Правительство работает над повышением киберустойчивости всей экономики Великобритании и обеспечением предприятий и организаций инструментами и поддержкой для защиты от киберугроз.

Великобритания имеет ведущую в мире репутацию в области передовых технологий, что подкрепляется инновационным подходом к регулированию технологий.

Департамент науки, инноваций и технологий (DSIT) продвигает инновации, которые позволят улучшить государственные услуги, создать новые более высокооплачиваемые рабочие места и способствовать развитию экономики.

Открытый запрос доказательств

Кодекс практики киберуправления: запрос мнений

От: Департамент науки, инноваций и технологий и виконт Камроуз
Опубликовано: 23 января 2024 г.

Запросить описание доказательств

Подавляющее большинство организаций в Великобритании полагаются на цифровые технологии для ведения бизнеса. По мере роста цифровой экономики растут и киберугрозы, которые сейчас представляют собой основной риск для многих компаний. Поэтому правительство публикует проект Кодекса практики киберуправления, чтобы помочь предприятиям и организациям управлять киберрисками, с которыми они сталкиваются.

Кодекс определяет важнейшие области управления, которыми директора должны заниматься, чтобы защитить свои организации. Кодекс прост в использовании, вся соответствующая информация собрана в одном месте. Это для организаций любого размера.

Правительство хочет получить мнения по проекту Кодекса и приглашает дать ответы до 23:59 вторника, 19 марта 2024 года .

Прочтите сообщение в прессе об этом призыве к доказательствам .

Чтобы узнать больше о политике правительства в этой области, посетите раздел киберустойчивости .

Эта работа является частью Национальной киберстратегии правительства стоимостью 2,6 миллиарда фунтов стерлингов по защите и продвижению Великобритании в Интернете.

Документы

Кодекс практики киберуправления: запрос мнений

HTML

Уведомление о конфиденциальности для запроса мнений по киберуправлению

HTML

Способы реагирования

Ответить онлайн

или

Электронная почта по адресу:

cybersecurity@dsit.gov.uk

Написать в:

Призыв к участию в программе «Киберуправление»
Зона 4/48
Департамент науки, инноваций и технологий
100 Парламентская улица
Лондон
SW1A 2BQ

Опубликовано 23 января 2024 г.

Открытый запрос доказательств

Кодекс практики киберуправления: запрос мнений

Опубликовано 23 января 2024 г.

Предисловие: Виконт Камроуз

Великобритания имеет ведущую в мире репутацию в области передовых технологий, что подкрепляется инновационным подходом к регулированию технологий. Поскольку цифровая экономика продолжает расти экспоненциальными темпами, растет зависимость общества и глобальная взаимосвязь. Это создает преимущества, но также и проблемы. Мы знаем, что злоумышленники представляют значительную угрозу, стремясь извлечь выгоду из возможностей использования уязвимостей кибербезопасности в цифровых системах, нарушая непрерывность бизнеса и нанося экономический ущерб.

Растущее использование в организациях новых технологий, таких как искусственный интеллект, повысило важность и необходимость действий директоров по управлению их внедрением, использованию своих полномочий для извлечения выгоды из преимуществ, которые они предоставляют, при этом надлежащим образом управляя и снижая риски. . Эффективное управление рисками цифровой и кибербезопасности не только имеет основополагающее значение для построения безопасной и цифровой экономики, но и является неотъемлемой частью непрерывности бизнеса и конкурентоспособности организаций. Поэтому советы директоров и директора должны придавать такое же значение управлению киберрисками, как и другим основным рискам.

Великобритания берет на себя ведущую роль в технологиях, жизненно важных для того, чтобы стать кибердержавой, одновременно укрепляя устойчивость на национальном и организационном уровне для подготовки к кибератакам, реагирования на них и восстановления после них. Именно поэтому, опираясь на инвестиции в размере 2,6 миллиарда фунтов стерлингов, Национальная киберстратегия правительства определяет, как мы строим процветающую и устойчивую цифровую Великобританию, которая будет способствовать повышению стандартов киберустойчивости.

Организации обязаны принимать меры по управлению своими собственными киберрисками, но для того, чтобы сделать это приоритетом, необходимы более сильные механизмы подотчетности и надлежащего управления на уровне совета директоров. Это требует от советов директоров и директоров организаций всех размеров охвата, взаимодействия и понимания кибербезопасности в своих организациях. Именно в этом контексте правительство считает, что устойчивость бизнеса и кибербезопасность неразрывно связаны. Пренебрегая базовыми принципами кибербезопасности и не понимая кибербезопасности в более широком контексте устойчивости бизнеса, многие руководители высшего звена не могут принять ответственные меры по снижению угроз бизнес-операциям.

Поэтому я рад представить этот призыв к выработке мнений по Кодексу практики киберуправления, который поможет директорам повысить киберустойчивость. Этот кодекс является результатом широкого взаимодействия с организациями, которые ежедневно управляют бизнес-рисками и консультируют их по вопросам, и был разработан совместно с лидерами отрасли и техническими экспертами Национального центра кибербезопасности. Я хотел бы официально выразить свою благодарность и признательность тем, кто в последние месяцы так щедро жертвовал своим временем, помогая разработать проект кодекса, который вы сейчас видите перед собой.

Кодекс фокусируется на наиболее важных областях, которыми должны заниматься лидеры, формируя простые, ориентированные на действия руководства, облегчающие директорам понимание того, какие действия следует предпринять. Это неотъемлемый шаг в оказании поддержки советам директоров и старшим руководителям в улучшении ответственности за свои киберриски.

Ваше участие в вопросах этого опроса поможет правительству разработать планы по построению более безопасной и процветающей Великобритании. Я призываю принять участие все организации, заинтересованные в корпоративном управлении, управлении киберрисками, взаимодействии с советами директоров и киберустойчивости. Мы приветствуем мнения представителей всех секторов и размеров бизнеса. От ученых, организаций без формализованных советов до организаций, которые обеспечивают или передают на аутсорсинг кибербезопасность, и других заинтересованных сторон.

Я с нетерпением жду продолжения дискуссий о том, как правительству и промышленности следует расставить приоритеты в усилиях по укреплению киберустойчивости экономики Великобритании. Заранее благодарю вас за ваш вклад в этот жизненно важный аспект нашей национальной безопасности.

Виконт Камроуз

Парламентский заместитель государственного секретаря

Департамент науки, инноваций и технологий

Введение

Подавляющее большинство организаций в Великобритании полагаются на цифровые технологии для создания и ведения бизнес-операций. По мере роста цифровой экономики растут и риски кибербезопасности, которые являются основным риском для многих компаний. Расширение цифровых операций дает злоумышленникам возможность использовать уязвимости в ИТ-системах и нарушать непрерывность бизнеса. Сейчас организации больше, чем когда-либо прежде, подвергаются риску разрушения и страданий как от злонамеренных, так и от случайных материальных происшествий.

Эта относительно новая среда риска динамична и более динамична, чем традиционные бизнес-риски. Риск кибербезопасности сталкивается с мультипликативным эффектом: (i) темпов, с которыми предприятия оцифровывают и преобразуют операции, (ii) растущей взаимосвязанности цифровых цепочек поставок, (iii) меняющегося ландшафта угроз, которым государственные и негосударственные субъекты стремятся воспользоваться новые уязвимости, созданные ростом цифровизации и взаимосвязанности. Ситуация еще больше усложняется быстро развивающимся набором нормативно-правовой базы внутри страны и на международном уровне.

Киберинциденты могут иметь серьезные последствия для организаций любого размера, как в краткосрочной, так и в долгосрочной перспективе: от остановки бизнеса и ущерба репутации до паралича программами-вымогателями и невозможности финансового восстановления. Как объяснил Дэвид Рэссипур в Forbes 2023, «киберриск — это уже не просто проблема ИТ, это критическая уязвимость, которая напрямую влияет на здоровье коллективного предприятия».

Учитывая его влияние и существенность на непрерывность бизнеса и конкурентоспособность, киберриски должны иметь такое же значение, как финансовые или юридические риски. В сегодняшней экономике и обществе, которые становятся все более зависимыми от цифровых технологий, директорам следует объединить управление киберрисками с существующими практиками устойчивости бизнеса и управления рисками. Это требует, чтобы советы директоров и директора организаций всех размеров принимали участие в вопросах кибербезопасности и понимали риск, который киберинциденты представляют для реализации бизнес-стратегии. Именно в этом контексте правительство считает, что устойчивость бизнеса и кибербезопасность неразрывно связаны.

1. Управление в век технологий

Цифровые технологии теперь лежат в основе устойчивости бизнеса и охватывают множество организационных и стратегических областей бизнеса: от определения стратегии и наращивания потенциала до выбора партнеров или бизнес-интеграции. Поэтому исполнительным и неисполнительным директорам необходимо предпринять более активные действия для обеспечения более эффективного управления технологическими стратегиями. Четкое лидерство и умение управлять технологиями, как использовать их возможности, так и управлять рисками, связанными с их внедрением и использованием, имеют основополагающее значение для ведения бизнеса сегодня. Поэтому руководству и лидерам необходимо обеспечить наличие последовательной и осуществимой стратегии, учитывающей различные взаимозависимости между конкуренцией и рисками безопасности, этики и репутации.

Независимо от того, осуществляется ли управление технологическими вопросами посредством регулярного взаимодействия в качестве повторяющегося пункта повестки дня или неформального взаимодействия по отдельным темам, крайне важно, чтобы исполнительные и неисполнительные директора развивали свое понимание и расставляли приоритеты в технологических решениях, одновременно надлежащим образом учитывая риски для своей бизнес-стратегии.

Киберуправление и обеспечение устойчивости организации к рискам кибербезопасности являются частью более широкой среды управления технологиями.

Что такое киберуправление и почему оно важно?

Киберуправление фокусируется на нисходящем подходе к управлению и снижению рисков, связанных с проблемами безопасности, связанными с использованием организацией цифровых технологий. Лучшее управление рисками кибербезопасности имеет решающее значение для повышения киберустойчивости организаций и лучшей защиты экономики и общества Великобритании. Наши данные свидетельствуют о том, что сосредоточение внимания на совершенствовании управления кибербезопасностью внутри организации часто приводит к наиболее быстрому улучшению общей киберустойчивости ( Обзор стимулов и регулирования кибербезопасности, 2022 г. ). Повышение киберустойчивости является частью одной из целей Национальной киберстратегии. Такой подход к киберустойчивости абсолютно необходим для обеспечения:

Киберустойчивость встроена в стратегию компании и интегрирована во все соответствующие бизнес-процессы, а не только в области ИТ или технологий; и
Ответственность за управление киберустойчивостью ясна и закреплена во всех соответствующих областях, чтобы гарантировать, что они не разрознены.

Для эффективного управления киберрисками организациям необходимо внедрить нисходящий подход. Это требует, чтобы самые старшие руководители организации, будь то директора, совет директоров или их эквиваленты, взяли на себя ответственность за киберриски, поняли угрозы, с которыми сталкивается организация, и оценили, какие действия предпринимаются для управления ими.

Международные подходы к киберуправлению

Во всем мире ряд других стран отдают приоритет киберуправлению и добиваются более активного участия и действий со стороны директоров, в том числе США посредством правил SEC , которые требуют от советов директоров надзора за рисками, связанными с угрозами кибербезопасности. Недавно отраслевые ассоциации, в том числе Национальная ассоциация корпоративных директоров США и Австралийский институт директоров компаний , опубликовали ключевые принципы, помогающие директорам соблюдать требования своих национальных нормативных рамок. Это демонстрирует растущие ожидания директоров в борьбе с этой новой формой управления рисками. Национальный институт стандартов и технологий США недавно представил первый проект своей концепции кибербезопасности 2.0, наиболее заметным дополнением которой стал шестой компонент, ориентированный исключительно на управление. Недавняя активность в сфере киберуправления демонстрирует коллективную переориентацию на этот процесс, особенно на роли и обязанности отдельных лиц в системе управления киберрисками организации.

2. Стандарты и рекомендации

Уже существует ряд правительственных и отраслевых ресурсов, которые помогают поддерживать лидеров бизнеса. В 2019 году Национальный центр кибербезопасности опубликовал «Инструментарий кибербезопасности для советов директоров», а ранее в этом году выпустил обновленную версию, гарантирующую, что она остается актуальной для текущей ситуации в области кибербезопасности. Инструментарий предназначен для повышения уверенности членов совета директоров и старших руководителей при обсуждении кибербезопасности с ключевыми заинтересованными сторонами в бизнесе и помогает им принимать обоснованные решения о киберрисках и кибербезопасности в их организации. Несмотря на это, Исследование нарушений кибербезопасности 2023 года показало, что с 2021 года участие совета директоров среди предприятий продолжает снижаться. как выглядит хорошее управление киберрисками.

Кроме того, в системе кибероценки Национального центра кибербезопасности сформулированы результаты, ожидаемые от регулируемых компаний, включая такие области управления, как руководство советом директоров и обеспечение гарантий.

В отрасли существует ряд стандартов передовой практики, особенно в сфере ИТ-операций, операций по обеспечению безопасности и управления корпоративными рисками, но в меньшей степени, когда речь идет об управлении и предоставлении указаний директорам или советам директоров. При рассмотрении всего спектра стандартов и руководств становится ясно, что большинство из них не ориентированы конкретно на директоров и поэтому не используют язык, с которым они знакомы. Кроме того, большинство из них также ориентированы преимущественно на результаты, которые может быть трудно интерпретировать и реализовать без разумного понимания кибербезопасности.

Как было продемонстрировано выше, в совокупности существующие стандарты и рекомендации не привели к принятию директорами достаточных мер по фундаментальным вопросам управления кибербезопасностью, чтобы идти в ногу с этой меняющейся средой рисков.

3. Нормативная база

Регулирование кибербезопасности

Правительство стремилось создать нормативную базу для кибербезопасности, включая безопасность данных, которая была бы сбалансированной и достаточно гибкой, чтобы организации могли гарантировать, что они защищают себя, своих поставщиков и партнеров, а также своих клиентов от вреда, связанного с рисками кибербезопасности. . Введенные правительством правила, такие как Правила о сетях и информационных системах и Общий регламент Великобритании по защите данных ( GDPR ), дополненные отраслевыми правилами, устанавливают требования и вспомогательные рекомендации для объяснения мер, которые организации должны принимать. осуществлять.

Система кибероценки была разработана как инструмент поддержки эффективного киберрегулирования. Как упоминалось выше, это определяет широкий диапазон результатов для достижения эффективного киберуправления, соответствующего нормативным требованиям Положений о сетях и информационных системах.

Помимо киберрегулирования, GDPR Великобритании является драйвером эффективной безопасности данных для всей экономики. Статья 5(1)(f) и статья 32 устанавливают, что персональные данные должны обрабатываться таким образом, который обеспечивает соответствующую безопасность с использованием соответствующих технических и организационных мер. Управление комиссара по информации ( ICO ) объяснило в своем руководстве , что организационные меры приравниваются к ключевым действиям управления, включая, помимо прочего, проведение оценок рисков, четкую и скоординированную подотчетность и ответственность, а также развитие культуры осведомленности о безопасности. Несмотря на это, некоторые директора не берут на себя ответственность за обеспечение выполнения этих действий. В октябре 2022 года ICO наложила штраф в размере 4,4 миллиона фунтов стерлингов на строительную компанию Interserve, базирующуюся в Беркшире, за неспособность обеспечить безопасность личной информации своих сотрудников из-за непринятия соответствующих технических и организационных мер, как того требует статья 5(1). (f) и Статья 32.

Законодательство Великобритании о компаниях и система корпоративного управления

На британские предприятия также распространяются более широкие законодательные и другие нормативные требования, касающиеся управления рисками, например, содержащиеся в Законе о компаниях 2006 года, а для компаний, котирующихся на премиальных листингах, — Кодекс корпоративного управления Великобритании, который должен влиять на то, как организации управляют своими киберрисками. Закон о компаниях 2006 года в настоящее время требует от всех крупных компаний ежегодного «описания основных рисков и неопределенностей, с которыми сталкивается компания». Несмотря на свою полезность, это существующее требование не требует информации о том, как такие риски и неопределенности рассматриваются и смягчаются, их вероятности и потенциального воздействия, периода времени, в течение которого они, как ожидается, продлятся, а также процессов управления, лежащих в основе компаний для управления рисками и развития. устойчивость бизнеса.

Кодекс корпоративного управления устанавливает передовую практику в отношении управления и подкрепляется руководствами, включая управление рисками, внутренний контроль и соответствующую финансовую и деловую отчетность. В этом руководстве четко сформулированы обязанности совета директоров по управлению рисками. Директора должны разработать и внедрить соответствующие системы управления рисками и внутреннего контроля, которые идентифицируют риски, с которыми сталкивается компания, и позволяют совету директоров провести надежную оценку основных рисков. Сейчас мы живем в цифровом мире, где для большинства организаций кибербезопасность является либо основным риском, либо имеет отношение к управлению основными рисками организации, учитывая, что доступ к цифровым системам имеет решающее значение для создания ценности и поддержания непрерывности бизнеса. Чтобы повысить эффективность Кодекса корпоративного управления, способствующего хорошему корпоративному управлению в контексте современного бизнеса, Совет по финансовой отчетности (FRC) недавно провел консультацию, на которой совету директоров предлагается сделать заявление о том, что системы управления рисками и внутреннего контроля компании эффективны. на протяжении отчетного периода. Эти консультации завершились в сентябре 2023 года, и ожидается, что Кодекс корпоративного управления и соответствующее Руководство будут обновлены с учетом полученных отзывов, и мы будем работать над обеспечением соответствия нашему Кодексу практики.

4. Текущее киберуправление в Великобритании

Исследование нарушений кибербезопасности 2023 года показало, что, хотя кибербезопасность рассматривается высшим руководством 71% предприятий и 62% благотворительных организаций как высокий приоритет, это не привело к действиям или большей ответственности за киберриски на самом высоком уровне. Кроме того, только три из десяти предприятий (30%) и благотворительных организаций (31%) имеют членов совета директоров или попечителей, прямо отвечающих за кибербезопасность в рамках своей должностной обязанности. Качественные данные того же опроса показывают набор проблем, аналогичный предыдущим годам, которые мешают советам директоров более активно заниматься кибербезопасностью, включая недостаток знаний, подготовки и времени.

Один из примеров недостаточного участия директора продемонстрирован менее чем в половине (47%) средних организаций и только в 64% крупных организаций, имеющих официальный план реагирования на инциденты ( Обзор нарушений кибербезопасности 2023 ). Учитывая важность быстрого реагирования на инциденты, директора должны убедиться, что в их организации имеется план реагирования на инциденты, который проверяется не реже одного раза в год, чтобы при необходимости его можно было быстро привести в действие.

Второй критический аспект киберуправления заключается в том, кто участвует в организации. Глобальный опрос Marsh , в котором приняли участие более 1300 руководителей, изучил киберриски и стратегии управления ими и обнаружил, что 70% респондентов назвали ИТ-отдел основным владельцем и лицом, принимающим решения по управлению киберрисками, по сравнению с 37%, которые назвали высшее руководство и 32% — их команда по управлению рисками. Восходящий подход, при котором директор по информационной безопасности или его эквивалент остается ответственным за управление киберрисками, поскольку это риск для всего предприятия, не способствует развитию устойчивости бизнеса. В обязанности директоров входит обеспечение того, чтобы технологический набор компании и связанные с ним риски были переплетены с миссией, стратегией и целями организации. Это требует, чтобы директора поддерживали регулярный двусторонний диалог с директором по информационной безопасности или ключевыми владельцами рисков, а также собирали и взаимодействовали с другими сотрудниками организации, которые также отвечают за управление и рассмотрение киберрисков, например, директором по персоналу или директором по стратегии. . Такое управление киберрисками позволяет организациям в полной мере воспользоваться преимуществами цифровых технологий, которые способствуют инновациям и повышают их конкурентоспособность.

5. Предлагаемый подход: Кодекс практики киберуправления.

Несмотря на существующие нормативные требования, а также вспомогательные руководства и инструменты, организации, откликнувшиеся на призыв к предоставлению доказательств 2020 года по стимулированию кибербезопасности и пересмотру регулирования, заявили, что они считают киберландшафт сложным и трудным для навигации, при этом 83% опрошенных заявили, что существует потребность в дополнительных решениях, чтобы проиллюстрировать, «как выглядит добро». Эта точка зрения получила решительную поддержку в ходе взаимодействия правительства по управлению киберрисками в течение последних двенадцати месяцев с рядом организаций, включая аудиторов и отраслевые органы.

Это помогает продемонстрировать, что, хотя ресурсы о том, как более эффективно управлять киберрисками, существуют, их может быть трудно найти и использовать. Кроме того, большинство существующих ресурсов преимущественно ориентированы на результаты, и директорам может быть сложно ими воспользоваться, поскольку у них ограничено время и ограниченное понимание киберрисков.

Хотя не существует универсального подхода к управлению бизнес-рисками, такими как киберриски, существуют некоторые общие фундаментальные действия, которые должны предпринять все директора и их организации. Предлагаемый здесь Кодекс практики киберуправления объединит важнейшие области управления, ответственность за которые директора должны взять на себя, в одном месте, в простой для использования форме для организаций любого размера.

Кодекс практики кибер-управления формализует ожидания правительства от директоров в отношении управления кибер-рисками, как и в случае с любыми другими существенными или основными бизнес-рисками.

Цель и объем запроса мнений

Объем запроса мнений сосредоточен вокруг трех конкретных вопросов:

разработка Кодекса практики киберуправления;
как правительство может стимулировать его использование и соблюдение кодекса; и
достоинства и требования процесса обеспечения соблюдения Кодекса.

Дизайн

Проект Кодекса практики был разработан совместно с рядом экспертов по корпоративному управлению, включая, помимо прочего, неисполнительных директоров, аудиторов, консультантов, директоров по информационной безопасности и ученых. Он представлен (в Приложении А) в виде пяти всеобъемлющих принципов с соответствующими действиями по каждому принципу. Действия сформулированы на языке, который используют директора, а не являются техническими, и они выходят за рамки ориентации на результаты и обеспечивают более четкие ожидания директоров. Это облегчит директорам организаций любого размера понимание того, какие действия им следует предпринимать и почему, чтобы они могли лучше управлять киберрисками.

Принципы и действия Кодекса основаны на передовой практике ^{[сноска 1]} и призваны согласовываться и дополнять существующие отраслевые и государственные ресурсы как в Великобритании, так и за рубежом. В частности, дальнейшее руководство по реализации этих принципов и действий представлено в « Инструментарии кибербезопасности для советов директоров» NCSC, и они будут работать вместе, чтобы сформировать последовательный набор руководств для советов директоров, директоров и их старших советников.

Посредством этого запроса мнений мы хотим протестировать структуру Кодекса практики, чтобы определить, представлены ли и объяснены действия, которые директора должны предпринимать для управления киберрисками, таким образом, чтобы их было легко понять и реализовать.

Мы также хотим лучше понять, какие дальнейшие рекомендации помогут отрасли эффективно реализовать кодекс. Например, в « Принципах управления кибербезопасностью» Австралийского института директоров компаний используется ряд дополнительных руководств для формирования пакета поддержки для оказания помощи организациям любого размера. К ним относятся « контрольный список » для малых и средних организаций и «красные флажки», помогающие помочь в случае ошибки организации.

Повышение популярности

Предлагаемый Кодекс практики будет запущен как добровольный инструмент, то есть не имеющий собственной законодательной основы. Однако Кодекс практики будет поддерживать и согласовывать ряд существующих нормативных обязательств. Хотя правительство само по себе недостаточно для обеспечения необходимых улучшений в управлении киберрисками на уровне Совета директоров, правительство изучает возможность использования Кодекса для поддержки регулирующих органов, чтобы понять, как его можно использовать для содействия соблюдению нормативных требований, в том числе Общего регламента защиты данных ( GDPR ) и правила о сетях и информационных системах (NIS). Правительство будет тесно сотрудничать с этими регулирующими органами и компетентными органами, а также с более широкими отраслевыми регулирующими органами, чтобы внедрить Кодекс в существующую нормативную среду в тех случаях, когда он связан с кибербезопасностью и более широкой устойчивостью.

Однако, поскольку киберриск в настоящее время представляет собой материальный риск для любого бизнеса с цифровым следом, независимо от того, регулируется он напрямую или нет, всем организациям следует принять Кодекс практики киберуправления. С этой целью продвижение Кодекса, независимо от того, публикуется ли он через правительственное учреждение или агентство по кибербезопасности, а также более широкие меры, изложенные здесь для стимулирования его внедрения, являются важнейшими аспектами внедрения его в обычную практику в экономике Великобритании.

Этот призыв к мнениям направлен на то, чтобы узнать, где Кодекс лучше всего разместить и продвигать, чтобы он дошел до директоров и стал ключевым аспектом их базы знаний по управлению рисками в эпоху цифровых технологий. Как и в других странах, таких как США и Австралия, обеспечение необходимого внедрения потребует включения Кодекса практики киберуправления в рамки существующих указаний специального органа управления, такого как Институт директоров или Сертифицированный институт управления. Такое решение необходимо будет сопоставить с уверенностью, которую государственная собственность обеспечит промышленности при взаимодействии с Кодексом, а также с полномочиями, которые государственная собственность предоставит в отношении внедрения Кодекса в существующую нормативную среду.

В рамках этого конкурса также исследуются мнения о том, какую роль другие органы могут играть в реализации и внедрении Кодекса. Это включает, например, рассмотрение роли торговых, управленческих или отраслевых организаций в продвижении Кодекса или степени, в которой профессиональные стандарты и обучение повлияют на внедрение Кодекса.

Наконец, этот запрос мнений дает отрасли возможность предоставить правительству обратную связь о любых потенциальных препятствиях на пути реализации, которые следует учитывать и которые еще не изложены в этом документе.

Гарантия

В качестве одной из форм стимулирования внедрения правительство также стремится изучить полезность и риски внедрения процесса самооценки или независимой оценки соответствия кодексу. Существует ряд потенциальных случаев использования гарантий соответствия Кодексу. Например, акционеры, клиенты, страховые компании или деловые партнеры могут получить доверие к организации, которая имеет внешнюю гарантию управления киберрисками. В этом призыве исследуются мнения о потенциальной потребности в механизме гарантий для поддержки реализации Кодекса, о том, кто может найти ценность в независимо заверяемом «значке», а также о том, для каких целей рыночной коммуникации и прозрачности он будет использоваться.

В равной степени, в телеконкурсе также содержится информация о рисках, связанных с обеспечением киберуправления. Как и в случае с гарантией соответствия любому другому стандарту или структуре, существуют риски устаревания гарантии, а также ее надежности, особенно если проводится самооценка. Ключевые соображения относительно этого потенциального подхода к стимулированию внедрения Кодекса рассматриваются в вопросах, содержащихся в этом телеконкурсе.

Приложение A: Кодекс практики киберуправления

Обратите внимание: некоторым пользователям может потребоваться пролистать страницу, чтобы увидеть полный текст Кодекса.

Кодекс практики киберуправления
Действие 1	Действие 2	Действие 3	Действие 4	Действие 5
А: Управление рисками
Убедитесь, что наиболее важные цифровые процессы, информация и услуги, имеющие решающее значение для текущей работы бизнеса и достижения бизнес-целей, были определены, расставлены по приоритетам и согласованы.	Обеспечьте, чтобы оценки рисков проводились регулярно, а меры по снижению риска учитывали изменения во внутренней, внешней и нормативной среде, которые меняются быстрее, чем в традиционных областях риска.	Установите уверенность и примите эффективные решения относительно уровня риска кибербезопасности, который приемлем для организации, и того, каким объемом необходимо будет управлять для достижения бизнес-целей.	Обеспечьте, чтобы риски кибербезопасности рассматривались в рамках более широкой деятельности организации по управлению корпоративными рисками и внутреннему контролю, а также установите ответственность за риски перед соответствующими руководителями, помимо директора по информационной безопасности.	Получите уверенность в том, что информация о поставщиках регулярно оценивается и проверяется соразмерно их уровню риска, и что организация устойчива к рискам кибербезопасности, связанным с поставщиками, заинтересованными сторонами и деловыми партнерами.
Б: Киберстратегия
Мониторинг и анализ стратегии киберустойчивости в соответствии с уровнем принимаемого киберриска, бизнес-стратегией и в контексте юридических и нормативных обязательств.	Мониторинг и анализ реализации стратегии киберустойчивости в соответствии с текущими бизнес-рисками и в контексте меняющейся среды рисков.	Обеспечьте распределение и эффективное использование соответствующих ресурсов и инвестиций для развития возможностей управления угрозами кибербезопасности и связанными с ними бизнес-рисками.
С: Люди
Спонсорские сообщения о важности киберустойчивости для бизнеса на основе стратегии организации.	Обеспечьте наличие четких политик кибербезопасности, которые поддерживают позитивную культуру кибербезопасности, и убедитесь, что ее культура соответствует стратегии киберустойчивости.	Возьмите на себя ответственность за безопасность данных и цифровых активов организации, пройдя обучение для обеспечения киберграмотности и обеспечения безопасности информации и данных, которые они используют.	Убедитесь, что в организации имеется эффективная программа обучения, обучения и повышения осведомленности в области кибербезопасности, а также имеются показатели для измерения ее эффективности.
D: Планирование инцидентов и реагирование на них
Убедитесь, что у организации есть план реагирования и восстановления после киберинцидентов, влияющих на критически важные бизнес-процессы, технологии и услуги.	Обеспечьте регулярное, по крайней мере ежегодное, тестирование плана и соответствующее обучение с участием соответствующих внутренних и внешних заинтересованных сторон. План следует пересмотреть на основе уроков, извлеченных из испытаний, и более широких внешних инцидентов.	В случае инцидента возьмите на себя ответственность за выполнение отдельных нормативных обязательств и поддержите руководителей в принятии важных решений и внешних связях.	Обеспечьте наличие процесса анализа после инцидента для включения извлеченных уроков в будущие планы реагирования и восстановления.
E: Обеспечение и надзор
Создайте структуру управления, соответствующую текущей структуре управления организацией, включая четкое определение ролей и обязанностей, а также ответственность за киберустойчивость на уровне исполнительных и неисполнительных директоров.	Установите регулярный процесс мониторинга киберустойчивости организации и анализ соответствующих мер по смягчению последствий и стратегии киберустойчивости.	Установите регулярный двусторонний диалог с соответствующими высшими руководителями, включая, помимо прочего, директора по информационной безопасности или соответствующего владельца риска.	Установите официальную отчетность, по крайней мере, ежеквартально и согласуйте целевой диапазон для каждого измерения, который является приемлемым для бизнеса.	Определите, как будет обеспечиваться внутренняя гарантия, и убедитесь, что стратегия киберустойчивости интегрирована в существующие внешние и внутренние механизмы обеспечения безопасности.

Приложение B: Вопросы для опроса мнений

Раздел 1: Демографические вопросы

1. Вы отвечаете как физическое лицо или от имени организации?

Индивидуальный
Организация

2. Какое из следующих утверждений лучше всего описывает вас?

Академический
Аудитор
Секретарь компании
Специалист по кибербезопасности
Исполнительный директор
Неисполнительный директор
Заинтересованный представитель общественности
Другое [если выбрано, появится текстовое поле «Укажите»]

3.[если организация] Сколько человек работает в вашей организации по всей Великобритании? Пожалуйста, оцените, если вы не уверены.

а. До 10 лет
б. 10–49
в. 50–249
д. 250–499
е. 500-999
ф. 1000 или более
г. Не уверен

4.[если индивидуально] Где вы находитесь?

Англия
Шотландия
Уэльс
Северная Ирландия
Европа (исключая Англию, Шотландию, Уэльс и Северную Ирландию)
Северная Америка
Южная Америка
Африка
Азия
Океания (Австралия и соседние страны)
Другое [если выбрано, появится текстовое поле «Укажите»]

5.[если организация] Где находится штаб-квартира вашей организации?

Англия
Шотландия
Уэльс
Северная Ирландия
Европа (исключая Англию, Шотландию, Уэльс и Северную Ирландию)
Северная Америка
Южная Америка
Африка
Азия
Океания (Австралия и соседние страны)
Другое [если выбрано, появится текстовое поле «Укажите»]

6. Вы рады, что Департамент науки, инноваций и технологий связался с вами, чтобы обсудить ваш ответ на этот призыв к дальнейшему рассмотрению?

Да
Нет

[Если да] Пожалуйста, сообщите нам имя контактного лица, организацию (если применимо) и адрес электронной почты.

Раздел 2: Вопросы по дизайну

В этом разделе мы хотели бы узнать ваше мнение о пяти принципах Кодекса практики, который был разработан совместно с NCSC и отраслевыми экспертами (Приложение A). Мы по очереди спросим вас о каждом принципе и о том, следует ли учитывать какие-либо другие принципы.

А: Управление рисками

7.Поддерживаете ли вы включение этого принципа в Кодекс практики?

Да
Нет
Не знаю

Б: Киберстратегия

8.Поддерживаете ли вы включение этого принципа в Кодекс практики?

Да
Нет
Не знаю

С: Люди

9.Поддерживаете ли вы включение этого принципа в Кодекс практики?

Да
Нет
Не знаю

D: Планирование инцидентов и реагирование на них

10.Поддерживаете ли вы включение этого принципа в Кодекс практики?

Да
Нет
Не знаю

E: Обеспечение и надзор

11.Поддерживаете ли вы включение этого принципа в Кодекс практики?

Да
Нет
Не знаю

12. Есть ли какие-либо принципы, отсутствующие в текущей версии Кодекса практики?

Да
Нет
Не знаю

[При положительном ответе] Пожалуйста, изложите любые новые принципы, которые, по вашему мнению, следует включить, и объясните, почему. (1800 символов)

13.Есть ли какие-либо другие действия, отсутствующие в текущей версии Кодекса практики?

Да
Нет
Не знаю

[Если ответ да] Пожалуйста, укажите любые новые действия, которые, по вашему мнению, следует включить, и объясните, почему. (1800 символов)

14. На какие соответствующие рекомендации следует ссылаться при публикации Кодекса практики, чтобы помочь Директорам предпринять действия, изложенные в Кодексе? (1800 символов)

15. Какие инструменты, такие как «зеленые флажки», т.е. индикаторы передовой практики, контрольные списки и т. д., следует включить в публикацию или опубликовать вместе с Кодексом практики, чтобы помочь директорам предпринять действия, изложенные в Кодексе? (1800 символов)

Вопросы, способствующие усвоению информации

16.Где следует публиковать код?

Пожалуйста, выберите все, что подходит. [Мультикод]

Институт директоров
сайт ФРК
сайт НЦСК
Gov.uk
Другое – отраслевой сайт [текст для заполнения свободный]
Другое – сайт правительства [текст для заполнения свободный]

17. С кем должно правительство (или владелец Кодекса, если не правительство) работать над продвижением Кодекса, чтобы он дошел до директоров и лиц, отвечающих за управление организацией? (1800 символов)

18. В какие продукты или услуги (включая программы обучения директоров, существующие руководства, продукты по аккредитации и т. д.) можно включить Кодекс, чтобы поддержать его внедрение среди директоров? (1800 символов)

19.Какие организации или профессии могли бы лучше всего способствовать внедрению Кодекса среди директоров?

Пожалуйста, выберите все, что подходит. [Мультикод]

Компании по управлению активами
Аудиторы
директора по информационной безопасности
Секретари компании
Страховщики
Инвесторы
Юристы
Регуляторы
Комитеты по рискам и аудиту
Акционеры
Другое [пожалуйста уточните]

[Если ответ «Другое»] Пожалуйста, укажите всех других участников рынка, которые не включены, и объясните, почему. (1800 символов)

Контрольные вопросы

20. Была бы ваша организация заинтересована в получении внешнего подтверждения соблюдения Кодекса?

Да
Нет
Я не знаю
Непригодный

Пожалуйста, объясните свой ответ. (1800 символов)

21. Если да, что побудило бы вас получить уверенность в коде?

Пожалуйста, выберите все, что подходит. [Мультикод]

Повышение общей киберустойчивости
Помощь в соблюдении нормативных требований, включая GDPR Великобритании и NIS.
Соответствие существующим стандартам конкурентов в вашем секторе
Соблюдение требований цепочки поставок
Обеспечение уверенности снаружи и внутри компании, например, клиентам и акционерам.
Другое [пожалуйста уточните]

22.Какой тип внешнего подтверждения соответствия кодексу будет представлять наибольший интерес?

Пожалуйста, выберите все, что подходит. [Мультикод]

Самооценка с внешним анализом оценки (не аудит практики управления)
Выборочные проверки
Независимый аудит
Другое [пожалуйста уточните]

23.Какие организации или профессии будут ценить другие организации, получившие гарантии соблюдения Кодекса? Пожалуйста, выберите все, что подходит. [Мультикод]

Компании по управлению активами
Аудиторы
директора по информационной безопасности
Секретари компании
Страховщики
Инвесторы
Юристы
Регуляторы
Комитеты по рискам и аудиту
Акционеры
Никто
Другой

Барьеры на пути реализации

24.Какие препятствия могут существовать на пути эффективного внедрения Кодекса?

Пожалуйста, выберите все, что подходит. [Мультикод]

Киберустойчивость не является приоритетом директоров (организаций любого размера)
Существующие рекомендации уже вступили в силу [если да, укажите, какие именно]
Рассматривается как кибертехническое руководство.
Действия не позиционируются на уровне действий директора.
Отсутствие доступа к директорам малых и средних организаций
Другое [пожалуйста уточните]

Заключение

25.Спасибо, что нашли время заполнить анкету. Мы ценим ваше время. Есть ли еще какие-либо отзывы, которыми вы хотели бы поделиться?

Да
Нет

[Если да], пожалуйста, оставьте свой дополнительный отзыв в поле ниже. (500 слов)

Существующие руководства, стандарты, положения и рамки, рассмотренные при разработке проекта Кодекса практики, включают, помимо прочего: Кодекс корпоративного управления; Руководство FRC по аудиторским комитетам и Руководство по управлению рисками, внутреннему контролю и соответствующей финансовой и деловой отчетности; «Система кибероценки» NCSC , «Инструментарий кибербезопасности для советов директоров», «10 шагов к кибербезопасности» и «Руководство для малого бизнеса: действия: кибербезопасность»; ИСО 27001; кибербезопасность IASME; Рамочная политика безопасности HMG; Стандарт обороны; PCI DSS; Структура кибербезопасности NIST; Ресурсы CISA для малого и среднего бизнеса и набор инструментов Cyber Essentials; COBIT 5 ISACA для рисков и CMMI; Принципы управления кибербезопасностью AICD; 6 принципов киберуправления Всемирного экономического форума. ↩

Открытый запрос доказательств

Уведомление о конфиденциальности для запроса мнений по киберуправлению

Опубликовано 23 января 2024 г.

1. Кто собирает мои данные?

DSIT объединяет соответствующие части бывшего Департамента бизнеса, энергетики и промышленной стратегии и бывшего Департамента цифровых технологий, культуры, СМИ и спорта.

2. Цель настоящего уведомления о конфиденциальности

Настоящее уведомление предоставляется в контексте уведомления, предоставляемого для выполнения обязательств, изложенных в статьях 13 и 14 Общего регламента защиты данных Великобритании (GDPR) и Закона о защите данных 2018 года (DPA). В этом уведомлении указано, как мы будем использовать ваши персональные данные.

Устав DSIT о личной информации (откроется в новой вкладке) содержит дополнительную информацию о том, как мы обрабатываем вашу личную информацию. Здесь также объясняется, как вы можете попросить просмотреть, изменить или удалить вашу информацию из наших записей.

2.1 Контроллер данных

DSIT отвечает за проведение конкурса мнений по Кодексу практики киберуправления, который позволит правительству Великобритании собрать отзывы о предлагаемом Кодексе и разработать планы публикации и реализации, которые будут соответствовать более широким реформам управления. DSIT является контролером данных в рамках данного конкурса представлений.

Это уведомление касается только ваших личных данных (например, вашего имени, адреса электронной почты и всего, что может быть использовано для идентификации вашей личности).

2.2 Персональные данные, которые мы собираем

Хотя большая часть этих данных носит деловой характер, некоторые из этих данных могут быть личной информацией.

Персональные данные относятся к следующим категориям, которые будут получены непосредственно от вас. Это включает в себя:

Контактные данные (ФИО, название организации, адрес электронной почты)
Должность
Региональное местоположение физического лица/организации
Ваш IP-адрес

2.3 Сбор файлов cookie

В рамках этого опроса Qualtrics, платформа опросов, будет собирать необходимые файлы cookie, такие как ваш IP-адрес и ваш браузер, чтобы предотвратить множественные ответы и обеспечить правильное отображение опроса. Полную политику использования файлов cookie Qualtrics можно найти здесь .

2.4 Как мы используем ваши персональные данные

Целью обработки ваших персональных данных является предоставление нам возможности выполнять наши функции в качестве государственного ведомства. Это включает в себя:

анализ ответов на призыв к мнениям
чтобы повторно связаться с вами (если вы предоставите контактные данные)

Можно создавать и распространять анонимные отчеты о тенденциях/ответах, представленные на конкурсе мнений. Это не будет ссылаться на вас или какие-либо ответы, которые вы отправляете.

2.5 Наша правовая основа

Правовой основой для обработки ваших персональных данных в соответствии со статьей 6 GDPR Великобритании является:

Статья 6 (1) (e) Общественная задача: обработка необходима для выполнения задачи, выполняемой в общественных интересах или при осуществлении официальных полномочий, возложенных на контролера данных.

Такая обработка необходима для выполнения функций государственного ведомства (Приложение 9 DPA, параграф 5(d). Это исследование предоставляет министрам и правительственным чиновникам информацию о предприятиях для информирования о разработке будущей политики.

3. Кому будут переданы ваши персональные данные

Ваши персональные данные не будут переданы третьим лицам за пределами правительства Великобритании.

3.1 Как долго будут храниться ваши персональные данные

Мы будем хранить ваши персональные данные только в течение 2 лет в соответствии с политикой хранения DSIT.

3.2 Международные переводы

Ваши персональные данные будут обработаны в Великобритании.

3.3 Будут ли мои данные использоваться для автоматического принятия решений или профилирования?

Мы не будем использовать ваши данные для автоматического принятия решений.

4. Ваши права

У вас есть права на ваши персональные данные в соответствии с Общим регламентом защиты данных Великобритании (GDPR) и Законом о защите данных 2018 года (DPA 2018). Управление комиссара по информации (ICO) является надзорным органом за соблюдением законодательства о защите данных и размещает полное объяснение этих прав на своем веб-сайте .

DSIT обеспечит соблюдение ваших прав при обработке ваших личных данных.

4.1 Контактная информация

Контроллером ваших персональных данных является Министерство науки, технологий и инноваций. Контактные данные ответственного за защиту данных (DPO) контролера данных:

Сотрудник по защите данных DSIT Департамент науки, инноваций и технологий 1 Victoria Street, Лондон SW1H 0ET

Электронная почта: dataprotection@energysecurity.gov.uk .

Если вы недовольны тем, как мы обращаемся с вашими личными данными, и хотите подать жалобу, напишите сотруднику по защите данных соответствующего агентства. Вы можете связаться с уполномоченным по защите данных департамента, используя контактную информацию, указанную выше.

4.2 Жалобы

Если вы считаете, что ваши персональные данные были использованы не по назначению или неправильно обработаны, вы можете

подать жалобу Комиссару по информации, который является независимым регулирующим органом Великобритании. С комиссаром по информации можно связаться по адресу:

Офис комиссара по информации Wycliffe House Water Lane Wilmslow Cheshire SK9 5AF

Телефон: 0303 123 1113.

https://ico.org.uk/make-a-complaint/

Любая жалоба Уполномоченному по информации не наносит ущерба вашему праву добиваться возмещения ущерба через суд.

4.3 Обновления данного уведомления

Если это уведомление о конфиденциальности каким-либо образом изменится, мы разместим обновленную версию на этой странице. Регулярный просмотр этой страницы гарантирует, что вы всегда будете в курсе того, какую информацию мы собираем, как мы ее используем и при каких обстоятельствах мы передадим ее другим сторонам. Дата «последнего обновления» внизу этой страницы также изменится.

Если эти изменения повлияют на обработку ваших персональных данных, мы предпримем разумные меры, чтобы сообщить вам об этом.

Последнее обновление: 28.11.2023.

Киберуправление в Великобритании — кодекс практики 2024

Кодекс практики киберуправления: запрос мнений

Краткое содержание

Запросить описание доказательств

Документы

Кодекс практики киберуправления: запрос мнений

Уведомление о конфиденциальности для запроса мнений по киберуправлению

Способы реагирования

Электронная почта по адресу:

Написать в:

Поделиться этой страницей

Связанный контент

1. Кто собирает мои данные?

2. Цель настоящего уведомления о конфиденциальности

2.1 Контроллер данных

2.2 Персональные данные, которые мы собираем

2.3 Сбор файлов cookie

2.4 Как мы используем ваши персональные данные

2.5 Наша правовая основа

3. Кому будут переданы ваши персональные данные

3.1 Как долго будут храниться ваши персональные данные

3.2 Международные переводы

3.3 Будут ли мои данные использоваться для автоматического принятия решений или профилирования?

4. Ваши права

4.1 Контактная информация

4.2 Жалобы

4.3 Обновления данного уведомления

О нас

NOTA BENE