Главный ученый NCC Group Крис Анли сегодня выступил перед Комитетом Парламента Великобритании по Закону о кибербезопасности и устойчивости (в отношении сетей и информационных систем), заседая вместе с представителями Cisco, Darktrace и Amazon.
Закон о кибербезопасности и устойчивости призван коренным образом пересмотреть британские правила в сфере кибербезопасности, ужесточив требования к безопасности и отчетности, с которыми сталкиваются критически важные организации, а также распространить действие правил NIS Великобритании на тысячи новых компаний, включая поставщиков управляемых услуг, провайдеров услуг по повышению гибкости энергосистем и центры обработки данных.
Приглашенный в Парламент в качестве эксперта-свидетеля, Крис подчеркнул, что, судя по собственным оценкам воздействия правительства, в настоящее время в сферу действия Закона попадает лишь 0,1% британского частного сектора — «одна сотая верхушки айсберга». Он заявил, что для эффективного обеспечения безопасности Великобритании потребуется подход, охватывающий всю экономику в целом. Он должен включать стимулирование дальнейшего внедрения таких схем, как Cyber Essentials и Британский кодекс практики безопасности программного обеспечения — добровольная схема, используемая организациями для усиления безопасности цепочки поставок программного обеспечения, амбассадором которой NCC Group была недавно объявлена.
Переходя к самому Закону, Крис призвал правительство опубликовать проект подзаконных актов и руководящих принципов как можно раньше, чтобы обеспечить ясность для индустрии в преддверии их реализации. Он также предупредил, что новые обязательства Закона по отчетности усугубляют «и без того сложную ситуацию», при которой британские организации вынуждены сообщать об одном и том же инциденте кибербезопасности несколько раз. Он призвал создать единую точку контакта и установить единые сроки отчетности, отметив, что, хотя это может звучать амбициозно, Австралия уже внедрила такую систему, а ЕС добивается аналогичной оптимизации с помощью своего цифрового пакета Digital Omnibus.
Крис также призвал депутатов использовать принятие Закона как «золотую возможность» для реформации Закона о злоупотреблениях в сфере компьютерной информации (Computer Misuse Act). Он пояснил, что специалисты по кибербезопасности в настоящее время рискуют подвергнуться уголовному преследованию при выполнении законных защитных действий, таких как выявление инфраструктуры управления программами-вымогателями. Он выразил поддержку предлагаемой кампанией CyberUp юридической защите, основанной на четырех принципах обеспечения безопасности, утверждая, что такая реформа одновременно защитит защитников и сохранит целостность закона.
Наконец, Крис отметил преимущества британской модели секторального регулирования, утверждая, что регуляторы, надзирающие за секторами, где преобладает операционная технология (OT), могут устанавливать адаптированные меры, которые лучше защищают эти среды. Подход «один размер для всех», предупредил он, рискует оставить критически важные OT-системы более уязвимыми к успешным атакам.
