Badan EU mesti meningkatkan kesediaan keselamatan siber mereka

Bilangan serangan siber ke atas badan EU meningkat dengan mendadak. Tahap
kesediaan keselamatan siber dalam badan EU berbeza-beza dan secara keseluruhannya tidak
bersesuaian dengan ancaman yang semakin meningkat. Memandangkan badan EU kuat
saling berkaitan, kelemahan dalam diri seseorang boleh mendedahkan orang lain kepada ancaman keselamatan.
Ini adalah kesimpulan laporan khas oleh Mahkamah Eropah
Juruaudit yang meneliti sejauh mana persediaan entiti pentadbir EU
terhadap ancaman siber. Juruaudit mengesyorkan bahawa keselamatan siber yang mengikat
peraturan harus diperkenalkan, dan jumlah sumber yang tersedia untuk
Pasukan Respons Kecemasan Komputer (CERT-EU) perlu ditingkatkan. The
Suruhanjaya Eropah juga harus menggalakkan kerjasama selanjutnya di kalangan EU
badan, juruaudit berkata, manakala CERT-EU dan Agensi Kesatuan Eropah untuk
Keselamatan siber harus meningkatkan tumpuan mereka pada badan EU yang mempunyai kurang
pengalaman dalam menguruskan keselamatan siber.*

Insiden keselamatan siber yang ketara dalam badan EU meningkat lebih daripada
sepuluh kali ganda antara 2018 dan 2021; kerja jauh telah meningkat dengan ketara
bilangan titik akses yang berpotensi untuk penyerang. Kejadian penting
biasanya disebabkan oleh serangan siber kompleks yang biasanya melibatkan penggunaan
kaedah dan teknologi baharu, dan boleh mengambil masa berminggu-minggu jika tidak berbulan-bulan
menyiasat dan pulih daripada. Satu contoh ialah serangan siber ke atas
Agensi Ubat Eropah, tempat data sensitif telah dibocorkan dan dimanipulasi
untuk melemahkan kepercayaan terhadap vaksin.

“*Institusi, badan dan agensi EU adalah sasaran menarik untuk potensi
penyerang, terutamanya kumpulan yang mampu melaksanakan yang sangat canggih
serangan senyap untuk pengintipan siber dan tujuan jahat yang lain*”, kata
Bettina Jakobsen, ahli ECA yang mengetuai audit. “*Serangan sedemikian boleh berlaku
implikasi politik yang ketara, menjejaskan reputasi keseluruhan EU,
dan menjejaskan kepercayaan terhadap institusinya. EU mesti meningkatkan usahanya untuk
melindungi organisasinya sendiri.*”

Penemuan utama juruaudit ialah institusi EU, badan dan
agensi tidak sentiasa dilindungi dengan baik daripada ancaman siber. Mereka tidak
mendekati keselamatan siber secara konsisten, kawalan penting dan kunci
amalan baik keselamatan siber tidak sentiasa ada, dan keselamatan siber
latihan tidak disediakan secara sistematik. Peruntukan sumber kepada
keselamatan siber berbeza-beza, dan beberapa badan EU sedang berbelanja
jauh lebih rendah daripada rakan sebaya. Walaupun perbezaan dalam
tahap keselamatan siber secara teorinya boleh dibenarkan oleh risiko yang berbeza
profil setiap organisasi dan tahap sensitiviti yang berbeza-beza bagi
data yang mereka kendalikan, juruaudit menekankan bahawa kelemahan keselamatan siber dalam a
badan tunggal EU boleh mendedahkan beberapa organisasi lain kepada keselamatan siber
ancaman (badan EU semuanya berhubung antara satu sama lain, dan selalunya kepada orang awam dan
organisasi swasta di Negara Anggota).

Pasukan Tindak Balas Kecemasan Komputer (CERT-EU) dan Kesatuan Eropah
Agensi untuk Keselamatan Siber (ENISA) ialah dua entiti utama EU yang ditugaskan
memberikan sokongan terhadap keselamatan siber. Namun, mereka belum mampu
menyediakan badan EU dengan semua sokongan yang mereka perlukan, disebabkan oleh sumber
kekangan atau keutamaan diberikan kepada bidang lain. Perkongsian maklumat adalah
juga kekurangan, juruaudit berkata: sebagai contoh, tidak semua badan EU membawa
membuat laporan tepat pada masanya tentang kelemahan dan keselamatan siber yang penting
kejadian yang telah memberi kesan kepada mereka dan boleh memberi kesan kepada orang lain.

Pada masa ini, tiada rangka kerja undang-undang untuk keselamatan maklumat dan
keselamatan siber dalam institusi, agensi dan badan EU. Mereka tidak tertakluk
kepada perundangan EU yang paling luas mengenai keselamatan siber, arahan NIS 2016, atau
kepada semakan yang dicadangkan, arahan NIS2. Tidak ada juga
maklumat menyeluruh tentang jumlah yang dibelanjakan oleh badan EU untuk
keselamatan siber. Peraturan umum mengenai keselamatan maklumat dan seterusnya
keselamatan siber untuk semua badan EU disertakan dalam komunikasi di EU
Strategi Kesatuan Keselamatan untuk tempoh 2020-2025, diterbitkan oleh
Suruhanjaya pada Julai 2020. Dalam Strategi Keselamatan Siber EU untuk Digital
Dekad, diterbitkan pada Disember 2020, Suruhanjaya berjanji untuk mencadangkan a
peraturan mengenai peraturan keselamatan siber biasa untuk semua badan EU. Ia juga
mencadangkan penubuhan asas undang-undang baharu untuk CERT-EU untuk diperkukuh
mandat dan pembiayaannya.

e>

Pengiklanan

Kongsi artikel ini: