Lovforslag om cybersikkerhed på tværs af partier er på vej

Lovgivere på Capitol Hill kæmper for at indføre lovgivning, der skal adressere den overvældende stigning i ransomware og andre cyberangreb på kritiske organisationer som Colonial Pipeline og JBS . Indtil for nylig har den amerikanske føderale regering undladt at vedtage landsdækkende lovgivning til bekæmpelse og rapportering af cybersikkerhedshændelser. Det nuværende tværpolitiske lovforslag, der er fremlagt af senatorerne Mark Warner (D-VA), Marco Rubio (R-FL) og Susan Collins (R-ME), afspejler en revitaliseret indsats fra Kongressens side for at vedtage hårdt tiltrængte føderale regler omkring anmeldelser af cybersikkerhedsbrud.

[Redaktørens bemærkning: Hvorfor ikke vedtage lovgivning med henblik på forebyggende foranstaltninger?] 

Hvad er der i regningen?

Det foreslåede lovforslag kræver, at føderale agenturer, entreprenører og operatører af kritisk infrastruktur sender anmeldelser om sikkerhedsbrud til Department of Homeland Security's (DHS) Cybersecurity and Infrastructure Agency (CISA) inden for 24 timer. CISA vil samarbejde med Director of National Intelligence, Office of Management and Budget, Forsvarsministeriet og Federal Chief Information Officer for at udarbejde regler om, hvem der specifikt skal rapportere hvilke typer indbrud. Ud over anmeldelse af indbrud skal virksomheder rapportere, hvilke netværk der var berørt, hvilke taktikker hackere brugte, og kontaktoplysninger til ofrene.

[Redaktørens bemærkning: Hvorfor begrænse sig til føderale agenturer, når SMB'er angribes 15 gange oftere?]

Føderale entreprenører, der ikke overholder loven, kan blive pålagt bøder på op til og med ikke længere at være berettiget til fremtidige kontrakter. For hver dag, de ikke overholder loven i mere end 24 timer, kan ejere af kritisk infrastruktur eller virksomheder, der håndterer cyberhændelseshåndtering, blive pålagt bøder på op til 0.5 % af deres bruttoomsætning fra året før.

Lovforslaget omfatter ansvarsbeskyttelse for virksomheder, der rapporterer deres brud, hvilket burde fjerne barrierer for åben og ærlig kommunikation med CISA. [Redaktørens spørgsmål: Vil disse rapporter til CISA være offentlige eller fortrolige?]

Hvorfor vedtage lovforslaget?

Selvom nogle offentlige myndigheder allerede er underlagt en eller anden form for cybersikkerhedskrav, som f.eks. TSA, bør der være en lov på plads, der gælder for alle offentlige enheder. Der er i øjeblikket tværpolitisk støtte til denne lovgivning, da alle er enige om, at cyberangreb er et enormt problem, hvilket fremgår af et år med angreb på hospitaler, skoler og offentlige myndigheder. Begge sider af gangen ønsker at tage skridt til at bremse disse angreb. CISA-embedsmænd argumenterer for, at gennemsigtig rapportering af disse angreb vil bidrage til at opbygge bedre forståelse og modforanstaltninger for at beskytte landets kritiske infrastruktur.

[Redaktørens bemærkning: CyberHoot mener, at amerikanske agenturer (3-bogstavs) kender præcis de involverede grupper, de taktikker, teknikker og procedurer, de bruger. Desuden mener CyberHoot, at de ved, hvilke modforanstaltninger der ville hjælpe mest. Hvorfor er forebyggelse så ikke i fokus? Vi har ikke brug for flere data, vi har brug for mere handling for at sikre os selv.]

Hvad skal vi gøre for at sikre os selv?

Din virksomhed kan ikke vente på forskrifter fra lovgivere på Capitol Hill for at kræve beskyttelse mod ransomware eller andre cyberangreb. Din virksomhed skal træffe proaktive foranstaltninger i dag for at reducere risikoen for at blive offer. CyberHoot anbefaler følgende bedste praksis for at forberede sig på, begrænse skader og nogle gange undgå disse cyberangreb:

• Vedtage to-faktor autentificering på alle kritiske internettilgængelige tjenester
• Vedtage en Password Manager for bedre personlig/arbejdsmæssig adgangskodehygiejne
• Kræv adgangskoder på 14+ tegn i din Governance Politikker
• Følg a 3-2-1 backupmetode for alle kritiske og følsomme data
• Træn medarbejdere at få øje på og undgå e-mailbaserede Phishing angreb
• Kontroller, at medarbejderne kan spotte og undgå phishing-e-mails ved at teste dem
• Dokumentér og test Planer for forretningskontinuitet efter katastrofeberedskab (BCDR)
• Udfør en risikovurdering hvert andet til tredje år

Begynd at opbygge din robuste og dybdegående cybersikkerhedsplan i dag med CyberHoot.

For at lære mere om ransomware og hvordan det kan påvirke din virksomhed, se vores seneste træningsvideo:

kilder: 

CyberScoop

CNN

Bakken

Yderligere læsninger: 

JBS Ransomware-angreb

Hacking af kolonialrørledningen

Texas kræver bevidsthedstræning efter angreb på kolonial