Elenco delle leggi e dei regolamenti sulla sicurezza informatica nel Regno Unito
Il panorama delle minacce digitali nel Regno Unito continua a evolversi, poiché le aziende che subiscono una massiccia transizione verso una maggiore digitalizzazione e migrazioni basate su cloud sono costrette a modificare le operazioni dei loro sistemi IT.
Ancora più importante, anche le leggi e i regolamenti del Regno Unito devono adattarsi per garantire che le aziende e le organizzazioni del Regno Unito lavorino per migliorare la loro posizione di sicurezza informatica e l'infrastruttura IT per proteggere la sicurezza e la privacy dei dati. Soprattutto durante l'era post-Brexit, le aziende devono garantire la conformità alle più recenti leggi e normative sulla sicurezza informatica del Regno Unito.
In questo articolo, esamineremo le leggi e i regolamenti più recenti sulla sicurezza informatica nel Regno Unito, come rispettarli, le sanzioni e le commissioni che impongono in caso di non conformità, le più recenti misure legislative dei regolamenti NIS e quali misure le aziende del Regno Unito possono adottare per proteggere le proprie reti, dati e sistemi.
Elenco delle leggi e dei regolamenti sulla sicurezza informatica nel Regno Unito
Sebbene non esista una legge nazionale primaria sulla sicurezza informatica, esistono quattro schemi legislativi fondamentali che regolano la sicurezza informatica, la privacy e la protezione dei dati nel Regno Unito:
- DPA (Legge sulla protezione dei dati 2018)
- UK-GDPR (REGOLAMENTO GENERALE SULLA PROTEZIONE DEI DATI DEL REGNO UNITO)
- Regolamenti NIS (Regolamenti sulla sicurezza delle reti e dell'informazione 2018)
- Legge sull'uso improprio del computer del 1990
Sebbene questi quattro siano gli atti legislativi più incisivi in materia di sicurezza informatica nel Regno Unito, tratteremo anche quanto segue:
- Legge sulle telecomunicazioni (sicurezza) 2021
- eIDAS del Regno Unito (Electronic Identification and Trust Services for Electronic Transactions Regulations 2016)
- PECR (Regolamento sulla privacy e sulle comunicazioni elettroniche)
Esistono anche altre normative e framework globali sulla sicurezza informatica come PCI-DSS, NIST, SOX e HIPAA che molte aziende e organizzazioni del Regno Unito seguono attivamente. Tuttavia, le aziende non sono obbligate a seguirle ai sensi della legge del Regno Unito.
Scopri la differenza tra un regolamento e un framework informatico >
DPA (Legge sulla protezione dei dati 2018)
Il Data Protection Act 2018 (DPA 2018) è la legge primaria del governo del Regno Unito sul trattamento dei dati personali nel Regno Unito, che viene applicata insieme al GDPR del Regno Unito. Funge da quadro di protezione dei dati che regola tutti gli aspetti del modo in cui le aziende, le organizzazioni e gli enti governativi controllano ed elaborano i dati personali.
Poiché il Regno Unito è ancora considerato uno stato membro dell'UE nell'era post-Brexit, molte delle sue attività sono ancora soggette al GDPR. Tuttavia, il Regno Unito ha creato la propria versione del GDPR per adattarsi meglio alle sue leggi nazionali, chiamata UK-GDPR.
Il DPA 2018 richiede a tutti i titolari del trattamento dei dati del Regno Unito (aziende e organizzazioni che controllano il trattamento dei dati personali) di implementare e mantenere misure di sicurezza adeguate per la salvaguardia dei dati personali. Più specificamente, si applica alle aziende che in genere elaborano i dati e i record dei clienti.
La conformità alla legge del 2018 sulla protezione dei dati è obbligatoria?
Sì. Tutte le aziende soggette al Data Protection Act del 2018 devono disporre delle misure appropriate per salvaguardare dati come le informazioni di identificazione personale (PII), le cartelle cliniche e i dati dei clienti.
Inoltre, i responsabili del trattamento dei dati sono tenuti a segnalare le violazioni dei dati e gli incidenti informatici alle autorità competenti entro 72 ore senza ingiustificato ritardo, a informare il titolare del trattamento della violazione dei dati e a informare tutte le persone coinvolte nella violazione dei dati.
Quali sono le sanzioni per la mancata conformità al DPA 2018?
Se le organizzazioni del Regno Unito non rispettano la DPA 2018, possono essere multate fino a 17,5 milioni di sterline o al 4% del fatturato globale annuo.
Inoltre, ai sensi dei regolamenti sulla protezione dei dati (oneri e informazioni) del 2018, i titolari del trattamento che trattano dati personali sono obbligati a pagare una tariffa annuale per la protezione dei dati all'Information Commissioner's Office (ICO), a seconda delle dimensioni e del fatturato dell'azienda.
Come funziona la legge sulla protezione dei dati in combinazione con il GDPR del Regno Unito
Il Data Protection Act 2018 integra e introduce gli sforzi in materia di protezione dei dati del GDPR nella legge sulla protezione dei dati del Regno Unito. Sia il GDPR del Regno Unito che il DPA 2018 collaborano per regolamentare la protezione e la privacy dei dati nel Regno Unito.
Sia il GDPR del Regno Unito che il DPA 2018 richiedono a tutte le aziende, organizzazioni ed enti governativi del Regno Unito di implementare solide misure di sicurezza informatica per salvaguardare adeguatamente i dati personali che raccolgono ed elaborano e ridurre al minimo le violazioni della sicurezza.
Mentre il Data Protection Act 2018 si applica a tutte le aziende del Regno Unito che controllano il trattamento dei dati personali, il GDPR si applica a quelle che trattano i dati personali per conto dei titolari del trattamento.
I reati informatici contemplati dalla legge del 2018 sulla protezione dei dati comprendono la distruzione, la falsificazione, l'uso illecito o l'ottenimento illecito di dati personali, nonché l'alterazione delle informazioni per impedirne la divulgazione all'interessato.
La legge del 2018 sulla protezione dei dati garantisce che le persone fisiche del Regno Unito abbiano la libertà di essere informate su come i loro dati vengono utilizzati dalle organizzazioni e dagli enti governativi del Regno Unito e che possano richiedere la cancellazione, l'aggiornamento o il riutilizzo dei dati o opporsi al modo in cui vengono elaborati.
UK-GDPR (REGOLAMENTO GENERALE SULLA PROTEZIONE DEI DATI DEL REGNO UNITO)
Il GDPR (General Data Protection Regulation) del Regno Unito è il regolamento sulla sicurezza dei dati del Regno Unito che è adattato e integra il Data Protection Act 2018. Anch'esso modellato sul GDPR dell'UE, disciplina e regola il modo in cui le organizzazioni e le aziende del Regno Unito raccolgono, archiviano, utilizzano ed elaborano i dati personali.
Prima della Brexit, le normative sul trattamento dei dati facevano parte del GDPR dell'UE sotto la giurisdizione dell'EAA (Spazio economico europeo). Sebbene il Regno Unito oggi non sia affiliato alle politiche europee, riutilizza gli stessi componenti del regolamento con lievi aggiustamenti e modifiche per adattarsi alle leggi nazionali del Regno Unito.
Il regolamento GDPR del Regno Unito si applica a tutti i paesi del Regno Unito (Inghilterra, Scozia, Galles e Irlanda del Nord) e impone alle aziende di proteggere tutti i dati personali consentendo solo a entità terze di accedere ai dati personali che sono "soggetti a garanzie sufficienti che coinvolgono la sicurezza dei servizi di elaborazione". ”
Inoltre, l'UK-DGPR protegge i diritti degli interessati (persone i cui dati sono conservati, secondo il Data Protection Act 2018) di controllare come vengono gestiti i loro dati.
Il GDPR del Regno Unito riconosce sette principi fondamentali su come le organizzazioni elaborano i dati personali:
- Liceità, correttezza e trasparenza
- Limitazione delle finalità
- Minimizzazione dei dati
- Accuratezza
- Limitazione dello spazio di archiviazione
- Integrità e riservatezza (sicurezza)
- Responsabilità
Le normative GDPR del Regno Unito impongono alle aziende di archiviare, gestire ed elaborare i dati dei cittadini del Regno Unito in modo da soddisfare i requisiti dei principi.
>Leggi qui per saperne di più sui sette principi e su come aiutano con la conformità.
La conformità al GDPR del Regno Unito è obbligatoria?
Tutte le organizzazioni e le aziende del Regno Unito coinvolte nella raccolta, gestione, archiviazione o elaborazione di dati personali/privati di tutte le entità nel Regno Unito devono rispettare il GDPR del Regno Unito.
Il GDPR del Regno Unito si applica alle organizzazioni del Regno Unito che sono responsabili del trattamento e titolari del trattamento dei dati personali e sono obbligate a implementare misure di sicurezza per la salvaguardia dei dati personali, come raccomandato dalle linee guida del GDPR del Regno Unito.
Uno dei passaggi principali per ottenere la conformità al GDPR del Regno Unito, nonché alla conformità al DPA, consiste nel:
- Rispettare i sette principi del trattamento dei dati
- Creare una politica di sicurezza informatica per soddisfare i requisiti di sicurezza del GDPR
- Implementare concetti solidi di protezione dei dati
- Mantenere un'informativa sulla privacy chiara, completa e adeguata
Quali sono le sanzioni per la mancata conformità al GDPR del Regno Unito?
Le organizzazioni che non rispettano il GDPR del Regno Unito possono essere penalizzate con una multa massima fino a 17,5 milioni di sterline (20 milioni di euro) o il 4% del loro fatturato annuo complessivo (a seconda di quale sia maggiore). Le aziende possono essere multate anche se non sono colpite da un attacco informatico o da una violazione dei dati se non riescono a implementare standard di sicurezza adeguati per l'accessibilità dei dati di terze parti.
Regolamenti NIS (Network and Information Systems)
Uno degli atti chiave della legislazione sulla sicurezza informatica nel Regno Unito è il Network and Information Systems (NIS Regulations) 2018, che è stato recepito dalla direttiva sulla sicurezza informatica dell'UE prima della Brexit.
Il mandato principale dei regolamenti NIS è quello di "rilevare e gestire le minacce alla sicurezza delle reti e dei sistemi informativi in modo accettabile e proporzionato. ”
Sebbene l'obiettivo principale sia la sicurezza informatica, include anche la regolamentazione delle minacce non informatiche come interruzioni di corrente, eventi dirompenti o guasti di rete causati da disastri ambientali.
I regolamenti offrono misure legali e impongono obblighi di sicurezza informatica per:
- Fornitori di servizi digitali pertinenti (RDSP — fornitori di servizi di cloud computing e fornitori di mercati online)
- Operatori di servizi essenziali (OES — sanità, energia, trasporti e infrastrutture e altri servizi pubblici)
Questi fornitori di servizi sono obbligati a soddisfare i requisiti per la sicurezza informatica e a registrarsi presso le autorità competenti pertinenti.
Analogamente al GDPR del Regno Unito e alla DPA 2018, i fornitori di servizi devono anche segnalare incidenti significativi di sicurezza informatica alle autorità e alle autorità di regolamentazione competenti come l'Ofcom (Office of Communications), l'Ofgem (The Office of Gas and Electricity Markets) e l'ICO, senza indebito ritardo.
È obbligatorio il rispetto delle normative NIS?
Sì. Tutti gli OES e gli RDSP del Regno Unito devono mantenere la conformità alle normative NIS.
Per conformarsi alle normative NIS, tutti gli OES e i DSP del Regno Unito sono tenuti a implementare adeguate misure di sicurezza informatica e programmi di resilienza informatica che includono:
- Attuare misure di cibersicurezza adeguate e solide,
- Crea piani di risposta agli incidenti e segnala tutti gli incidenti agli operatori pertinenti
- Effettuare valutazioni dei rischi
- Focus sulla gestione della continuità operativa
- Mantieni il monitoraggio della sicurezza informatica
- Audit regolari
- Test di penetrazione regolari e gestione delle vulnerabilità
- La conformità agli standard internazionali pertinenti come ISO 27001, ISO 27035, PCI-DSS e HIPAA, ove pertinente, può anche fornire le basi per la conformità NIS
Quali sono le sanzioni per il mancato rispetto delle normative NIS?
Le normative NIS sono applicate con l'imposizione di multe severe e il mancato rispetto è seguito da sanzioni pecuniarie. Tutti gli OES e gli RDSP del Regno Unito che non soddisfano i requisiti possono incorrere in una sanzione fino a 17,5 milioni di sterline (19 milioni di euro) o al 4% del fatturato globale annuo (a seconda di quale sia maggiore).
Qual è la differenza tra i regolamenti NIS e il GDPR?
Mentre i regolamenti NIS regolano solo la sicurezza dei sistemi informativi per i fornitori di servizi digitali pertinenti (RDSP) e gli operatori di servizi essenziali (OES), il GDPR si applica a tutte le organizzazioni che gestiscono dati personali.
La buona notizia è che molte delle disposizioni della Direttiva NIS e dei Regolamenti sono coerenti con il GDPR del Regno Unito. Le organizzazioni del Regno Unito che rispettano il GDPR del Regno Unito possono anche soddisfare contemporaneamente i requisiti in combinazione con i regolamenti NIS.
Legge sull'uso improprio del computer del 1990
Il Computer Misuse Act del 1990 è la principale legge sulla sicurezza informatica che regola le relazioni digitali del Regno Unito tra individui e malintenzionati. Viene applicato direttamente con il Data Protection Act 2018 e il GDPR del Regno Unito, che proteggono i dati personali dei residenti nel Regno Unito.
Progettato principalmente nel 1990 per proteggere le centrali telefoniche, il Computer Misuse Act 1990 persegue anche i criminali per l'accesso non autorizzato ai computer allo scopo di modificare, rimuovere o manomettere i dati, nonché per la criminalità informatica dolosa e gli attacchi informatici come ransomware e attacchi DDoS.
Ciò include i criminali informatici che hanno commesso un crimine informatico nel Regno Unito o i computer che si trovano nel Regno Unito. Le informazioni a cui un criminale informatico accede illegalmente non devono necessariamente essere PII (informazioni di identificazione personale) che i criminali informatici utilizzano per commettere frodi o furti di identità.
Come affermato dal CPS (Crown Prosecution Services), un "computer" si riferisce a dispositivi come smartphone, tablet e altri dispositivi oltre ai personal computer desktop che memorizzano, recuperano ed elaborano informazioni e dati sensibili.
Per quanto riguarda l'hacking etico
La sfida più comune posta dalle misure legali del Computer Misuse Act del 1990 è la regolamentazione dell'hacking etico, che è tecnicamente illegale ai sensi della legge perché definisce tutti gli accessi non consensuali ai sistemi come un crimine, indipendentemente dai benefici della sicurezza informatica.
Il Computer Misuse Act del 1990 ha più di 30 anni e, sebbene sia stato modificato da allora, le organizzazioni e le imprese del Regno Unito ritengono che inibisca involontariamente il lavoro degli hacker etici.
I ricercatori di sicurezza informatica, gli analisti delle minacce informatiche e i penetration tester incontrano difficoltà nell'operare nell'ambito del regolamento. L'atto potrebbe beneficiare di sezioni aggiornate che illustrano meglio la differenza tra hacking etico e dannoso.
Sebbene i team di sicurezza informatica non abbiano molto spazio per eseguire l'hacking etico ai sensi di questa legge, non ci sono casi esistenti di team di sicurezza informatica del Regno Unito penalizzati per hacking etico.
È obbligatorio il rispetto del Computer Misuse Act 1990?
Il Computer Misuse Act 1990 persegue i criminali informatici se commettono le seguenti attività illegali:
- Ottenere l'accesso non autorizzato ai dati e alle informazioni sensibili di un computer con intenti malevoli e senza autorizzazione
- L'uso intenzionale di computer per commettere un crimine o danneggiare altri
- La modifica, la rimozione, la manomissione o il riscatto di dati personali tramite malware e virus
- Compiacimento e favoreggiamento dell'uso improprio del computer mediante la creazione o l'ottenimento di informazioni per eseguire altri crimini informatici
Quali sono le sanzioni per la non conformità per l'uso improprio del computer del 1990?
Le multe e le pene detentive per aver infranto la legge ai sensi del Computer Misuse Act 1990 variano, ma generalmente includono quanto segue:
- una multa di 5.000 sterline o una condanna a sei mesi per accesso non autorizzato o uso doloso dei dati;
- Multa illimitata o una pena detentiva di cinque anni per l'intenzione di commettere reati informatici;
- Multa illimitata o una pena detentiva di cinque anni per la modifica, la manomissione dolosa, la rimozione e il riscatto dei dati
- Multa illimitata o una pena detentiva di 10 anni per compiacimento e favoreggiamento nell'uso improprio del computer
Legge sulle telecomunicazioni (sicurezza) 2021
Il Telecommunications (Security) Act, entrato in vigore nel novembre 2021 (la piena attuazione è prevista entro marzo 2024), è una legge rigorosa e onnicomprensiva che regola la sicurezza della rete contro gli attacchi informatici di tutti gli operatori di telefonia mobile nel Regno Unito.
Le nuove norme sono state modificate dopo il Communications Act 2003 e sono state applicate e formulate dall'Ofcom con l'aiuto e il contributo del National Cyber Security Centre.
Questa legge riguarda il modo in cui i fornitori di servizi di telecomunicazione acquistano infrastrutture e servizi come le reti 5G e gli incentivi per proteggere il software, le apparecchiature e i dati trattati dalle reti e dai servizi.
La legge sulle telecomunicazioni (sicurezza) comprende:
- Come i CSP (fornitori di servizi di comunicazione) monitorano l'attività e l'accesso;
- Come monitorano gli investimenti in sicurezza e protezione dei dati;
- In che modo i fornitori di servizi informano le parti interessate in merito a violazioni dei dati o incidenti informatici.
È obbligatorio il rispetto della legge sulle telecomunicazioni (sicurezza)?
La conformità al Telecommunications (Security) Act del Regno Unito è obbligatoria per i fornitori di servizi di comunicazione (CSP).
La legge impone ai CSP di:
- Riduci al minimo i rischi per la sicurezza informatica
- Salvaguardare le informazioni gestite dalle loro reti
- Concentrarsi sui rischi della catena di approvvigionamento e gestire chi ha accesso alle proprie reti e servizi
- Informare tempestivamente l'autorità di regolamentazione in caso di violazioni della sicurezza informatica
- Proteggere il monitoraggio e l'analisi dell'hardware e del software della propria rete e dei propri servizi
- Migliorare la loro capacità di comprendere e identificare le anomalie della sicurezza informatica e segnalare eventuali attività insolite
Quali sono le sanzioni per il mancato rispetto della legge sulle telecomunicazioni (sicurezza)?
Il mancato rispetto del Telecommunications (Security) Act significa che gli operatori di telefonia mobile e i fornitori di servizi a banda larga del Regno Unito possono incorrere in multe di 117.000 sterline al giorno o del 10% dei ricavi annuali, che vengono applicate da Ofcom.
eIDAS del Regno Unito (Electronic Identification and Trust Services for Electronic Transactions Regulations 2016)
Il regolamento eIDAS, o Electronic Identification and Trust Services for Electronic Transactions Regulation, copre i servizi del Regno Unito che verificano l'identità e le imprese dei cittadini del Regno Unito online, nonché l'autenticità dei loro registri e documenti elettronici.
Il regolamento eIDAS è un quadro giuridico che delinea i requisiti per i prestatori di servizi fiduciari in materia di firme elettroniche, marche temporali, documenti digitali e servizi di certificazione per ottenere uno status qualificato di prestatore di servizi fiduciari. Avere un certificato di servizio fiduciario dimostra che l'azienda è rispettabile e che i clienti possono fidarsi dell'autenticità e della verifica dei loro dati elettronici.
Ai sensi del regolamento eIDAS, i fornitori di servizi fiduciari del Regno Unito devono implementare misure organizzative per la gestione del rischio di sicurezza informatica per ridurre al minimo l'impatto degli incidenti di sicurezza in caso di violazione di uno schema di identificazione elettronica.
Sebbene questi siano i documenti ENISA (Agenzia dell'Unione Europea per la Sicurezza delle Reti e dell'Informazione) nell'ambito del regolamento eIDAS dell'UE, rappresentano una risorsa applicabile anche per la conformità eIDAS del Regno Unito.
Leggi qui per saperne di più sulle linee guida e le raccomandazioni sulla conformità al regolamento eIDAS.
La conformità con l'eIDAS del Regno Unito è obbligatoria?
I fornitori di servizi fiduciari devono segnalare tutte le violazioni informatiche e notificare un ICO (Information Commissioner) designato entro 24 ore, nonché tutte le parti interessate.
L'Information Commissioner agisce in qualità di organismo di controllo e di autorità di vigilanza che effettua gli audit e può revocare e concedere al servizio fiduciario lo status di qualifica per tutti i fornitori di servizi del Regno Unito coperti dal regolamento eIDAS.
Quali sono le sanzioni per la mancata conformità all'eIDAS nel Regno Unito?
Se un fornitore di servizi fiduciari non rispetta un avviso di applicazione/valutazione/informazione eIDAS del Regno Unito da parte dell'ICO, può essere penalizzato con multe fino a 17,5 milioni di sterline o il 4% del suo fatturato annuo mondiale totale.
PECR (Regolamento sulla privacy e sulle comunicazioni elettroniche)
Il Regolamento sulla privacy e le comunicazioni elettroniche (Direttiva CE) del 2003 (PECR) è la legge del Regno Unito per le reti e i servizi di comunicazione elettronica in linea con il Data Protection Act e il GDPR del Regno Unito, che regola i diritti alla privacy relativi alle comunicazioni elettroniche.
Il PECR svolge un ruolo importante nel mantenimento della sicurezza dei servizi di comunicazione del Regno Unito, della privacy dei clienti e dei dati di localizzazione e criminalizza anche la trasmissione di messaggi di marketing automatizzati e registrati via telefono, e-mail, fax o testo senza il consenso dell'abbonato. Inoltre, regola anche l'uso dei cookie di tracciamento.
I requisiti PECR si applicano solo alle organizzazioni, alle reti e ai fornitori di servizi che offrono servizi di comunicazione elettronica come e-mail, SMS, fax e marketing telefonico, utilizzano cookie e compilano elenchi telefonici.
Il PECR funziona in combinazione con il GDPR del Regno Unito e utilizza lo standard di consenso GDPR del Regno Unito. Le aziende che utilizzano i cookie di tracciamento o lavorano con il marketing elettronico devono essere conformi sia al GDPR del Regno Unito che al PECR, e la sovrapposizione dei requisiti sulla privacy dei dati di entrambe le normative significa che le aziende che rispettano il PECR possono anche soddisfare i requisiti del GDPR del Regno Unito.
La conformità al PECR è obbligatoria?
Sì, la conformità al PECR è obbligatoria. Le aziende che non si conformeranno saranno penalizzate dall'ICO.
Per conformarsi al PECR, le aziende devono:
- Informare i propri clienti e utenti che utilizzano i cookie e spiegare perché vengono utilizzati
- Informare l'ICO e tutte le parti interessate in caso di violazione dei dati entro 24 ore dal rilevamento e mantenere un registro
- Chiedi il consenso del cliente per i cookie di tracciamento
- Specificare per quanto tempo i cookie saranno in uso.
Quali sono le sanzioni in caso di inosservanza del PECR?
Le aziende e le organizzazioni che non soddisfano i requisiti PECR devono affrontare l'audit e l'applicazione non penale. I trasgressori frequenti possono essere sanzionati dall'Information Commissioner con una multa fino a £ 500.000 o con un'azione penale.
Denuncia del crimine informatico nel Regno Unito
Che si tratti di un reato minore come una fuga di dati non intenzionale o di un grave crimine informatico come l'hacking, tutti i crimini informatici nel Regno Unito devono essere segnalati ai rispettivi centri di segnalazione e alle forze dell'ordine per crimini informatici.
Ci sono organizzazioni nel Regno Unito che fungono da centri di segnalazione del crimine informatico e alcune offrono anche indicazioni per suggerimenti per la mitigazione e la prevenzione delle frodi.
Centro nazionale per la cibersicurezza (NCSC)
Sebbene il Regno Unito non disponga di un CERT (Computer Emergency Response Team) o di un CSIRT (Computer Security Incident Response Team) nazionale, l'NCSC svolge un ruolo significativo nell'informare e fornire supporto tecnico e linee guida alle aziende e alle organizzazioni del Regno Unito per la segnalazione di incidenti informatici.
L'NCSC, che fa parte del GCHQ (Government Communications Headquarters), ha un ruolo significativo nell'ambito dell'autorità tecnica per la sicurezza informatica che:
- Agisce come CSIRT che offre guida e supporto alle organizzazioni che hanno segnalato un incidente di sicurezza informatica
- Si impegna con i partner dell'UE in qualità di SPOC (Single Point of Contact) per la presentazione di statistiche annuali sugli incidenti di sicurezza informatica e il coordinamento delle richieste
- Fornisce consulenza agli operatori dei servizi essenziali e alle autorità competenti con conoscenze in materia di sicurezza informatica e competenze tecniche per i principi di sicurezza NIS, i quadri di valutazione informatica e le migliori pratiche
- Funge da organizzazione nazionale per la notifica delle violazioni e la segnalazione dei crimini informatici, fornendo indicazioni e procedure di risposta agli incidenti adeguate per il pubblico del Regno Unito
Il partenariato per la condivisione delle informazioni sulla cibersicurezza
La CiSP (Cybersecurity Information Sharing Partnership) è un'iniziativa finanziata dal governo che collabora con il National Cyber Security Centre in uno sforzo congiunto per scambiare informazioni sulle minacce informatiche in tempo reale con l'NCSC per aumentare la consapevolezza della criminalità informatica e ridurre al minimo le violazioni della sicurezza nel Regno Unito.
Il CiSP funge da servizio digitale che incoraggia i settori e le organizzazioni private del Regno Unito a collaborare con i settori governativi per prevenire il crimine informatico.
Passaggi pratici per la conformità normativa per le organizzazioni del Regno Unito
Per la conformità ai requisiti del GDPR, delle normative NIS e di altre leggi che impongono la sicurezza informatica e la protezione dei dati, le aziende del Regno Unito devono seguire queste istruzioni:
- Aggiorna regolarmente sistemi e software
- Utilizza password complesse che combinano lettere maiuscole e minuscole, numeri e simboli ed evita di utilizzare password duplicate
- Implementare la crittografia dell'intero disco sui propri sistemi
- Utilizzare il principio del privilegio minimo nei sistemi IT per migliorare la sicurezza dei privilegi di accesso per il personale e i dipendenti
- Creare e mantenere solidi piani di risposta agli incidenti e un piano di disaster recovery al fine di notificare il GDPR del Regno Unito e NIS entro le 72 ore richieste dopo un incidente informatico
- Scansiona regolarmente tutti i dati, le informazioni, i messaggi e gli allegati inviati e ricevuti
- Utilizzare una configurazione standard efficace per le apparecchiature e le risorse IT
- Mantieni l'inventario di tutte le apparecchiature IT, le risorse digitali e il software
- Riduci al minimo l'uso di dispositivi di archiviazione dati rimovibili come unità USB o dischi rigidi esterni per una migliore protezione dei dati contro uso improprio, perdite di dati e perdita di dati
- Installa firewall per garantire una rete sicura
- Utilizza l'intelligenza artificiale, l'apprendimento automatico e l'automazione per migliorare il rilevamento e l'identificazione degli endpoint, il processo di risposta agli incidenti e la strategia generale di sicurezza informatica dell'azienda
- Mantieni regolarmente audit e revisioni della sicurezza come scansioni delle vulnerabilità, gestione delle vulnerabilità e test di penetrazione
- Assicurati che l'accesso autorizzato ai dati importanti sia concesso esclusivamente ai dipendenti privilegiati se utilizzano i propri dispositivi per connettersi alle reti
- Quando si smaltiscono i dispositivi di archiviazione, creare criteri di cancellazione dei dati e seguire le best practice per l'eliminazione di tutti i dati per proteggersi dalle fughe di dati
- Implementare le policy interne aziendali per l'uso sicuro delle email e della navigazione web contro gli attacchi malevoli
- Implementare la formazione e le best practice dei dipendenti per aiutarli a identificare ransomware e minacce di furto di identità, nonché prevenire le violazioni dei dati che possono portare al furto di proprietà intellettuale
- Registra e monitora regolarmente l'uso di tutte le risorse digitali e dei sistemi IT
- Assicurati che tutto il personale addetto alla sicurezza informatica sia accreditato da un organismo di regolamentazione critico
- Sforzarsi di soddisfare e mantenere la conformità con gli organismi di regolamentazione come ISO 27001
- Assicurarsi che l'azienda utilizzi in modo efficace le risorse di sicurezza informatica valutando e valutando regolarmente tutti i vettori di attacco nel panorama delle minacce informatiche