Lista de leyes y regulaciones de ciberseguridad en el Reino Unido
El panorama de las amenazas digitales en el Reino Unido continúa evolucionando a medida que las empresas que experimentan una transición masiva hacia una mayor digitalización y migraciones basadas en la nube se ven obligadas a cambiar las operaciones de sus sistemas de TI.
Y lo que es más importante, las leyes y regulaciones del Reino Unido también deben adaptarse para garantizar que las empresas y organizaciones del Reino Unido trabajen para mejorar su postura de ciberseguridad y su infraestructura de TI para proteger la seguridad y la privacidad de los datos. Especialmente durante la era posterior al Brexit, las empresas deben garantizar el cumplimiento de las leyes y regulaciones de ciberseguridad más recientes del Reino Unido.
En este artículo, examinaremos las leyes y regulaciones de ciberseguridad más actuales en el Reino Unido, cómo cumplirlas, las sanciones y tarifas que imponen por incumplimiento, las medidas legislativas más recientes de las Regulaciones NIS y qué medidas pueden tomar las empresas del Reino Unido para proteger sus redes, datos y sistemas.
Lista de leyes y regulaciones de ciberseguridad en el Reino Unido
Si bien no existe una ley nacional principal de ciberseguridad, existen cuatro esquemas legislativos críticos que rigen la ciberseguridad, la privacidad de los datos y la protección de datos en el Reino Unido:
- DPA (Ley de Protección de Datos de 2018)
- UK-GDPR (Reglamento General de Protección de Datos del Reino Unido)
- Regulaciones NIS (Regulaciones de Seguridad de Redes e Información 2018)
- Ley de Uso Indebido de Computadoras de 1990
Si bien esas cuatro son las leyes más impactantes en materia de ciberseguridad en el Reino Unido, también cubriremos lo siguiente:
- Ley de Telecomunicaciones (Seguridad) de 2021
- Reino Unido eIDAS (Reglamento de Identificación Electrónica y Servicios de Confianza para Transacciones Electrónicas de 2016)
- PECR (Reglamento de Privacidad y Comunicaciones Electrónicas)
También existen otras regulaciones y marcos globales de ciberseguridad como PCI-DSS, NIST, SOX e HIPAA que muchas empresas y organizaciones del Reino Unido siguen activamente. Sin embargo, las empresas no están obligadas a seguirlas en virtud de la legislación del Reino Unido.
Conozca la diferencia entre una regulación y un marco cibernético >
DPA (Ley de Protección de Datos de 2018)
La Ley de Protección de Datos de 2018 (DPA 2018) es la principal ley del gobierno del Reino Unido sobre el procesamiento de datos personales en el Reino Unido, que se aplica junto con el GDPR del Reino Unido. Sirve como un marco de protección de datos que regula todos los aspectos de cómo las empresas, organizaciones y organismos gubernamentales controlan y procesan los datos personales.
Debido a que el Reino Unido todavía se considera un estado miembro de la UE en la era posterior al Brexit, muchas de sus empresas todavía están sujetas al GDPR. Sin embargo, el Reino Unido creó su propia versión del GDPR para adaptarse mejor a sus leyes nacionales, llamada UK-GDPR.
La DPA 2018 exige que todos los controladores de datos del Reino Unido (empresas y organizaciones que controlan el procesamiento de datos personales) implementen y mantengan medidas de seguridad adecuadas para salvaguardar los datos personales. Más concretamente, se aplica a las empresas que suelen procesar datos y registros de clientes.
¿Es obligatorio el cumplimiento del DPA 2018?
Sí. Todas las empresas sujetas a la Ley de Protección de Datos de 2018 deben contar con las medidas adecuadas para salvaguardar datos como la información de identificación personal (PII), los registros médicos y los datos de los clientes.
Además, los procesadores de datos deben informar de las violaciones de datos y los incidentes cibernéticos a las autoridades pertinentes en un plazo de 72 horas sin demora indebida, informar al controlador de la violación de datos, así como informar a todos los involucrados en la violación de datos.
¿Cuáles son las sanciones por incumplimiento de DPA 2018?
Si las organizaciones del Reino Unido no cumplen con la DPA 2018, pueden ser multadas con hasta 17,5 millones de libras esterlinas o el 4% de la facturación global anual.
Además, en virtud del Reglamento de Protección de Datos (Cargos e Información) de 2018, los responsables del tratamiento que tratan datos personales están obligados a pagar una tasa anual de protección de datos a la Oficina del Comisionado de Información (ICO), en función del tamaño y la facturación de la empresa.
Cómo funciona la Ley de Protección de Datos junto con el RGPD del Reino Unido
La Ley de Protección de Datos de 2018 complementa e incorpora los esfuerzos de protección de datos del RGPD a la ley de protección de datos del Reino Unido. Tanto el UK-GDPR como el DPA 2018 trabajan juntos para regular la protección de datos y la privacidad de datos en el Reino Unido.
Tanto el UK-GDPR como el DPA 2018 requieren que todas las empresas, organizaciones y entidades gubernamentales del Reino Unido implementen fuertes medidas de ciberseguridad para salvaguardar adecuadamente los datos personales que recopilan y procesan y minimizar las violaciones de seguridad.
Si bien la Ley de Protección de Datos de 2018 se aplica a todas las empresas del Reino Unido que controlan el procesamiento de datos personales, el GDPR se aplica a aquellas que procesan datos personales en nombre de los controladores.
Los delitos cibernéticos cubiertos por la DPA 2018 incluyen la destrucción, falsificación, uso ilegal u obtención ilegal de datos personales, así como la alteración de la información para evitar la divulgación al interesado.
La DPA 2018 garantiza que las personas del Reino Unido tengan la libertad de ser informadas sobre cómo las organizaciones y los organismos gubernamentales del Reino Unido utilizan sus datos, y pueden solicitar que los datos se eliminen, actualicen o reutilicen u oponerse a la forma en que se procesan.
UK-GDPR (Reglamento General de Protección de Datos del Reino Unido)
El UK-GDPR (Reglamento General de Protección de Datos) es la regulación de seguridad de datos del Reino Unido que se adapta y complementa la Ley de Protección de Datos de 2018. También siguiendo el modelo del RGPD de la UE, rige y regula cómo las organizaciones y empresas del Reino Unido recopilan, almacenan, utilizan y procesan datos personales.
Antes del Brexit, las regulaciones de manejo de datos eran parte del GDPR de la UE bajo la jurisdicción del EAA (Espacio Económico Europeo). Aunque hoy en día el Reino Unido no está afiliado a las políticas europeas, reutiliza los mismos componentes de la regulación con ligeros ajustes y modificaciones para adaptarse a las leyes nacionales del Reino Unido.
El reglamento UK-GDPR se aplica a todos los países del Reino Unido (Inglaterra, Escocia, Gales e Irlanda del Norte) y obliga a las empresas a proteger todos los datos personales permitiendo solo que terceras entidades accedan a los datos personales que estén "sujetas a garantías suficientes que impliquen la seguridad de los servicios de procesamiento". ”
Además, la DGPR del Reino Unido protege los derechos de los interesados (personas cuyos datos se conservan, según la Ley de Protección de Datos de 2018) para controlar cómo se manejan sus datos.
El RGPD del Reino Unido reconoce siete principios fundamentales sobre cómo las organizaciones procesan los datos personales:
- Licitud, equidad y transparencia
- Limitación de la finalidad
- Minimización de datos
- Exactitud
- Limitación de almacenamiento
- Integridad y confidencialidad (seguridad)
- Responsabilidad
La normativa del RGPD del Reino Unido obliga a las empresas a almacenar, gestionar y procesar los datos de los ciudadanos del Reino Unido de forma que se cumplan los requisitos de los principios.
>Lea aquí para obtener más información sobre los siete principios y cómo ayudan con el cumplimiento.
¿Es obligatorio el cumplimiento del RGPD del Reino Unido?
Todas las organizaciones y empresas del Reino Unido que participen en la recopilación, el manejo, el almacenamiento o el procesamiento de datos personales/privados de todas las entidades del Reino Unido deben cumplir con el RGPD del Reino Unido.
El RGPD del Reino Unido se aplica a las organizaciones del Reino Unido que son procesadores y controladores de datos personales y están obligadas a implementar medidas de seguridad para salvaguardar los datos personales, según lo recomendado por las directrices del RGPD del Reino Unido.
Uno de los principales pasos para lograr el cumplimiento del RGPD del Reino Unido, así como el cumplimiento de la DPA, es:
- Adherirse a los siete principios del procesamiento de datos
- Crear una política de seguridad de TI para cumplir con los requisitos de seguridad del RGPD
- Implementar conceptos sólidos de protección de datos
- Mantener una política de privacidad clara, completa y adecuada
¿Cuáles son las sanciones por incumplimiento del RGPD del Reino Unido?
Las organizaciones que incumplan con el GDPR del Reino Unido pueden ser penalizadas con una multa máxima de hasta 17,5 millones de libras esterlinas (20 millones de euros) o el 4% de su facturación anual total (lo que sea mayor). Las empresas pueden ser multadas incluso si no se ven afectadas por un ataque cibernético o una violación de datos si no implementan los estándares de seguridad adecuados para la accesibilidad de los datos de terceros.
Normativa NIS (Redes y Sistemas de Información)
Una de las piezas clave de la legislación de ciberseguridad en el Reino Unido es la Regulación de Redes y Sistemas de Información (NIS) de 2018, que se transpuso de la Directiva de Ciberseguridad de la UE antes del Brexit.
El mandato principal de los Reglamentos NIS es "detectar y gestionar las amenazas a la seguridad de las redes y los sistemas de información de manera aceptable y proporcionada. ”
Si bien el enfoque principal es la ciberseguridad, también incluye la regulación de amenazas no cibernéticas como cortes de energía, eventos disruptivos o fallas de red causadas por desastres ambientales.
La normativa ofrece medidas legales e impone obligaciones de ciberseguridad para:
- Proveedores de servicios digitales pertinentes (proveedores de servicios de computación en la nube y proveedores de mercados en línea)
- Operadores de servicios esenciales (OES: atención médica, energía, transporte e infraestructura y otros servicios públicos)
Estos proveedores de servicios están obligados a cumplir los requisitos de ciberseguridad y registrarse ante las autoridades competentes pertinentes.
De manera similar al UK-GDPR y DPA 2018, los proveedores de servicios también deben informar de incidentes significativos de ciberseguridad a las autoridades y reguladores pertinentes como la Ofcom (Oficina de Comunicaciones, Ofgem (Oficina de Mercados de Gas y Electricidad) y la ICO, sin demora indebida.
¿Es obligatorio el cumplimiento de la normativa NIS?
Sí. Todos los OES y RDSP del Reino Unido deben cumplir con las regulaciones NIS.
Para cumplir con las regulaciones NIS, todos los OES y DSP del Reino Unido deben implementar medidas de ciberseguridad adecuadas y programas de resiliencia cibernética que incluyan:
- Implementar medidas de ciberseguridad adecuadas y sólidas,
- Cree planes de respuesta a incidentes e informe de todos los incidentes a los operadores pertinentes
- Llevar a cabo evaluaciones de riesgos
- Enfoque en la gestión de la continuidad del negocio
- Mantener la supervisión de la ciberseguridad
- Auditorías periódicas
- Pruebas de penetración periódicas y gestión de vulnerabilidades
- El cumplimiento de las normas internacionales pertinentes como ISO 27001, ISO 27035, PCI-DSS e HIPAA, cuando corresponda, también puede proporcionar las bases para el cumplimiento de la NIS
¿Cuáles son las sanciones por incumplimiento de la normativa NIS?
Las regulaciones de los NEI se aplican mediante la imposición de multas severas, y el incumplimiento va seguido de sanciones financieras. Cualquier OES y RDSP del Reino Unido que no cumpla con los requisitos puede enfrentar una multa de hasta £ 17.5 millones (€ 19 millones) o el 4% de la facturación global anual (lo que sea mayor).
¿Cuál es la diferencia entre la normativa NIS y el RGPD?
Mientras que el Reglamento NIS solo regula la seguridad de los sistemas de información para los proveedores de servicios digitales (RDSP) y los operadores de servicios esenciales (OES) relevantes, el RGPD se aplica a todas las organizaciones que manejan datos personales.
La buena noticia es que muchas de las disposiciones de la Directiva y los Reglamentos NIS son coherentes con el RGPD del Reino Unido. Las organizaciones del Reino Unido que cumplen con el RGPD del Reino Unido también pueden cumplir simultáneamente con los requisitos que se encuentran junto con las Regulaciones NIS.
Ley de Uso Indebido de Computadoras de 1990
La Ley de Uso Indebido de Computadoras de 1990 es la principal ley de ciberseguridad que regula la relación digital del Reino Unido entre individuos y partes malintencionadas. Se aplica directamente con la Ley de Protección de Datos de 2018 y el GDPR del Reino Unido, que protegen los datos personales de los residentes del Reino Unido.
Diseñada principalmente en 1990 para proteger las centrales telefónicas, la Ley de Uso Indebido de Computadoras de 1990 también persigue a los delincuentes por el acceso no autorizado a las computadoras con el fin de modificar, eliminar o manipular datos, así como por delitos cibernéticos maliciosos y ataques cibernéticos como ransomware y ataques DDoS.
Esto incluye a los ciberdelincuentes que han cometido un delito cibernético en el Reino Unido o a los ordenadores que se encuentran en el Reino Unido. La información a la que accede ilegalmente un ciberdelincuente no tiene por qué ser necesariamente PII (información de identificación personal) que los ciberdelincuentes utilizan para cometer fraude de identidad o robo de identidad.
Según lo declarado por los CPS (Servicios de Fiscalía de la Corona), una "computadora" se refiere a dispositivos como teléfonos inteligentes, tabletas y otros dispositivos, además de las computadoras de escritorio personales, que almacenan, recuperan y procesan información y datos confidenciales.
Sobre el Hacking Ético
El desafío más común que plantean las medidas legales de la Ley de Uso Indebido de Computadoras de 1990 es la regulación de la piratería ética, que técnicamente es ilegal según la ley porque define todo acceso no consensuado al sistema como un delito, independientemente de los beneficios de la ciberseguridad.
La Ley de Uso Indebido de Computadoras de 1990 tiene más de 30 años y, aunque ha sido enmendada desde entonces, las organizaciones y empresas del Reino Unido creen que inhibe involuntariamente el trabajo de los piratas informáticos éticos.
Los investigadores de ciberseguridad, los analistas de amenazas cibernéticas y los probadores de penetración enfrentan dificultades para operar dentro del alcance de la regulación. La ley puede beneficiarse de secciones actualizadas que ilustren mejor la diferencia entre piratería ética y maliciosa.
Si bien los equipos de ciberseguridad no tienen mucho espacio para realizar hacking ético bajo esta ley, no existen casos de equipos de ciberseguridad del Reino Unido que hayan sido penalizados por hacking ético.
¿Es obligatorio el cumplimiento de la Ley de Uso Indebido de Computadoras de 1990?
La Ley de Uso Indebido de Computadoras de 1990 persigue a los ciberdelincuentes si cometen las siguientes actividades ilegales:
- Obtener acceso no autorizado a los datos e información confidencial de una computadora con intenciones maliciosas y sin permiso
- El uso intencional de computadoras para cometer un delito o dañar a otros.
- La modificación, eliminación, manipulación o rescate de datos personales a través de malware y virus
- Complacencia y ayuda al uso indebido de la computadora mediante la creación u obtención de información para realizar otros delitos cibernéticos.
¿Cuáles son las sanciones por incumplimiento de la Ley de Uso Indebido de Computadoras de 1990?
Las multas y penas de prisión por infringir la ley en virtud de la Ley de Uso Indebido de Computadoras de 1990 varían, pero generalmente incluyen lo siguiente:
- multa de 5.000 libras esterlinas o una condena de seis meses por acceso no autorizado o uso malintencionado de datos;
- Multa ilimitada o pena de cinco años de prisión por intención de cometer delitos informáticos;
- Multa ilimitada o una sentencia de prisión de cinco años por la modificación, manipulación maliciosa, eliminación y rescate de datos
- Multa ilimitada o una sentencia de prisión de 10 años por complacencia y ayudar en el uso indebido de la computadora
Ley de Telecomunicaciones (Seguridad) de 2021
La Ley de Telecomunicaciones (Seguridad), que entró en vigor en noviembre de 2021 (se espera su plena implementación para marzo de 2024), es una ley estricta y completa que regula la seguridad de la red contra los ciberataques de todos los operadores de telefonía móvil en el Reino Unido.
Las nuevas regulaciones se modifican después de la Ley de Comunicaciones de 2003, y son aplicadas y formuladas por Ofcom con la ayuda y el aporte del Centro Nacional de Seguridad Cibernética.
Esta ley abarca la forma en que los proveedores de telecomunicaciones adquieren infraestructura y servicios como las redes 5G y los incentivos para proteger el software, el equipo y los datos procesados por las redes y servicios.
La Ley de Telecomunicaciones (Seguridad) comprende:
- Cómo los CSP (proveedores de servicios de comunicación) supervisan la actividad y el acceso;
- Cómo supervisan las inversiones en seguridad y protección de datos;
- Cómo los proveedores de servicios informan a las partes interesadas sobre violaciones de datos o incidentes cibernéticos.
¿Es obligatorio el cumplimiento de la Ley de (Seguridad) de Telecomunicaciones?
El cumplimiento de la Ley de Telecomunicaciones (Seguridad) del Reino Unido es obligatorio para los proveedores de servicios de comunicaciones (CSP).
La ley exige a los CSP:
- Minimice los riesgos de ciberseguridad
- Salvaguardar la información que manejan sus redes
- Concéntrese en los riesgos de la cadena de suministro y maneje quién tiene acceso a sus redes y servicios
- Informar de inmediato al regulador en caso de violaciones de la ciberseguridad
- Proteger la monitorización y el análisis de hardware y software de su red y servicios
- Mejorar su capacidad para comprender e identificar anomalías de ciberseguridad e informar sobre cualquier actividad inusual
¿Cuáles son las sanciones por incumplimiento de la Ley de Telecomunicaciones (Seguridad)?
El incumplimiento de la Ley de Telecomunicaciones (Seguridad) significa que los operadores móviles y los proveedores de servicios de banda ancha del Reino Unido pueden enfrentarse a multas de 117.000 libras esterlinas al día o el 10% de los ingresos anuales, que es aplicada por Ofcom.
Reino Unido eIDAS (Reglamento de Identificación Electrónica y Servicios de Confianza para Transacciones Electrónicas de 2016)
El Reglamento eIDAS, o Reglamento de Identificación Electrónica y Servicios de Confianza para Transacciones Electrónicas, cubre los servicios del Reino Unido que verifican la identidad y las empresas de los ciudadanos del Reino Unido en línea, así como la autenticidad de sus registros y documentos electrónicos.
El Reglamento eIDAS es un marco legal que describe los requisitos para que los proveedores de servicios de confianza en relación con las firmas electrónicas, los sellos de tiempo, los documentos digitales y los servicios de certificación alcancen un estatus cualificado como proveedor de servicios de confianza. Tener un certificado de servicio de confianza demuestra que la empresa tiene buena reputación y que los clientes pueden confiar en ella con la autenticidad y verificación de sus datos electrónicos.
Según el Reglamento eIDAS, los proveedores de servicios de confianza del Reino Unido deben implementar medidas organizativas para la gestión de riesgos de ciberseguridad con el fin de minimizar el impacto de los incidentes de seguridad en caso de violación del esquema de identificación electrónica.
Si bien estos son los documentos de ENISA (Agencia de la Unión Europea para la Seguridad de las Redes y de la Información) como parte del Reglamento eIDAS de la UE, también representan un recurso aplicable para el cumplimiento de eIDAS en el Reino Unido.
Lea aquí para obtener más información sobre las pautas y recomendaciones sobre el cumplimiento del Reglamento eIDAS.
¿Es obligatorio el cumplimiento del eIDAS del Reino Unido?
Los proveedores de servicios de confianza deben informar de todas las infracciones cibernéticas y notificar a un ICO (Comisionado de Información) designado en un plazo de 24 horas, así como a todas las partes afectadas.
El Comisionado de Información actúa como entidad de aplicación y supervisor que lleva a cabo auditorías y puede revocar y conceder el estatus de servicio de confianza cualificado para todos los proveedores de servicios del Reino Unido que estén cubiertos por el Reglamento eIDAS.
¿Cuáles son las sanciones por incumplimiento de eIDAS en el Reino Unido?
Si un proveedor de servicios de confianza no cumple con un aviso de aplicación/evaluación/información de eIDAS del Reino Unido por parte de la ICO, puede ser penalizado con multas de hasta 17,5 millones de libras esterlinas o el 4% de su facturación anual total en todo el mundo.
PECR (Reglamento de Privacidad y Comunicaciones Electrónicas)
El Reglamento de Privacidad y Comunicaciones Electrónicas (Directiva CE) de 2003 (PECR) es la ley del Reino Unido para redes y servicios de comunicaciones electrónicas en línea con la Ley de Protección de Datos y el GDPR del Reino Unido, que regula los derechos de privacidad con respecto a las comunicaciones electrónicas.
PECR desempeña un papel importante en el mantenimiento de la seguridad de los servicios de comunicación del Reino Unido, la privacidad del cliente y los datos de ubicación, y también penaliza la transmisión de mensajes de marketing automatizados y grabados por teléfono, correo electrónico, fax o texto sin el consentimiento del suscriptor. Además, también regula el uso de cookies de seguimiento.
Los requisitos de PECR se aplican solo a organizaciones, redes y proveedores de servicios que ofrecen servicios de comunicaciones electrónicas como correo electrónico, mensajes de texto, fax y marketing telefónico, utilizan cookies y compilan directorios telefónicos.
PECR funciona en conjunto con el GDPR del Reino Unido y utiliza el estándar de consentimiento del GDPR del Reino Unido. Las empresas que utilizan cookies de seguimiento o trabajan con marketing electrónico deben cumplir tanto con el RGPD del Reino Unido como con el PECR, y la superposición de los requisitos de privacidad de datos de ambas regulaciones significa que las empresas que cumplen con el PECR también pueden cumplir con los requisitos del RGPD del Reino Unido.
¿Es obligatorio el cumplimiento de PECR?
Sí, el cumplimiento de la PECR es obligatorio. Las empresas que no cumplan serán penalizadas por la ICO.
Para cumplir con el PECR, las empresas deben:
- Informar a sus clientes y usuarios de que utilizan cookies y explicar por qué se utilizan.
- Notifique a la ICO y a todas las partes afectadas en caso de una violación de datos dentro de las 24 horas posteriores a la detección, y mantenga un registro
- Solicitar el consentimiento del cliente para las cookies de seguimiento
- Especifique cuánto tiempo estarán en uso las cookies.
¿Cuáles son las sanciones por incumplimiento de PECR?
Las empresas y organizaciones que no cumplen con los requisitos de PECR se enfrentan a auditorías y a la aplicación de la ley no penal. Los infractores frecuentes pueden ser sancionados por el Comisionado de Información con una multa de hasta 500.000 libras esterlinas o un proceso penal.
Denuncia de delitos cibernéticos en el Reino Unido
Tanto si se trata de un delito menor, como una fuga de datos involuntaria, como de un delito cibernético grave, como la piratería, todos los delitos cibernéticos en el Reino Unido deben denunciarse a los respectivos centros de denuncia y a las agencias de aplicación de la ley para el ciberdelito.
Hay organizaciones en el Reino Unido que sirven como centros de informes de delitos cibernéticos, y algunas también ofrecen orientación para consejos de mitigación y prevención del fraude.
Centro Nacional de Seguridad Cibernética (NCSC)
Si bien el Reino Unido no tiene un CERT (equipo de respuesta a emergencias informáticas) o CSIRT (equipo de respuesta a incidentes de seguridad informática), el NCSC desempeña un papel importante en la información y la prestación de apoyo técnico y directrices a las empresas y organizaciones del Reino Unido para informar sobre incidentes cibernéticos.
El NCSC, que forma parte del GCHQ (Government Communications Headquarters), tiene un papel importante en la autoridad técnica para la ciberseguridad que:
- Actúa como un CSIRT que ofrece orientación y apoyo a las organizaciones que han informado de un incidente de ciberseguridad
- Se relaciona con los socios de la UE como SPOC (punto de contacto único) para presentar estadísticas anuales de incidentes de ciberseguridad y coordinar solicitudes.
- Asesora a los operadores de servicios esenciales y a las autoridades competentes con conocimientos de ciberseguridad y experiencia técnica en los principios de seguridad de los SRI, los marcos de evaluación cibernética y las mejores prácticas
- Sirve como la organización nacional de notificación de infracciones y denuncia de delitos cibernéticos, proporcionando orientación y procedimientos adecuados de respuesta a incidentes para el público del Reino Unido
La Asociación para el Intercambio de Información sobre Ciberseguridad
El CiSP (Cybersecurity Information Sharing Partnership) es una iniciativa financiada por el gobierno que trabaja junto con el Centro Nacional de Seguridad Cibernética en un esfuerzo conjunto para intercambiar información sobre amenazas cibernéticas en tiempo real con el NCSC para aumentar la conciencia sobre el delito cibernético y minimizar las violaciones de seguridad en el Reino Unido.
El CiSP sirve como un servicio digital que alienta a los sectores y organizaciones privadas del Reino Unido a trabajar junto con los sectores gubernamentales para prevenir el cibercrimen.
Pasos prácticos para el cumplimiento normativo para organizaciones del Reino Unido
Para cumplir con los requisitos del GDPR, las regulaciones NIS y otras leyes que exigen ciberseguridad y protección de datos, las empresas del Reino Unido deben seguir estas instrucciones:
- Actualizar regularmente los sistemas y el software
- Utilice contraseñas seguras que combinen letras mayúsculas y minúsculas, números y símbolos, y evite el uso de contraseñas duplicadas
- Implementar el cifrado de disco completo en sus sistemas
- Utilizar el principio de privilegios mínimos en los sistemas de TI para mejorar la seguridad de los privilegios de acceso para el personal y los empleados
- Crear y mantener planes sólidos de respuesta a incidentes y un plan de recuperación ante desastres para notificar al RGPD del Reino Unido y al NIS dentro de las 72 horas requeridas después de un incidente cibernético.
- Escanee regularmente todos los datos, información, mensajes y archivos adjuntos enviados y recibidos
- Utilice una configuración estándar eficaz para los equipos y activos de TI
- Mantener el inventario de todos los equipos de TI, activos digitales y software
- Minimice el uso de dispositivos de almacenamiento de datos extraíbles, como unidades USB o discos duros externos, para mejorar la protección de los datos contra el uso indebido, las fugas de datos y la pérdida de datos
- Instale firewalls para garantizar una red segura
- Utilice la IA, el aprendizaje automático y la automatización para mejorar la detección e identificación de endpoints, el proceso de respuesta a incidentes y la estrategia general de ciberseguridad de la empresa
- Mantenga periódicamente auditorías de seguridad y revisiones de seguridad, como análisis de vulnerabilidades, gestión de vulnerabilidades y pruebas de penetración.
- Asegúrese de que el acceso autorizado a los datos importantes solo se otorgue a los empleados privilegiados si utilizan sus propios dispositivos para conectarse a las redes
- Al deshacerse de los dispositivos de almacenamiento, cree políticas de borrado de datos y siga las prácticas recomendadas para eliminar todos los datos a fin de protegerse contra fugas de datos
- Implementar políticas internas de la empresa para el uso seguro de los correos electrónicos y la navegación web contra ataques maliciosos
- Implemente la capacitación y las mejores prácticas de los empleados para ayudarlos a identificar el ransomware y las amenazas de robo de identidad, así como para prevenir violaciones de datos que puedan resultar en el robo de propiedad intelectual.
- Registre y supervise regularmente el uso de todos los activos digitales y sistemas de TI
- Asegúrese de que todo el personal de ciberseguridad esté acreditado por un organismo regulador crítico
- Esfuércese por cumplir y mantener el cumplimiento de organismos reguladores como ISO 27001
- Asegúrese de que la empresa utilice eficazmente los recursos de ciberseguridad mediante la evaluación periódica de todos los vectores de ataque en el panorama de amenazas cibernéticas.