Det har varit ytterligare ett år fullt av incidenter för säkerhets- och efterlevnadsteam. Buffade förbi ransomware attacker, leveranskedja och öppen källkod hot, infostelare, globala IT-avbrott, och mycket mer, många kämpade för att hålla huvudet ovanför vattnet. Eftersom teknisk innovation, särskilt inom artificiell intelligens (AI), accelererade i takt, hade tillsynsmyndigheterna också ett hektiskt år. Men eftersom lagstiftningsmandaten hopade sig, en viss säkerhet proffs erkände att många nya regler är för svåra att förstå och för tidskrävande att implementera. 

Detta är en oroande trend som sannolikt kommer att fortsätta när kompetensbristen biter. Men det finns ljus i slutet av tunneln, om säkerhetsteam kan hitta ett sätt att optimera sina efterlevnadsinsatser genom standarder för bästa praxis som ISO 27001. Med det i åtanke är det här de fem sakerna vi lärde oss från 2024. 

Australien börjar äntligen bli seriös med cybersäkerhet 

Det har dröjt länge, men Australien fick äntligen sin första del av fristående cybersäkerhetslagstiftning. Cybersäkerhetslagen är fortfarande på väg genom parlamentet i skrivande stund en ambitiös ny lag som lovar att genomföra sju viktiga initiativ som beskrivs i den albanska regeringens nya Cybersäkerhetsstrategi. Den kommer att föreskriva rapportering av ransomware-betalningar och nya standarder för smarta prylar, samt uppmuntra bland annat informationsdelning med myndigheterna. 

Experter säger att australiensiska organisationer kan komma före de troliga nya kraven genom att se över deras nuvarande säkerhetspraxis, avgöra var det finns luckor eller områden för förbättringar och följa ett säkerhetstänkande. Något måste definitivt förändras Down Under. Det fanns 483 meddelanden om dataintrång under andra halvåret 2023, en ökning med 19 % från första delen av året, där de flesta (67 %) orsakades av skadliga attacker. 

AI-hot finns i överflöd när nya regler träder i kraft 

En av rubrikstatistiken från ISMS.online Status för informationssäkerhetsrapport 2024 är att 30 % av de tillfrågade upplevde attacker med deepfakes. Det sätter det precis bakom social ingenjörskonst och infektion med skadlig programvara och är ett bevis på den häpnadsväckande accelerationen av teknisk innovation under det senaste året. Som alltid har tillsynsmyndigheter tävlat om att komma ikapp detta och andra AI-hot mot företag, konsumenter och samhället.  

EU tar föga överraskande ledningen när det gäller reglering med sin AI Act, vilket kommer att påverka brittiska företag som vill sälja till den inre marknaden. Den anställer ett riskbaserat tillvägagångssätt som klassificerar AI-system i fyra kategorier baserat på deras potentiella skada. De i högriskkategorin kommer att kräva mest arbete och kräver att organisationer gör noggranna riskbedömningar, implementerar mänskliga tillsynsmekanismer och se till att AI-systemen är säkra, pålitliga och transparenta. På andra håll, den Europarådets ramkonvention om artificiell intelligens är en bred konvention på nationalstatsnivå utformad för att åtgärda eventuella juridiska luckor som härrör från snabba tekniska framsteg inom AI. Det återstår att se om det får önskad effekt.  

USA tar en mindre praktisk inställning till reglering, något som sannolikt kommer att fortsätta med en ny Trump-administration. Men det här regleringshålet är det fylls på statlig nivå. Organisationer bör se till ISO 42001 som en användbar guide för att använda AI på ett säkert sätt. Nya vägledningsdokument från NIST (om kontradiktoriska hot) och NCSC (för AI-utveckling) bör också hjälpa. 

IoT-tillverkare kommer under intensiv granskning 

Internet of Things (IoT)-system gör sin väg in i allt från träningsband till smarta fabriker. Men de utgör också en potentiellt betydande säkerhetsrisk, eftersom tillverkare hittills inte har haft några formella regler för att föreskriva minimistandarder för bästa praxis. Det har nu ändrats, med nya lagar på brittisk och EU-nivå. Storbritannien var först med sitt slag Lag om produktsäkerhet och telekommunikationsinfrastruktur (PSTI). Den kräver unika och starka lösenord för varje enhet, och tillverkarens sårbarhet och säkerhetsuppdateringsprogram, som måste köras under en viss tid.  

Även om det är blygsamt bör det bidra till att förbättra IoT-säkerhetsstandarderna i konsumentutrymmet och kan förbättras med tiden. Men EU:s Cyber ​​Resilience Act (CRA) är mycket mer ambitiös och kommer att krävas för alla tillverkare eller återförsäljare som hoppas kunna sälja IoT-produkter för konsumenter på kontinenten. Den har en bredare räckvidd och kräver en längre lista med säkerhetskrav. Brittiska företag med ett öga på Europa bör uppfylla PSTI:s krav genom att fokusera på CRA. 

Ny brittisk cybersäkerhetslagstiftning är på väg 

I Storbritannien slösade den nya Labour-regeringen ingen tid i år på att lansera meddelanden om nya cybersäkerhetsrelaterade lagar utformade för att öka nationens motståndskraft mot föränderliga hot. Den huvudsakliga är Cybersäkerhets- och resiliensräkning, som kommer att uppdatera NIS-förordningarna. Specifikt kommer det att öka omfattningen av den nuvarande NIS-regimen "för att skydda fler digitala tjänster och leveranskedjor", införa obligatorisk rapportering av ransomware och ge fler befogenheter till tillsynsmyndigheter – även om exakt hur är oklart. Regeringen tillkännagav också ett lagförslag om digital information och smarta data, som i huvudsak är en ny version av den förlagda lagförslaget om dataskydd och digital information, avsett att uppdatera Storbritanniens GDPR-regim. Efterlevnadsteam kommer noga att följa all ny information om de föreslagna lagarna nästa år. 

De sista månaderna av den tidigare administrationen lämnade också mycket för brittiska företag att tugga på, inklusive ett förslag ny uppförandekod för cyberstyrning och nya regler utformad för att förbättra säkerhetsställningen för datacenter. 

Leverantörer av kritisk infrastruktur har mycket att hålla dem sysselsatta med 

Inom EU ställer två nya lagar hårda krav på leverantörer av kritisk infrastruktur. Den efterlängtade deadline för NIS 2 implementering passerade i oktober. Det kommer att föra in ett stort antal extra europeiska organisationer, införa en ny uppsättning grundläggande säkerhetskrav och lägga en ny nivå av ansvar för incidenter på ledande befattningshavare. Återigen kommer brittiska företag som handlar med Europa att behöva följa, och de kan använda bäst tillämpa standarder som ISO 27001 för att hjälpa dem att göra det. 

Samtidigt kommer DORA (Digital Operational Resilience Act) att träda i kraft tidigt på det nya året: den 17 januari 2025. Den kräver också en strikt ny uppsättning regler, denna gång för finansiella tjänsteföretag och deras IT-leverantörer. Igen, ISO 27001 kan hjälpa genom att upprätta de grundläggande processer som behövs för att uppfylla kraven inom områden som incidenthantering, riskhantering, riskhantering i försörjningskedjan och resilienstestning. 

En hjälpande hand 

När företagens attackytor expanderar, hotaktörer fortsätter att cirkulera och tillsynsmyndigheter blir mer krävande, hotar säkerhets- och efterlevnadsteam att bli överväldigade av arbetsbördan. Det verkar ha en oroande effekt. Hälften (50 %) av de brittiska företagen rapporterar att de har upplevt någon form av säkerhetsintrång eller attacker under de senaste 12 månaderna – stigande till 70 % av medelstora företag och 74 % av stora företag. Detta är en avsevärd ökning från siffrorna på 32 %, 59 % och 69 % 2023. 

Best practice-standarder och ramverk är inget universalmedel. De kan dock göra mycket av det tunga arbetet eftersom många av kraven i lagstiftningen som citeras ovan har samma underliggande mål. Nyckeln är att hitta en leverantör som kan påskynda och effektivisera denna efterlevnadsbörda mitt i bestående kompetensklyftor. Lyckligtvis finns dessa verktyg.