S’pura perketat peraturan kawal selia khidmat kritikal bagi tangani ancaman siber AI

Pengendali prasarana maklumat kritikal (CII) Singapura perlu menggunakan alat pengesanan pencerobohan buatan tempatan dan memastikan penglibatan peringkat lembaga pengarah dalam hal ehwal keselamatan siber bagi menangani ancaman semakin meningkat daripada kecerdasan buatan (AI).

Langkah tersebut adalah antara keperluan keselamatan siber mandatori lebih ketat di bawah Kod Amalan bagi Keselamatan Siber yang akan berkuat kuasa menjelang akhir Julai.

Alat pengesanan ancaman yang dibangunkan secara tempatan ini diperkenalkan berikutan serangan kumpulan pengintipan siber dibiayai negara, UNC3886, terhadap empat syarikat telekomunikasi utama Singapura – Singtel, StarHub, M1 dan Simba Telecom – yang dikesan pada Julai 2025.

Alat berkenaan, yang dibangunkan Pusat Teknologi Infokom Strategik (CSIT) di bawah Kementerian Pertahanan (Mindef), telah pun digunakan dalam sistem CII terpilih.

Pelaksanaan lebih meluas merentasi kesemua 11 sektor CII sedang dirancang bagi memperkukuh pertahanan Singapura daripada ancaman lanjutan berterusan (APT) sedemikian.

Sektor CII tersebut merangkumi sektor penerbangan, penjagaan kesihatan, pengangkutan darat, maritim, media, perkhidmatan keselamatan dan kecemasan, air, perbankan dan kewangan, tenaga, infokomunikasi, serta pemerintah.

Mengumumkan peraturan baharu itu pada 22 Julai, Menteri Penerangan dan Pembangunan Digital, Cik Josephine Teo, berkata:

“Pelaku ancaman yang canggih akan terus berusaha dalam mencari kelemahan (sistem) dan tidak akan teragak-agak untuk mengeksploitasi setiap ruang bagi membolosi sistem yang saling terhubung secara mendalam.”

Beliau berkata demikian semasa Forum Panel Pakar Keselamatan Siber Teknologi Operasi (OTCEP) edisi keenam, anjuran Agensi Keselamatan Siber (CSA) Singapura, di Pusat Konvensyen Resorts World.

Kemajuan dalam bidang AI menjadikan serangan siber semakin canggih, membolehkan pelaku ancaman mengesan kelemahan dengan lebih pantas, sekali gus melancarkan serangan pada skala lebih besar.

Di bawah keperluan baharu itu, pemilik CII perlu memastikan kesemua ahli lembaga pengarah mereka – bukan hanya seorang pengarah – bertanggungjawab mengawasi keselamatan siber di bawah kod amalan yang dikemas kini.

Sebelum ini, pemilik CII hanya perlu memastikan sekurang-kurangnya seorang ahli lembaga pengarah mempunyai pengetahuan tentang risiko keselamatan siber untuk memberi bimbingan kepada pengurusan kanan.

Namun tidak lama lagi, kesemua ahli lembaga pengarah perlu terlibat dalam pengawasan keselamatan siber organisasi masing-masing, kata CSA.

Ini kerana ancaman berasaskan AI telah mempercepat kelajuan dan skala serangan siber, sekali gus menjadikan pengawasan dan kebertanggungjawapan peringkat lembaga pengarah semakin penting, menurut CSA.

Lembaga pengarah kini juga perlu mengekalkan rangka kerja ketahanan siber bertulis yang menetapkan toleransi risiko, langkah pengurangan, dan pemulihan organisasi, serta menyemak rangka kerja tersebut sekurang-kurangnya sekali setahun. 

Kod Amalan bagi Keselamatan Siber yang dikemas kini itu juga akan mewajibkan pemilik CII untuk mendapatkan pensijilan keselamatan siber tahap tertinggi, iaitu tanda Cyber Trust Tahap 5, bagi sistem bukan CII mereka yang menyokong operasi dan perkhidmatan perniagaan.

Pensijilan Tahap 5 memerlukan kesediaan dalam kesemua 22 domain, termasuk tadbir urus, perlindungan aset, dan akses selamat. 

Pensijilan tahap lebih rendah hanya memerlukan kesediaan dalam jumlah domain lebih sedikit.