Los países exigen que los profesionales de la ciberseguridad tengan una licencia

Malasia, junto con al menos otros dos países (Singapur y Ghana), han aprobado leyes que exigen que los profesionales de la ciberseguridad o sus empresas estén certificados y autorizados para proporcionar algunos servicios de ciberseguridad en su país.

El 3 de abril, la cámara alta del parlamento de Malasia, conocida como Dewan Negara, aprobó el Proyecto de Ley de Seguridad Cibernética 2024, tras su aprobación en la cámara baja el mes anterior. El proyecto de ley, que entrará en vigor tras su firma por el Rey y su publicación en el Boletín Oficial, está estructurado como una ley marco y servirá como marco para futuras actividades gubernamentales para proteger la infraestructura crítica y mejorar la situación nacional de ciberseguridad.

Si bien la legislación exige una licencia, los requisitos reales para los profesionales y proveedores de servicios de ciberseguridad llegarán más adelante, según el bufete de abogados Christopher & Lee Ong, con sede en Malasia. dice un informe.

“Si bien el proyecto de ley no especifica los tipos de servicios de ciberseguridad sujetos al régimen de licencias… es probable que esto se aplique a los proveedores de servicios que brindan servicios para proteger el equipo de tecnología de la información y las comunicaciones de otra persona. [for example,] Proveedores de pruebas de penetración y centros de seguridad”, dijo el bufete de abogados.

Malasia se suma al vecino de Asia y el Pacífico, Singapur, para pedir esto Licencias para proveedores de servicios de ciberseguridad (CSP) durante dos años y el Estado africano occidental de Ghana, que exige esto Licencia de CSP y acreditación de profesionales de ciberseguridad. En un sentido más amplio: los gobiernos como la unión europea han normalizado certificaciones de ciberseguridad, mientras que otras autoridades – como el estado estadounidense de Nueva York – exigir certificaciones y licencias para funciones de ciberseguridad en industrias específicas.

Licencia para hackear en Ghana

Si bien muchos gobiernos exigen que las empresas obtengan licencias para prestar servicios de ciberseguridad, Ghana es el único país que exige que las personas obtengan una licencia, dice Alexey Lukatsky, director gerente de consultoría empresarial de ciberseguridad de Positive Technologies, un proveedor de ciberseguridad con sede en Moscú.

“La singularidad del enfoque de Ghana es que los requisitos de licencia no se aplican a todos los especialistas en ciberseguridad, sino a aquellos que quieren trabajar en cuatro áreas específicas: evaluación de vulnerabilidades y pruebas de penetración, análisis forense digital, servicios gestionados de ciberseguridad, capacitación en ciberseguridad y GRC de ciberseguridad. ,» él dice .

El gobierno de Singapur ha adoptado un enfoque proactivo para alentar al sector privado a implementar estrictas regulaciones de ciberseguridad, y hasta ahora las organizaciones implementar más del 70% los requisitos para una certificación “Cyber ​​Esenciales”.

«Ciertamente creemos que un estándar mínimo absoluto creará una mayor confianza en todo el ecosistema al garantizar que, entre otras cosas, las pruebas de penetración, las auditorías de seguridad y los servicios de respuesta a incidentes que se brindarán estén en línea con las expectativas de la industria y las tecnologías en evolución», dice Serene Kan. , socio de tecnología e propiedad intelectual de Wong & Partners, una firma miembro de Baker McKenzie International.

Estos esfuerzos no han ganado mucho impulso en Estados Unidos. En cambio, muchas asociaciones profesionales ofrecer certificación de competencias específicas. Por ejemplo, ISC2 gestiona la conocida acreditación Certified Information Systems Security Professional (CISSP), mientras que CompTIA ofrece la certificación Security+ e ISACA -anteriormente Information Systems Audit and Control Association- ofrece la certificación Certified Information System Auditor (CISA). entre otros.

ISC2 e ISACA declinaron hacer comentarios para este artículo.

Falta de protección a la libertad de expresión

Si bien los requisitos parecen mejorar la madurez general de las posturas de ciberseguridad de los países, la legislación a menudo ha planteado preocupaciones sobre los costos potenciales para la libertad de expresión y otros derechos individuales.

Los gobiernos, que tienen amplios poderes para regular las actividades relacionadas con la ciberseguridad por defecto, tienen poderes para controlar los servicios digitales. Esto a menudo lleva a atacar las actividades periodísticas y a los denunciantes exigiéndoles “autorización previa según estándares arbitrarios, que pueden ser modificados o revocados”, según el artículo 19 de una organización de derechos humanos.

La ley de ciberseguridad de Malasia, por ejemplo, es «innecesaria y defectuosa en su estado actual», afirmó la organización.

«Aunque se presenta como una herramienta de ‘ciberseguridad’, el proyecto de ley otorgará al gobierno un control irresponsable sobre las actividades relacionadas con la informática, así como poderes de búsqueda e incautación casi ilimitados», dijo la organización. dijo en un análisis del proyecto de ley. «Sus disposiciones penales no requieren la intención real de violar, lo que introduce muchas violaciones de responsabilidad estricta».

Los investigadores de ciberseguridad en particular podrían estar en riesgo porque publicar el código fuente o la investigación ciberofensiva requeriría una licencia, dijo la organización.

Pero a menudo los requisitos de licencia son sólo un sello gubernamental sobre las mejores prácticas de certificación preexistentes y un requisito de que los solicitantes de empleo tengan certificaciones específicas de ciberseguridad, pero con un sesgo local, dice Lukatsky de Positive Technologies.

El enfoque que ha adoptado Ghana, por ejemplo, “es similar a establecer un registro de todos los especialistas en ciberseguridad, ya que es poco probable que haya muchos especialistas individuales independientes en este o cualquier otro país que puedan trabajar con organizaciones acreditadas en riesgo de ser contratadas. «La proporción de personal no cualificado es demasiado alta», afirma. “La razón principal de estos requisitos es que a medida que aumenta el número de ataques cibernéticos, se necesitan especialistas que entiendan lo que hacen y por qué lo hacen, para detectarlos y prevenirlos, cómo aplicar las mejores prácticas internacionales y cómo abordarlos. Ajustes locales.» Características especiales.»