Inspirací připravované evropské legislativy jsou pravděpodobně mimo jiné zákonné akty z USA. Tamnější regulační orgán odpovědný za dohled nad pojištěním bankovních vkladů (FDIC) a Federální obchodní komise (FTC) totiž hodlají již v průběhu roku 2022 vymáhat pravidla obsahově velmi podobná těm přicházejícím do Evropy – zejména směrnice s názvy PSD 2, DoRA, MiCA, NIS 2.
Nově tak budou američtí poskytovatelé finančních služeb povinni splnit zákonem předepsaná kyberbezpečnostní pravidla, jako např. ustanovení osob odpovědných za řízení rizik, vypracování strategie hodnocení rizik, zavedení šifrování dat uživatelů, ustanovení systému hlášení incidentů a řadu dalších.
Série plánovaných nařízení a směrnic bezesporu promění v nejbližších letech fungování řady odvětví včetně finančního sektoru. Velkou část prováděcích opatření budou navíc upřesňovat další podzákonné právní předpisy a regulatorně-technické standardy (RTS) vypracované evropskými orgány pro finanční regulaci ve spolupráci s Agenturou Evropské unie pro kybernetickou bezpečnost (ENISA). Změny se dotknou širokého spektra tržních subjektů od největších bankovních společností, přes nebankovní poskytovatele finančních služeb až po subjekty obchodující s kryptoměnami.
Dotčené subjekty budou nově povinny zavést například systém hodnocení rizik nebo připravit funkční compliance programy v oblasti řízení incidentů souvisejících s technickým i netechnickým řešením informačních a výpočetních systémů. Dále jim také vznikne povinnost hlášení incidentů příslušnému vládnímu orgánu či zavedení vnitřních ukazatelů včasného varování kybernetických hrozeb. V případě jakéhokoliv kybernetického útoku musí poskytovatelé finančních služeb reagovat velmi rychle, neboť lhůta pro nahlášení bude stanovena zřejmě nejpozději do konce daného dne během kterého k incidentu došlo.
Evropská unie se nyní pomocí nařízení o digitální provozní odolnosti (DORA) snaží vytvořit komplexní a jednotný digitální rámec pro finanční instituce na celém jejím území. Cílem DORA je tedy zejména sjednotit pravidla pro užívání a výběr informačních a telekomunikačních technologií ve finančním sektoru. Dalším hegemonem na poli regulace kybernetické bezpečnosti finančního sektoru je směrnice NIS 2, která v určitých bodech nařízení DORA upřesňuje a některé části přejímá. Jako velmi pravděpodobné se jeví, že i nadále bude nařízení DORA vedle NIS 2 ve vztahu lex specialis (speciální právní úprava mající k jiné obecnější právní úpravě podřízený charakter), neboť tomu tak bylo i v případě předcházející směrnice NIS.
Obecnými cíli obou uvedených zákonných předpisů je zejména zlepšení schopnosti dotčených subjektů řídit rizika spojená s ICT nebo také zavedení povinnosti hlášení incidentů a odstranění nedostatků v rámci sdílení informací se státními orgány. Hlavním účelem je pak vytvořit vhodný rámec kontinuální spolupráce mezi soukromý sektorem a státem ve věcech kybernetické bezpečnosti. Společnosti budou nově povinny např. sdílet informace o kybernetických hrozbách a důsledně zvyšovat povědomí o rizicích v oblasti ICT, přičemž stát by jim měl na oplátku poskytnout podporu při zavádění kyberbezpečnostních opatření.
Po přijetí a transpozice evropských směrnic do národních legislativních systémů v jednotlivých členských státech EU započnou příslušné evropské dohledové instituce (např. Evropský orgán pro bankovnictví – EBA, Evropský orgán pro cenné papíry a trhy – ESMA a Evropský orgán pro pojišťovnictví a zaměstnanecké penzijní pojištění EIOPA, Agentura Evropské unie pro kybernetickou bezpečnost – ENISA) přípravu přesných technických norem. Ty se následně stanou závazné pro širokou paletu subjektů z finančního sektoru – od institucí poskytující finanční služby, přes banky, pojišťovny až po správu aktiv. Příslušné vnitrostátní orgány pak převezmou úlohu dohledu nad dodržováním předpisů a budou je dle potřeby vymáhat.
Obecně lze očekávat, že nová legislativa výrazně posílí dohled nad opatřeními v oblasti zabezpečení dat a zavede určitý mechanismus hodnocení dodavatelů ICT řešení.
Poměrně silně regulovaný finanční sektor tak bude vystaven nemalé zkoušce, neboť se bude muset vypořádat jednak s technickými a také netechnickými parametry nové regulace. Včasné adaptaci na nová pravidla by se měly dotčené subjekty intenzivně věnovat i kvůli tomu, že v případě jejich nedodržení může hrozit pokuta až do výše 10.000.000 EUR nebo 2 procenta z celkového celosvětového ročního obratu podniku.
Výše zmíněných změn se dočkáme velmi brzy, neboť Česká republika dle vyjádření NÚKIB již započala s jednáním ohledně transpozice a implementace směrnice NIS 2 do tuzemského právního řádu. Na zavedení nových pravidel, která mají být oficiálně zveřejněna v průběhu roku 2022, bude čas zhruba do poloviny roku 2024.
Autor: Michael Fanta, šéfredaktor
FOTO: Freepik
Termín zero trust ušel od svého vzniku dlouhou cestu. Z buzzwordu je dnes respektovaný přístup ke kyberbezpečnosti, který v posledních letech implementují firmy po celém světě. V tomto článku si přiblížíme základní prvky zero trustu a důvody proč by měl mít místo v moderním zabezpečení firem a organizací.
Užitečné kvantové počítače zatím nejsou realitou. Společnost Apple však v jednom z největších nasazení postkvantového šifrování přináší tuto technologii do iMessage.
Bankovní trojský kůň Anatsa se zaměřuje na uživatele v Evropě a infikuje zařízení se systémem Android prostřednictvím malwarových dropperů umístěných na Google Play.
S nástupem digitální transformace a rostoucí závislostí podniků na digitálních službách je zabezpečení aplikací a rozhraní API (Application Programming Interfaces) důležitější než kdy dříve. S ohledem na to jsou zabezpečení aplikací a API dvě zásadní součásti komplexní bezpečnostní strategie. Využitím těchto postupů se organizace mohou chránit před škodlivými útoky a bezpečnostními hrozbami a především zajistit, aby jejich data zůstala v bezpečí.
Romantičtí chatboti shromažďují obrovské množství dat, poskytují nejasné informace o tom, jak je používají, používají slabou ochranu heslem a nejsou transparentní, tvrdí nový výzkum společnosti Mozilla.
Pokud jde o zabezpečení přístupu, jedno doporučení vyniká nad ostatními: vícefaktorové ověřování (MFA). Vzhledem k tomu, že samotná hesla jsou pro hackery jednoduchou prací, poskytuje MFA zásadní vrstvu ochrany proti narušení. Je však důležité si uvědomit, že MFA není bezchybné. Lze ho obejít, a často se tak i děje.
Na internetu jste neustále monitorováni. Hlavním viníkem je často reklamní průmysl a technologické společnosti, které jsou na reklamě silně závislé, aby vydělaly peníze ( např. Google a Meta). Na webu vás mohou sledovat neviditelné trackery a cookies vložené do webových stránek a aplikací. Přečtěte si návod, jak se stát více anonymním na internetu.
Minulý rok byl plný ničivých kybernetických útoků po celém světě, od ransomwarových útoků na kasina až po státem sponzorované narušení kritické infrastruktury.
0 Comments