Negara Membutuhkan Lisensi Ahli Keamanan Siber

Malaysia telah bergabung dengan setidaknya dua negara lainnya – Singapura dan Ghana – dalam mengesahkan undang-undang yang mewajibkan para profesional keamanan siber atau perusahaan mereka untuk memiliki sertifikasi dan lisensi untuk menyediakan beberapa layanan keamanan siber di negara mereka.

Pada tanggal 3 April, majelis tinggi Parlemen Malaysia, yang dikenal sebagai Dewan Negara, mengesahkan RUU Keamanan Siber 2024, setelah disahkan oleh majelis rendah pada bulan sebelumnya. RUU tersebut, yang akan menjadi undang-undang setelah ditandatangani oleh Raja dan diterbitkan dalam Lembaran Negara, disusun sebagai undang-undang payung dan akan bertindak sebagai kerangka kerja untuk aktivitas pemerintah di masa depan dalam mengamankan infrastruktur penting dan meningkatkan kondisi keamanan siber nasional.

Meskipun undang-undang tersebut mewajibkan perizinan, persyaratan sebenarnya bagi profesional keamanan siber dan penyedia layanan akan ditentukan kemudian, firma hukum Christopher & Lee Ong yang berbasis di Malaysia dinyatakan dalam sebuah nasihat.

“Meskipun RUU ini tidak merinci jenis layanan keamanan siber yang tunduk pada rezim perizinan… hal ini kemungkinan akan berlaku untuk penyedia layanan yang menyediakan layanan untuk melindungi perangkat teknologi informasi dan komunikasi milik orang lain – [misalnya,] penyedia pengujian penetrasi dan pusat operasi keamanan,” kata firma hukum itu.

Malaysia bergabung dengan negara tetangganya di Asia-Pasifik, Singapura, yang mewajibkan hal tersebut perizinan penyedia layanan keamanan siber (CSP) selama dua tahun terakhir, dan negara Ghana di Afrika Barat, yang memerlukan perizinan CSP dan akreditasi profesional keamanan siber. Lebih luas lagi, pemerintah seperti Uni Eropa telah menormalisasi sertifikasi keamanan siber, sementara lembaga lain — seperti negara bagian New York di AS — memerlukan sertifikasi dan lisensi untuk kemampuan keamanan siber di industri tertentu.

Lisensi untuk Meretas di Ghana

Meskipun banyak negara mewajibkan perusahaan untuk mendapatkan izin untuk menawarkan layanan keamanan siber, Ghana adalah satu-satunya negara yang mewajibkan individu untuk memiliki izin, kata Alexei Lukatsky, direktur pelaksana konsultasi bisnis keamanan siber di Positive Technologies, penyedia keamanan siber yang berbasis di Moskow.

“Keunikan pendekatan Ghana terletak pada kenyataan bahwa persyaratan perizinan tidak berlaku untuk semua spesialis keamanan siber, namun bagi mereka yang berencana bekerja di empat bidang spesifik – penilaian kerentanan dan pengujian penetrasi, forensik digital, layanan keamanan siber terkelola, pelatihan keamanan siber, dan keamanan siber. GRC,” katanya.

Pemerintah Singapura telah mengambil pendekatan proaktif untuk mendorong industri swasta mengadopsi peraturan keamanan siber yang ketat, sejauh ini telah dilakukan oleh banyak organisasi menerapkan lebih dari 70% persyaratan yang diperlukan untuk sertifikasi “Cyber ​​Essentials”.

“Kami tentu berpikir bahwa memiliki standar minimum akan meningkatkan kepercayaan di seluruh ekosistem karena akan ada jaminan bahwa – antara lain – pengujian penetrasi, audit keamanan, dan layanan respons insiden yang akan disediakan setara dengan ekspektasi industri dan teknologi yang terus berkembang. ,” kata Serene Kan, partner dalam praktik IP & teknologi di Wong & Partners, firma anggota Baker McKenzie International.

Di Amerika Serikat, upaya semacam ini belum membuahkan hasil. Sebaliknya, banyak organisasi profesi menawarkan sertifikasi serangkaian keterampilan tertentu. ISC2, misalnya, mengelola akreditasi Certified Information Systems Security Professional (CISSP) yang terkenal, sementara CompTIA menawarkan sertifikasi Keamanan+, dan ISACA — sebelumnya Information Systems Audit and Control Association — menawarkan sertifikasi Certified Information System Auditor (CISA), diantara yang lain.

ISC2 dan ISACA menolak memberikan komentar untuk artikel ini.

Kurangnya Perlindungan terhadap Kebebasan Berbicara

Meskipun persyaratan ini tampaknya meningkatkan kematangan postur keamanan siber suatu negara, peraturan perundang-undangan sering kali menimbulkan kekhawatiran mengenai potensi kerugian terhadap kebebasan berpendapat dan hak-hak individu lainnya.

Pemerintah yang memiliki kekuasaan luas untuk mengatur aktivitas terkait keamanan siber secara default memiliki wewenang untuk mengontrol layanan digital. Hal ini sering mengakibatkan penargetan aktivitas jurnalistik dan pelapor pelanggaran (whistleblower) dengan mewajibkan “persetujuan awal berdasarkan standar sewenang-wenang yang dapat diubah atau dicabut,” menurut Article 19, sebuah organisasi hak asasi manusia.

RUU keamanan siber Malaysia, misalnya, “tidak diperlukan dan memiliki kelemahan pada kondisi saat ini,” kata organisasi tersebut.

“Meskipun menyamar sebagai instrumen 'keamanan siber', RUU ini akan memberi pemerintah kendali yang tidak dapat dipertanggungjawabkan atas aktivitas terkait komputer, serta kewenangan pencarian dan penyitaan yang hampir tidak terbatas,” organisasi tersebut kata dalam analisis RUU tersebut. “Ketentuan pidananya tidak memerlukan niat nyata untuk melanggar, sehingga secara efektif menimbulkan banyak pelanggaran pertanggungjawaban yang ketat.”

Secara khusus, peneliti keamanan siber dapat berada dalam bahaya, karena pelepasan kode sumber atau penelitian serangan siber memerlukan lisensi, kata organisasi tersebut.

Namun seringkali persyaratan perizinan hanya sekedar memberi cap pemerintah pada praktik terbaik sertifikasi yang sudah ada dan persyaratan bahwa pelamar kerja memiliki sertifikasi keamanan siber tertentu, namun dengan perubahan lokal, kata Lukatsky dari Positive Technologies.

Pendekatan yang dilakukan Ghana, misalnya, “menyerupai pembuatan daftar seluruh spesialis keamanan siber karena kecil kemungkinannya bahwa di negara ini atau di negara lain terdapat banyak spesialis independen yang dapat bekerja dengan organisasi yang serius, dimana terdapat risiko perekrutan personel yang tidak memenuhi syarat terlalu tinggi,” katanya. “Alasan utama dari persyaratan tersebut adalah seiring dengan meningkatnya jumlah serangan siber, diperlukan spesialis yang memahami apa yang mereka lakukan dan mengapa mereka melakukannya untuk mendeteksi dan mencegahnya – bagaimana menerapkan praktik terbaik internasional dan bagaimana menyesuaikannya dengan kondisi lokal. spesifik.”

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• PlatoData.Jaringan Vertikal Generatif Ai. Berdayakan Diri Anda. Akses Di Sini.
• PlatoAiStream. Intelijen Web3. Pengetahuan Diperkuat. Akses Di Sini.
• PlatoESG. Karbon, teknologi bersih, energi, Lingkungan Hidup, Tenaga surya, Penanganan limbah. Akses Di Sini.
• PlatoHealth. Kecerdasan Uji Coba Biotek dan Klinis. Akses Di Sini.
• Sumber: https://www.darkreading.com/cyber-risk/licensed-to-bill-nations-mandate-certification-licensure-of-cybersecurity-pros