Senat donio zakon o kibernetičkoj sigurnosti prisiljavajući organizacije da prijave kibernetičke napade, plaćanja otkupnine

Američki Senat odobrio je novi zakon o kibernetičkoj sigurnosti koji će organizacije kritične infrastrukture prisiliti na izvješćivanje kibernetičke napade Agenciji za kibernetičku sigurnost i sigurnost infrastrukture (CISA) unutar 72 sata i plaćanja ransomwarea unutar 24 sata.

The Jačanje američkog Zakona o kibersigurnosti prošao jednoglasnom suglasnošću u utorak nakon što je uveo 8. veljače od strane senatora Roba Portmana i Garyja Petersa, istaknutog člana i predsjednika Senatskog odbora za domovinsku sigurnost i vladine poslove.

Djelo kombinira dijelove 

Zakon o prijavljivanju kibernetičkih incidenata, Savezni zakon o modernizaciji informacijske sigurnosti iz 2021, i Savezni zakon o poboljšanju sigurnog oblaka i zapošljavanju -- čiji su svi autori Peters i Portman i koji su izašli iz odbora prije nego što su posrnuli.

Zakon na 200 stranica uključuje nekoliko mjera osmišljenih za modernizaciju cybersigurnosnog položaja savezne vlade, a oba Petersa a Portman je rekao da je zakon "hitno potreban" u svjetlu američke potpore Ukrajini, koju je Rusija napala prošli tjedan.

Zabrinut sam zbog toga, jer naša nacija to s pravom nastavlja podržavati #Ukrajina tijekom ruskog ilegalnog, neopravdanog napada, SAD će se suočiti s povećanim cyber napadima i napadima ransomwarea iz Rusije. Savezna vlada mora brzo koordinirati svoj odgovor na sve moguće napade.

— Rob Portman (@senrobportman) 2. ožujka 2022

"Dok naša nacija nastavlja podržavati Ukrajinu, moramo se pripremiti za osvetničke kibernetičke napade ruske vlade... Ovaj značajan zakon, koji je sada prošao Senat, značajan je korak naprijed u osiguravanju Sjedinjenih Država Države se mogu boriti protiv kibernetičkih kriminalaca i stranih protivnika koji pokreću te uporne napade," Peters rekao je.

"Naš značajan, dvostranački prijedlog zakona osigurat će da CISA bude vodeća vladina agencija odgovorna za pomoć kritičnoj infrastrukturi operateri i civilne federalne agencije odgovaraju i oporavljaju se od velikih proboja mreže i ublažavaju operativne utjecaje hakovi. Nastavit ću poticati svoje kolege u Zastupničkom domu da donesu ovaj hitno potreban zakon za poboljšanje javne i privatne kibernetičke sigurnosti kao novi otkriju se ranjivosti i osiguraju da savezna vlada može sigurno i sigurno koristiti tehnologiju temeljenu na oblaku kako bi spasila porezne obveznike dolara."

Zakon također ovlašćuje Federalni program upravljanja rizikom i autorizacijom (FedRAMP) na pet godina kako bi se osiguralo da savezne agencije mogu "brzo i sigurno usvojite tehnologije temeljene na oblaku koje poboljšavaju rad i učinkovitost vlade." Djelo se pokušava racionalizirati zakone savezne vlade o kibersigurnosti za poboljšanje koordinacije između saveznih agencija i zahtijeva od svih civilnih agencija da sve prijave cyber napadi na CISA.

Zakonom se ažurira prag za agencije da prijave kibernetičke incidente Kongresu i daje CISA-i više ovlasti kako bi se osiguralo da je vodeća federalna agencija zadužena za reagiranje na kibernetičke sigurnosne incidente na saveznim civilima mreže.

Sada ide u Zastupnički dom na glasovanje prije nego što stigne do stola predsjednika Joea Bidena. Peters i Portman rekli su da su surađivali s predsjednicom Nadzornog odbora Zastupničkog doma Carolyn Maloney, kao i s republikanskim i demokratskim zastupnicima u Zastupničkom domu kako bi se prijedlog zakona odobrio.

rekao je Maloney ZDNet da akt sadrži Federalni zakon o modernizaciji informacijske sigurnosti, odredbu koju je nazvala jednim od svojih "glavnih zakonodavnih prioriteta".

"Odbor za nadzor i reformu započeo je 2022. dvostranačkim saslušanjem i označavanjem kako bi ispitao kako najbolje pristupiti FISMA-i modernizaciju i veselimo se uključivanju tih ključnih naučenih lekcija dok se ovaj napor kreće kroz zakonodavni proces," rekao je Maloney.

"Reforma FISMA-e odredit će naše savezno držanje kibernetičke sigurnosti u godinama koje dolaze, a bitno je da konačni račun grabi svaku priliku da obrani naše savezne mreže od napada napada s kojima se suočavaju dnevno."

Rep. Jim Langevin, supredsjedavajući Kluba za kibernetičku sigurnost, rekao je da dobivanje izvješća o incidentima, FISMA i FedRamp preko ciljne crte i na predsjednikov stol "trebao bi biti glavni prioritet za ovo Kongres."

"Moji kolege u Zastupničkom domu i ja naporno smo radili na razvijanju snažnog jezika kako bismo postigli ove ciljeve, a ne sve što je uključeno u ovaj prijedlog zakona, kao što je potreba za kodificiranjem dvojne uloge federalnog CISO-a," Langevin ispričao ZDNet. "Veselim se nadogradnji ovotjednog napretka u donošenju snažnog kibernetičkog zakonodavstva iz oba doma, tako da možemo zadovoljiti hitne potrebe naše zemlje za kibersigurnošću."

U vlastitoj izjavi, Portman je također istaknuo načine na koje će zakon ažurirati FISMA i osigurati "odgovornost potrebnu za rješavanje dugotrajnih slabosti u saveznu kibernetičku sigurnost pojašnjavajući uloge i odgovornosti i zahtijevajući od vlade da brzo obavijesti američki narod ako su njihovi podaci kompromitirano."

Oba senatora napomenula su da bi se prijedlog zakona primjenjivao na napade ransomwareom 2021 Kolonijalni plinovod i globalni prerađivač mesa JBS. No njih dvoje su rekli da će zakon "pomoći u osiguravanju kritičnih infrastrukturnih entiteta kao što su banke, električne mreže, vodovodne mreže i transportni sustavi mogu se brzo oporaviti i pružiti osnovne usluge američkom narodu u slučaju mreže kršenja." 

Suosnivač CyberSainta Padriac O'Reilly radi izravno s kritičnom infrastrukturom u financijskim uslugama, komunalnim službama i vladi kako bi izmjerio kibernetički rizik.

O'Reilly je objasnio da je trenutna situacija kibernetičke sigurnosti istrošila dugogodišnju neposlušnost određenih kritičnih infrastrukturnih sektora u odnosu na 72-satno izvješćivanje za incidente.

“Dva su dijela vrlo duboko u zakonodavstvu koja mi se ističu. Govore o analizi rizika temeljenoj na proračunu za poboljšanje kibernetičke sigurnosti i pristupu kibernetici općenito temeljenom na metrici. To je upravo ono što je potrebno i poznato je već neko vrijeme u industriji", rekao je O'Reilly.

"Odjeljak 115 pokriva automatizirano izvješćivanje. Ovo je vrlo pravodobno jer automatizacija napreduje u privatnom sektoru i ključna je za upravljanje rizicima u budućnosti. Bio sam stvarno impresioniran kada sam vidio ovo na računu. Vlada godinama pokušava unaprijediti ovaj cilj u svim agencijama i odjelima. Odjeljak 119 doista dotiče sveti gral u upravljanju rizikom, a to je mogućnost da se rizici kibernetičke sigurnosti sagledaju po prioritetima s obzirom na proračun."