Čínske firmy budú mať na hlásenie závažných kybernetických incidentov iba hodinu. Tým, ktorí nesplnia túto povinnosť, hrozia pokuty. Deje sa tak v čase, keď organizácie na celom svete čelia obrovským rizikám ransomvéru.
Nové nariadenia v Číne znamenajú, že firmy majú teraz iba hodinu na to, aby nahlásili kybernetické bezpečnostné incidenty, ktoré by spadali do kategórií „obzvlášť závažné“ alebo „závažné“.
Čínska správa pre kybernetický priestor zaviedla tieto prísne nové pravidlá, ktoré začnú platiť 1. novembra, s cieľom sprísniť reakciu na bezpečnostné incidenty.
Medzi incidenty s najvyšším stupňom závažnosti patria tie, ktoré by mohli narušiť život viac ako 50 % obyvateľstva provincie alebo sa týkajú potrieb viac ako 10 miliónov ľudí v každodennom živote, ako sú inžinierske siete, zdravotná starostlivosť, doprava alebo potraviny. Mohlo by ísť aj o portály provinčných alebo vyšších úradníkov alebo vládnych agentúr, alebo o kľúčové národné spravodajské stránky.
Medzi „závažné“ incidenty patrí únik údajov o viac ako 10 miliónoch občanov, ovplyvnenie 50 % obyvateľstva mesta alebo ovplyvnenie života viac ako 1 milióna ľudí – ako aj incidenty, ktoré zahŕňajú odstavenie vládnych portálov na viac ako šesť hodín alebo prerušenie kritickej infraštruktúry na viac ako hodinu.
Ekonomické straty presahujúce 100 miliónov ¥ (približne 10 miliónov £) môžu tiež spustiť klasifikáciu vysokej závažnosti, rovnako ako čokoľvek, čo by ohrozilo sociálnu stabilitu alebo národnú bezpečnosť.
Tí, ktorí utrpia incident s vysokou závažnosťou alebo „závažný“ incident, musia úradom do hodiny nahlásiť, ktoré systémy boli napadnuté, typ incidentu, predbežnú príčinu, časový harmonogram útoku, predbežné správy o škodách a sumy výkupného, spolu s posúdením potenciálneho nebezpečenstva a žiadosťami o vládnu podporu.
Nedodržanie tejto prísnej lehoty môže viesť k udeleniu sankcií organizácii, ktorá je na vine.
„Ak prevádzkovateľ siete nahlási incidenty týkajúce sa bezpečnosti siete neskoro, vynechá, falošne nahlási alebo zatají, čo spôsobí závažné škodlivé následky, prevádzkovateľ siete a príslušné zodpovedné osoby budú potrestané prísnejšie podľa zákona,“ varuje CAC.
S rastúcim počtom útokov ransomvéru a exfiltrácie údajov nie je Čína jediným štátom, ktorý zavádza nové predpisy o kybernetickej bezpečnosti s cieľom pokúsiť sa zmierniť riziká pre občanov. Americké ministerstvo obrany pred niekoľkými dňami vydalo prísne nové kybernetické pravidlá pre potenciálnych dodávateľov, čo ukazuje na prioritu kybernetickej bezpečnosti na celom svete.
