Hrozící dvoustranný zákon o kybernetické bezpečnosti

Zákonodárci na Kapitolu se usilovně snaží předložit legislativu, která by se zabývala ohromným nárůstem ransomwaru a dalších kybernetických útoků na klíčové organizace, jako jsou Colonial Pipeline a JBS . Až donedávna se federální vládě USA nepodařilo schválit celostátní legislativu pro boj s kybernetickými událostmi a jejich hlášení. Současný návrh zákona, který předložili senátoři Mark Warner (demokrat za Virginii), Marco Rubio (republikán za Floridu) a Susan Collins (republikánka za Maine), odráží obnovené úsilí Kongresu o schválení tolik potřebných federálních pravidel týkajících se oznamování narušení kybernetické bezpečnosti.

[Poznámka redakce: Proč nepřijmout legislativu zaměřenou na preventivní opatření?] 

Co je v návrhu zákona?

Navrhovaný zákon vyžaduje, aby federální agentury, dodavatelé a provozovatelé kritické infrastruktury zasílali oznámení o narušení bezpečnosti Agentuře pro kybernetickou bezpečnost a infrastrukturu (CISA) Ministerstva vnitřní bezpečnosti (DHS) do 24 hodin. CISA by spolupracovala s ředitelem Národní zpravodajské služby, Úřadem pro řízení a rozpočet, Ministerstvem obrany a Federálním ředitelem pro informační technologie na vypracování pravidel o tom, kdo konkrétně by měl hlásit jaké druhy narušení. Kromě oznámení o narušení by podniky musely hlásit, které sítě byly zasaženy, taktiky, které hackeři použili, a kontaktní informace obětí.

[Poznámka editora: Proč se omezovat na federální agentury, když malé a střední podniky jsou napadány 15krát častěji?]

Federální dodavatelé, kteří nebudou zákon dodržovat, budou čelit sankcím až do ztráty nároku na budoucí zakázky. Za každý den, kdy zákon nedodrží déle než 24 hodin, mohou vlastníci kritické infrastruktury nebo firmy zabývající se kybernetickými incidenty čelit pokutám až do výše 0.5 % jejich hrubého příjmu z předchozího roku.

Návrh zákona zahrnuje ochranu odpovědnosti pro společnosti, které nahlásí porušení, což by mělo odstranit překážky otevřené a upřímné komunikace s CISA. [Otázka editora: Budou tato hlášení pro CISA veřejná, nebo důvěrná?]

Proč schválit návrh zákona?

Zatímco některé vládní agentury, jako například TSA, již podléhají nějaké formě požadavků na kybernetickou bezpečnost, měl by být zaveden zákon, který se dotýká všech vládních subjektů. V současné době existuje pro tuto legislativu podpora obou stran, protože všichni se shodují, že kybernetické útoky jsou obrovským problémem, o čemž svědčí rok útoků na nemocnice, školy a vládní agentury. Obě strany chtějí podniknout kroky k jejich zpomalení. Zástupci CISA tvrdí, že transparentní hlášení těchto útoků pomůže lépe porozumět problematice a zavede protiopatření k ochraně kritické infrastruktury země.

[Poznámka editora: CyberHoot se domnívá, že americké agentury přesně znají zapojené skupiny, taktiky, techniky a postupy, které používají. CyberHoot navíc věří, že vědí, jaká protiopatření by nejvíce pomohla. Proč tedy není důraz kladen na prevenci? Nepotřebujeme více dat, potřebujeme více akcí k vlastnímu zabezpečení.]

Co bychom měli udělat pro svou bezpečnost?

Vaše společnost nemůže čekat na předpisy od zákonodárců na Kapitolu, aby požadovala ochranu před ransomwarem nebo jinými kybernetickými útoky. Vaše společnost musí dnes přijmout proaktivní opatření, aby snížila pravděpodobnost, že se stane obětí. CyberHoot doporučuje následující osvědčené postupy, jak se na tyto kybernetické útoky připravit, omezit škody a někdy se jim i vyhnout:

• Přijmout dvoufaktorová autentizace na všech kritických službách přístupných z internetu
• Přijměte a Password Manager pro lepší hygienu osobních/pracovních hesel
• Vyžadovat hesla o délce 14 a více znaků Zásady řízení
• Postupujte podle Metoda zálohování 3-2-1 pro všechna kritická a citlivá data
• Školit zaměstnance odhalit a vyhnout se e-mailovým Phishing Útoky
• Zkontrolujte, zda zaměstnanci dokáže odhalit a vyhnout se phishingovým e-mailům jejich testováním
• Dokumentace a test Plány pro zotavení po havárii zajištěné kontinuity podnikání (BCDR)
• Proveďte posouzení rizik každé dva až tři roky

Začněte s budováním robustního plánu kybernetické bezpečnosti s hloubkovou obranou ještě dnes s CyberHootem.

Chcete-li se dozvědět více o ransomwaru a o tom, jak může ovlivnit vaše podnikání, podívejte se na naše nejnovější školicí video:

Zdroje: 

CyberScoop

CNN

TheHill

Další četba: 

Útok ransomwaru JBS

Hacknutý Colonial Pipeline

Texas vyžaduje školení o zvyšování povědomí po útoku na Colonial