Industrija 100, što olakšava privremeno uključivanje stručnjaka iz privatnog sektora u timove centra za rad na zajedničkim projektima, kao i obrazovne stipendije i edukacije za odgoj sljedeće generacije stručnjaka za kibernetičku sigurnost.

Sa svoje strane, Ministarstvo za digitalnu kulturu, medije i sport (DCMS) pokrenulo je inicijative kao što je Partnerstvo za digitalne vještine, koja okuplja tvrtke, dobrotvorne organizacije i javne subjekte kako bi ponudila besplatnu obuku u digitalnim vještinama, uključujući kibernetičku sigurnost, s posebnom pažnjom na mala i srednja poduzeća i manje sretne skupine.

Programi ekonomske podrške i rast kibernetičkog sektora

Kibernetička sigurnost nije samo trošak: ona je i motor gospodarskog rasta u Ujedinjenom KraljevstvuSektor generira tisuće kvalificiranih radnih mjesta i doprinosi milijardama funti godišnjeg prihoda, s dinamičnim ekosustavom startupova, tehnoloških malih i srednjih poduzeća i velikih etabliranih dobavljača.

Kako bi ojačala ovaj poslovni sektor, vlada je najavila Akcijski plan za kibernetički rastProjekt, koji vode stručnjaci sa Sveučilišta u Bristolu i Imperial Collegea, ima za cilj identificirati prilike u ponudi i potražnji kibernetičkih dobara i usluga, od platformi za praćenje do naprednih rješenja za šifriranje.

Plan posvećuje posebnu pozornost nove tehnologije poput umjetne inteligencije i kvantnog računarstvakoji mogu transformirati i obrambene i ofenzivne sposobnosti, a koji su analizirani u Vijesti iz tehnologije i digitalne kultureCilj je da Ujedinjena Kraljevina zadrži vodeću međunarodnu poziciju u tim područjima, koristeći svoju akademsku i poslovnu bazu.

Paralelno s tim, milijuni funti dodijeljeni su programima kao što su CyberASAP, koja pomaže istraživačima da svoje akademske projekte pretvore u komercijalne proizvode i usluge, generirajući desetke spin-offova koji su privukli desetke milijuna privatnih ulaganja.

Drugi ključni program je Kibernetička pistaOvaj je program osmišljen kako bi podržao startupove i mala i srednja poduzeća u širenju, ulasku na nova tržišta i konsolidaciji njihove međunarodne prisutnosti. Cilj je da te tvrtke postanu ključne komponente globalnog lanca vrijednosti kibernetičke sigurnosti.

Industrijska kibersigurnost i kritični sektori

Jedno posebno osjetljivo područje je ono kibersigurnost industrijske i kritične infrastruktureU Ujedinjenom Kraljevstvu, razna javna tijela nadziru da sektori poput energetike, vodoopskrbe, prometa, telekomunikacija i nuklearne energije integriraju robusne mjere u svoje sustave automatizacije i upravljanja.

Među istaknutim subjektima su CPNI (Centar za zaštitu nacionalne infrastrukture), sam NCSC, sektorski regulatori kao što su Ofgem, Ofcom, Ofwat ili Ured za nuklearnu regulaciju, kao i lokalne vlasti i ministarstva odgovorna za NIS Regulativu.

U tom kontekstu, industrijske organizacije su usvojile mjere kao što su Specijalizirano savjetovanje, interne i eksterne revizije, dizajn segmentiranih mreža, planovi za kontinuitet i nepredviđene situacije, strukturirane sigurnosne kopije, implementacija SIEM rješenja i strategije ojačavanja za naslijeđene sustave koji nisu dizajnirani imajući na umu kibernetičku sigurnost.

Sektor ima jasne prednosti, kao što su povećanje razine svijesti u kritičnoj infrastrukturi i povećanje broja stručnjaka obučenih za industrijsku kibernetičku sigurnost. Međutim, slabosti i dalje postoje, poput nedostatka specifičnih certifikata u OT tehnologiji, oslanjanja na naslijeđene infrastrukture i nedostatka alata za upravljanje rizicima dizajniranih za industrijska okruženja.

Istovremeno, pojavljuju se velike prilike, posebno zbog Uspon Industrije 4.0 i Interneta stvari (IoT)što povećava potražnju za sigurnim rješenjima. Ujedinjeno Kraljevstvo ima za cilj učvrstiti svoju poziciju strateškog igrača u ovoj niši, izvozeći i tehnologiju i stručnost.

Dobre prakse koje preporučuju britanske vlasti

Vlada i NCSC objavili su brojne Vodiči i referentni okviri koji pomažu organizacijama da ojačaju svoju sigurnosnu pozicijuUmjesto nametanja univerzalnih rješenja, naglasak je na pristupu temeljenom na riziku i dobro provedenim osnovnim mjerama.

Primjer je dokument „10 koraka do kibernetičke sigurnosti“, koji opisuje preporučene kontrole i procese za bilo koju organizaciju: upravljanje, upravljanje imovinom, zaštita krajnjih točaka, kontrola pristupa, sigurnost mreže, sigurna konfiguracija, upravljanje ranjivostima, obuka osoblja, odgovor na incidente i politike sigurnosnog kopiranja.

Shema Cyber ​​Osnove Predlaže pet minimalnih kontrola koje bi sve tvrtke trebale imati: pravilno konfigurirane vatrozidove, korištenje podržanog i ažuriranog softvera, upravljanje korisničkim privilegijama, zaštitu od zlonamjernog softvera i sigurnu konfiguraciju uređaja i usluga. Dobivanje certifikata također služi kao dokaz dubinske analize za klijente i regulatore.

NCSC također objavljuje posebne smjernice za ublažiti DDoS napade, prepoznati phishing kampanje, zaštititi industrijske sustave (ICS) i osigurati lance opskrbeNaglasak je na pregledu „vanjske površine napada“: usluga izloženih internetu, nepotrebnih otvorenih portova, procurilih vjerodajnica i ovisnosti o trećim stranama koje mogu postati slabe karike.

Druge organizacije, poput FCA i ICO, objavile su smjernice specifične za sektor. Na međunarodnoj razini, standardi poput ISO / IEC 27001 Standardi poput PCI DSS-a (za podatke o karticama) i BS 10012 (upravljanje osobnim informacijama) koriste se kao referenca za strukturiranje sustava upravljanja sigurnošću.

S ovom mrežom zakona, standarda, agencija i programa, Ujedinjeno Kraljevstvo pokušava ravnoteža digitalnih inovacija i upravljanja rizicimaOdržavanje protoka podataka i ekonomske dinamike, ali bez ostavljanja građana, poduzeća ili bitnih usluga nezaštićenima. Za svaku organizaciju koja posluje u zemlji, razumijevanje ovog ekosustava i usklađivanje s njegovim zahtjevima više nije opcionalno, već nužan uvjet za nastavak igranja na britanskom digitalnom igralištu s razumnom sigurnosnom marginom.