Nowe zasady cyberbezpieczeństwa w Singapurze obejmą zarządy, chmurę i dostawców CII

Singapur rozszerza granice cyberbezpieczeństwa swojej infrastruktury krytycznej. Zaktualizowany Cybersecurity Code of Practice zaostrzy wymagania wobec operatorów infrastruktury krytycznej (CII) w 11 kluczowych sektorach. Nowe zasady obejmą wykrywanie zagrożeń, nadzór zarządów, systemy połączone z CII, ćwiczenia odporności oraz infrastrukturę wspierającą.

Zmiany są reakcją na coraz szybsze i bardziej złożone operacje cybernetyczne, w tym ataki wzmacniane przez sztuczną inteligencję. Ważnym punktem odniesienia była również kampania przypisywana sponsorowanej przez państwo grupie APT UNC3886, która w 2025 roku zaatakowała wszystkich czterech głównych operatorów telekomunikacyjnych Singapuru.

Co zmieni się dla operatorów infrastruktury krytycznej?

1. Rządowe systemy wykrywania zagrożeń obejmą kolejne segmenty sieci

Właściciele CII będą współpracować z singapurską Cyber Security Agency (CSA) przy wdrażaniu opracowanych lokalnie systemów wykrywania zagrożeń w odpowiednich segmentach sieci. Celem jest zwiększenie widoczności i wykrywanie złośliwej aktywności nie tylko w formalnie wyznaczonym systemie CII, lecz także w połączonych elementach środowiska operacyjnego.

To istotna zmiana, ponieważ atakujący mogą wykorzystywać słabiej chronione systemy jako punkt wejścia do infrastruktury krytycznej. Singapur wskazywał, że grupy zagrożeń coraz częściej celują właśnie w systemy spoza formalnego zakresu CII, ponieważ mogą one zapewnić dostęp do usług o kluczowym znaczeniu.

2. Cyberbezpieczeństwo stanie się obowiązkiem całego zarządu

Nowe podejście przenosi odpowiedzialność za cyberbezpieczeństwo poza dział IT lub pojedynczego wyznaczonego menedżera. Nadzór nad ryzykiem cybernetycznym i odtwarzaniem działania po incydencie będzie spoczywał na całym zarządzie oraz kadrze kierowniczej wyższego szczebla.

Zarządy będą musiały utrzymywać udokumentowane ramy odporności cybernetycznej obejmujące:

• poziom ryzyka cybernetycznego, który organizacja jest gotowa zaakceptować;
• działania służące ograniczaniu i zarządzaniu tym ryzykiem;
• możliwe mechanizmy przenoszenia ryzyka; oraz
• priorytety i zdolności w zakresie odtwarzania działania.

Ramy te trzeba będzie przeglądać co najmniej raz w roku.

W praktyce oznacza to, że odporność cybernetyczna stanie się stałym obowiązkiem zarządczym, a nie jednorazowym projektem zgodności. Dyrektorzy otrzymają wyraźniejszą rolę w określaniu akceptowalnego poziomu ryzyka oraz sposobu utrzymania działania kluczowych usług po poważnym incydencie.

3. Nadzór obejmie systemy połączone z CII

Właściciele CII będą musieli kontrolować systemy, które łączą się z infrastrukturą krytyczną, komunikują z nią lub ją wspierają. Zaktualizowane wymagania przewidują również wzmocnienie architektury sieci, zarządzania monitoringiem i wykrywaniem zagrożeń, a także przygotowanie kompleksowych planów ćwiczeń cyberbezpieczeństwa na potrzeby skoordynowanej reakcji na incydenty.

Dla operatorów oznacza to konieczność stworzenia pełniejszej mapy zależności. Systemy formalnie niezaklasyfikowane jako CII również mogą wymagać szczególnej kontroli, jeśli zapewniają ścieżkę dostępu do kluczowych usług albo wpływają na możliwość ich odtworzenia po ataku.

4. Systemy wspierające będą musiały osiągnąć Cyber Trust Mark Level 5

Do końca 2027 roku właściciele CII będą musieli uzyskać Cyber Trust Mark (CTM) Level 5 dla kontrolowanych przez siebie systemów niebędących formalnie CII, jeśli wspierają one działalność biznesową lub świadczone usługi. Wymóg rozszerza ocenę bezpieczeństwa poza systemy oficjalnie uznane za infrastrukturę krytyczną.

Level 5 to najwyższy poziom singapurskich ram Cyber Trust. Szerszy program certyfikacji obejmuje między innymi klasyczne cyberbezpieczeństwo, bezpieczeństwo chmury, bezpieczeństwo technologii operacyjnych (OT) oraz bezpieczeństwo systemów wykorzystujących AI.

Celem jest zmniejszenie różnicy między silnie chronionym systemem CII a otaczającą go infrastrukturą przedsiębiorstwa, która może współdzielić z nim dane uwierzytelniające, narzędzia administracyjne, sieci lub procedury odtwarzania.

Dlaczego Singapur zaostrza przepisy?

AI skraca czas na wykrycie i reakcję

CSA wyjaśnia, że zaktualizowany kodeks ma odpowiadać na zagrożenia ze strony zaawansowanych trwałych zagrożeń (APT) oraz ataków wspieranych przez AI. Sztuczna inteligencja może pomagać napastnikom działać szybciej, na większą skalę i z większą precyzją. To zwiększa presję na organizacje, by wcześniej wykrywały podejrzaną aktywność i reagowały w całym środowisku, zamiast polegać wyłącznie na wąsko rozumianej ochronie granicy sieci.

Odpowiedź regulacyjna nie ogranicza się więc do dodania kolejnego narzędzia technicznego. Łączy monitoring, zarządzanie, certyfikację i ćwiczenia, tak aby operatorzy mogli wykrywać zagrożenia, szybko podejmować decyzje i odtwarzać działanie kluczowych usług, gdy prewencja okaże się niewystarczająca.

UNC3886 pokazała strategiczne znaczenie telekomunikacji

Kampania UNC3886 z 2025 roku objęła czterech głównych operatorów telekomunikacyjnych Singapuru. Władze tego kraju określiły ją jako celowe, ukierunkowane i starannie zaplanowane działanie grupy o zaawansowanych zdolnościach.

CSA wskazuje również, że UNC3886 jest sponsorowaną przez państwo grupą APT wykorzystującą zaawansowane techniki, w tym tzw. living off the land — używanie legalnych narzędzi obecnych już w systemie — oraz exploity typu zero-day. Jej celem są wartościowe aktywa strategiczne, między innymi infrastruktura krytyczna.

Singapur odpowiedział operacją CYBER GUARDIAN, skoordynowanym działaniem agencji rządowych i firm telekomunikacyjnych. Według władz incydent udało się opanować bez zakłóceń w świadczeniu usług telekomunikacyjnych, a dochodzenie nie wykazało naruszenia danych klientów.

Brak zgłoszonej przerwy w działaniu usług nie oznacza jednak, że incydent był nieistotny. Pokazał, dlaczego telekomunikacja, energetyka, ochrona zdrowia, finanse, transport i inne usługi podstawowe są traktowane jako cele strategiczne — oraz dlaczego Singapur rozszerza kontrolę także na systemy i dostawców otaczających CII.

Chmura i dostawcy zewnętrzni będą kolejną warstwą regulacji

Singapur planuje wprowadzić osobny, prawnie wiążący Cybersecurity Code of Practice for Cloud Services w drugiej połowie 2026 roku. Kodeks ma określać zasady bezpiecznego wdrażania, obsługi i zarządzania systemami CII działającymi w środowiskach chmurowych.

CSA współpracowała z AWS, Google Cloud i Microsoft Azure nad wytycznymi wdrożeniowymi dostosowanymi do poszczególnych dostawców. Mają one obejmować odpowiednie konfiguracje oraz wykorzystanie natywnych funkcji bezpieczeństwa chmury.

Terminy certyfikacji obejmą również łańcuch dostaw cyberbezpieczeństwa:

• audytorzy CII będą musieli uzyskać CTM Level 5 do końca 2026 roku;
• licencjonowani dostawcy testów penetracyjnych oraz usług zarządzanych centrów operacji bezpieczeństwa będą musieli uzyskać CTM Level 3 do końca 2026 roku;
• właściciele CII będą musieli uzyskać CTM Level 5 dla odpowiednich systemów wspierających do końca 2027 roku.

Za tymi wymaganiami stoi szersza zasada: bezpieczeństwo operatora infrastruktury krytycznej zależy nie tylko od jego własnych zabezpieczeń, lecz także od organizacji, które audytują, monitorują, testują i hostują jego systemy.

Co nadal pozostaje niejasne?

Zaktualizowane wymagania dotyczące CII zostały już opublikowane przez CSA, ale szczegółowe obowiązki wynikające z odrębnego kodeksu chmurowego są nadal opracowywane. Publiczne informacje wskazują planowany termin i ogólny zakres regulacji, jednak precyzyjne wymagania wobec dostawców chmury, podwykonawców i podziału odpowiedzialności w modelu współdzielonym nie zostały jeszcze w pełni określone.

Dla operatorów CII najpilniejszym zadaniem jest więc przeanalizowanie całego łańcucha zależności: formalnie wyznaczonych systemów CII, systemów połączonych, obciążeń chmurowych, środowisk odtwarzania, dostawców oraz zewnętrznych usług bezpieczeństwa. Kierunek singapurskiej polityki jest jasny, nawet jeśli część szczegółów wdrożeniowych dopiero zostanie opublikowana: chronioną granicą staje się cały ekosystem operacyjny, a nie tylko system oznaczony etykietą CII.