Нові кіберправила Сінгапуру поширюють захист критичної інфраструктури на всю екосистему

Це важливо, оскільки зловмисники можуть використовувати менш захищені системи як точку входу до критичної інфраструктури. Сінгапур повідомляє, що загрозливі угруповання дедалі частіше атакують саме не-CII-системи, розраховуючи на слабший рівень захисту.

2. Кібербезпека стане спільною відповідальністю всієї ради директорів

Оновлений підхід переносить відповідальність за кіберризики за межі ІТ-відділу або одного призначеного керівника. Очікується, що вся рада директорів і вище керівництво контролюватимуть кіберризики та відновлення після інцидентів.

Ради директорів мають підтримувати документовану систему кіберстійкості, яка визначає:

• прийнятний для організації рівень кіберризику;
• заходи для зниження й управління цим ризиком;
• можливі механізми його передачі, зокрема страхування або інші домовленості;
• пріоритети та спроможності щодо відновлення.

Таку систему потрібно переглядати щонайменше раз на рік.

Отже, кіберстійкість стає регулярним управлінським обов’язком, а не разовою перевіркою на відповідність вимогам. Директори мають чіткіше визначати, який рівень ризику організація готова прийняти та як вона працюватиме після серйозної атаки.

3. Контроль пошириться на пов’язані системи

Власники CII повинні контролювати системи, які підключені до критичної інфраструктури, обмінюються з нею даними або забезпечують її роботу. Оновлені вимоги також передбачають посилення мережевої архітектури, моніторингу та управління виявленням загроз, а також розроблення комплексних планів кібернавчань для скоординованого реагування на інциденти.

На практиці це означає, що операторам доведеться скласти повнішу карту залежностей. Системи, які формально не мають статусу CII, усе одно потребуватимуть посиленої уваги, якщо через них можна потрапити до критичних сервісів або якщо вони впливають на відновлення після атаки.

4. Допоміжні не-CII-системи мають відповідати рівню Cyber Trust Mark 5

До кінця 2027 року власники CII повинні отримати для контрольованих ними не-CII-систем, що підтримують бізнес-операції або послуги, сертифікацію Cyber Trust Mark (CTM) Level 5. Таким чином, вимоги до підтвердження захищеності поширюються за межі систем, офіційно визначених критичною інфраструктурою.

Level 5 — найвищий рівень у системі Cyber Trust Сінгапуру. Програма охоплює, зокрема, традиційну кібербезпеку, безпеку хмарних середовищ, операційних технологій та систем штучного інтелекту.

Мета — зменшити розрив між добре захищеною CII-системою та корпоративною інфраструктурою навколо неї. Вони можуть використовувати спільні облікові дані, інструменти адміністрування, мережі або процедури відновлення.

Чому Сінгапур посилює правила

ШІ скорочує час на виявлення та блокування атаки

CSA пояснює оновлення необхідністю протидіяти передовим стійким загрозам (APT) і атакам із використанням штучного інтелекту. ШІ може допомагати зловмисникам діяти швидше, масштабувати операції та підвищувати їхню складність. Це змушує організації раніше виявляти підозрілу активність і реагувати в усьому цифровому середовищі, а не покладатися лише на вузький периметр захисту.

Тому відповідь Сінгапуру не обмежується ще одним технічним засобом. Вона поєднує виявлення загроз, управлінський контроль, сертифікацію та регулярні навчання — щоб оператори могли швидко розпізнати атаку, ухвалити рішення і відновити критичні послуги, якщо запобігти проникненню не вдалося.

UNC3886 продемонструвало стратегічну цінність телекомунікацій

У 2025 році кампанія UNC3886 була спрямована проти чотирьох найбільших телекомунікаційних операторів Сінгапуру. Країна описала її як навмисну, цілеспрямовану та добре сплановану операцію угруповання з передовими можливостями.

CSA визначає UNC3886 як державне APT-угруповання, що застосовує складні методи, зокрема використання легітимних інструментів системи — тактику living off the land — і експлуатацію вразливостей нульового дня. Серед його цілей — стратегічно важливі активи, включно з критичною інфраструктурою.

У відповідь Сінгапур провів Operation CYBER GUARDIAN — скоординовану операцію за участю державних органів і телекомунікаційних компаній. За даними влади, інцидент вдалося локалізувати без перебоїв у роботі телекомунікаційних послуг; також не було виявлено ознак компрометації даних клієнтів.

Відсутність повідомлень про перебої в роботі сервісів не робить інцидент менш значущим. Він показав, чому телекомунікації, енергетика, охорона здоров’я, фінанси, транспорт та інші базові сфери розглядаються як стратегічні цілі — і чому контроль поширюється на системи та постачальників навколо CII.

Хмари та сторонні постачальники — наступний рівень захисту

У другій половині 2026 року Сінгапур планує запровадити окремий юридично обов’язковий Кодекс практики з кібербезпеки для хмарних сервісів. Очікується, що він визначатиме правила безпечного розгортання, експлуатації та управління CII-системами, розміщеними у хмарі.

CSA співпрацювало з AWS, Google Cloud і Microsoft Azure над окремими рекомендаціями для кожного провайдера. Вони стосуються належних конфігурацій і використання вбудованих засобів безпеки хмарних платформ.

Строки сертифікації також охоплюють ланцюг постачання кібербезпеки:

• аудитори CII мають отримати CTM Level 5 до кінця 2026 року;
• ліцензовані постачальники послуг тестування на проникнення та керованих центрів операцій із безпеки (SOC) мають отримати CTM Level 3 до кінця 2026 року;
• власники CII мають отримати CTM Level 5 для відповідних допоміжних систем до кінця 2027 року.

Ці заходи ґрунтуються на простому принципі: безпека критичного оператора залежить не лише від його власних засобів захисту, а й від організацій, які проводять аудит, здійснюють моніторинг, тестують і розміщують його системи.

Що поки що залишається невизначеним

Оновлені вимоги до CII вже оприлюднені CSA, однак детальні положення окремого кодексу для хмарних сервісів ще формуються. Публічні матеріали визначають заплановані строки та загальний напрям правил, але точні вимоги до хмарних провайдерів, субпідрядників і розподілу відповідальності між сторонами поки що не опубліковані повністю.

Тому безпосередній пріоритет для операторів CII — оцінити весь ланцюг залежностей: визначені критичні системи, пов’язані не-CII-системи, хмарні робочі навантаження, середовища відновлення, постачальників і зовнішні служби кібербезпеки. Напрям політики Сінгапуру вже очевидний: захищеним периметром стає вся операційна екосистема, а не лише система з позначкою CII.