Επίκειται διακομματικό νομοσχέδιο για την κυβερνοασφάλεια

Οι νομοθέτες στο Καπιτώλιο αγωνίζονται να εισαγάγουν νομοθεσία που θα αντιμετωπίζει τις συντριπτικές αυξήσεις ransomware και άλλων κυβερνοεπιθέσεων σε κρίσιμους οργανισμούς όπως το Colonial Pipeline και το JBS . Μέχρι πρόσφατα, η ομοσπονδιακή κυβέρνηση των ΗΠΑ δεν είχε καταφέρει να ψηφίσει νομοθεσία σε εθνικό επίπεδο για την καταπολέμηση και την αναφορά συμβάντων κυβερνοασφάλειας. Το τρέχον διακομματικό νομοσχέδιο που παρουσίασαν οι γερουσιαστές Mark Warner (Δημοκρατικός-Βιρτζίνια), Marco Rubio (Ρεπουμπλικάνος-Φλόριντα) και Susan Collins (Ρεπουμπλικάνος-Μένιγκαν), αντικατοπτρίζει μια αναζωογονημένη προσπάθεια του Κογκρέσου να ψηφίσει τους απαραίτητους ομοσπονδιακούς κανόνες σχετικά με τις ειδοποιήσεις παραβίασης της κυβερνοασφάλειας.

[Σημείωση του συντάκτη: Γιατί να μην ψηφιστεί νομοθεσία που να στοχεύει σε μέτρα πρόληψης;] 

Τι υπάρχει στο Bill;

Το προτεινόμενο νομοσχέδιο απαιτεί από τις ομοσπονδιακές υπηρεσίες, τους εργολάβους και τους φορείς εκμετάλλευσης κρίσιμων υποδομών να στέλνουν ειδοποιήσεις παραβίασης στην Υπηρεσία Κυβερνοασφάλειας και Υποδομών (CISA) του Υπουργείου Εσωτερικής Ασφάλειας (DHS) εντός 24 ωρών. Η CISA θα συνεργαστεί με τον Διευθυντή Εθνικών Πληροφοριών, το Γραφείο Διαχείρισης και Προϋπολογισμού του Υπουργείου Άμυνας και τον Ομοσπονδιακό Αρχηγό Πληροφοριών για να συντάξει κανόνες σχετικά με το ποιος συγκεκριμένα θα πρέπει να αναφέρει τι είδους εισβολές. Εκτός από την ειδοποίηση για εισβολές, οι επιχειρήσεις θα πρέπει να αναφέρουν ποια δίκτυα επηρεάστηκαν, τις τακτικές που χρησιμοποίησαν οι χάκερ και τα στοιχεία επικοινωνίας των θυμάτων.

[Σημείωση του συντάκτη: Γιατί να περιοριστούμε σε ομοσπονδιακές υπηρεσίες όταν οι μικρομεσαίες επιχειρήσεις δέχονται επιθέσεις 15 φορές πιο συχνά;]

Οι ομοσπονδιακοί εργολάβοι που δεν συμμορφώνονται με τον νόμο θα αντιμετωπίζουν κυρώσεις έως και την απώλεια της επιλεξιμότητας για μελλοντικές συμβάσεις. Για κάθε ημέρα που δεν συμμορφώνονται πέραν των 24 ωρών, οι ιδιοκτήτες κρίσιμων υποδομών ή οι εταιρείες αντιμετώπισης κυβερνοπεριστατικών θα μπορούσαν να αντιμετωπίσουν πρόστιμα έως και 0.5% των ακαθάριστων εσόδων τους από το προηγούμενο έτος.

Το νομοσχέδιο περιλαμβάνει προστασία ευθύνης για εταιρείες που αναφέρουν την παραβίαση, η οποία θα πρέπει να άρει τα εμπόδια στην ανοιχτή και ειλικρινή επικοινωνία με την CISA. [Ερώτηση συντάκτη: Αυτές οι αναφορές προς την CISA θα είναι δημόσιες ή εμπιστευτικές;]

Γιατί να ψηφιστεί το νομοσχέδιο;

Ενώ ορισμένες κυβερνητικές υπηρεσίες υπόκεινται ήδη σε κάποια μορφή απαιτήσεων κυβερνοασφάλειας, όπως η TSA, θα πρέπει να θεσπιστεί ένας νόμος που να αφορά όλες τις κυβερνητικές οντότητες. Προς το παρόν, υπάρχει διακομματική υποστήριξη για αυτήν τη νομοθεσία, καθώς όλοι συμφωνούν ότι οι κυβερνοεπιθέσεις αποτελούν ένα τεράστιο πρόβλημα, όπως αποδεικνύεται από έναν χρόνο επιθέσεων σε νοσοκομεία, σχολεία, κυβερνητικές υπηρεσίες. Και οι δύο πλευρές θέλουν να λάβουν μέτρα για την επιβράδυνση αυτών των επιθέσεων. Οι αξιωματούχοι της CISA υποστηρίζουν ότι η διαφανής αναφορά αυτών των επιθέσεων θα βοηθήσει στην καλύτερη κατανόηση και στη λήψη αντιμέτρων για την προστασία των κρίσιμων υποδομών του έθνους.

[Σημείωση του συντάκτη: Η CyberHoot πιστεύει ότι οι αμερικανικές υπηρεσίες με τρία γράμματα γνωρίζουν ακριβώς τις εμπλεκόμενες ομάδες, τις τακτικές, τις τεχνικές και τις διαδικασίες που χρησιμοποιούν. Επιπλέον, η CyberHoot πιστεύει ότι γνωρίζουν ποια αντίμετρα θα βοηθούσαν περισσότερο. Γιατί λοιπόν δεν είναι η πρόληψη το επίκεντρο; Δεν χρειαζόμαστε περισσότερα δεδομένα, χρειαζόμαστε περισσότερη δράση για να ασφαλίσουμε τους εαυτούς μας.]

Τι πρέπει να κάνουμε για να ασφαλίσουμε τον εαυτό μας;

Η εταιρεία σας δεν μπορεί να περιμένει οδηγίες από τους νομοθέτες του Καπιτωλίου για να απαιτήσει προστασία από ransomware ή άλλες κυβερνοεπιθέσεις. Η εταιρεία σας πρέπει να λάβει προληπτικά μέτρα σήμερα για να μειώσει τις πιθανότητες να πέσει θύμα. Η CyberHoot συνιστά τις ακόλουθες βέλτιστες πρακτικές για να προετοιμαστεί, να περιορίσει τις ζημιές και μερικές φορές να αποφύγει αυτές τις κυβερνοεπιθέσεις:

• Ενστερνίζομαι έλεγχος ταυτότητας δύο παραγόντων σε όλες τις κρίσιμες υπηρεσίες που είναι προσβάσιμες μέσω Διαδικτύου
• Υιοθετήστε α Διευθυντής κωδικού πρόσβασης για καλύτερη υγιεινή προσωπικών/επαγγελματικών κωδικών πρόσβασης
• Απαιτούνται κωδικοί πρόσβασης 14+ χαρακτήρων στο Πολιτικές Διακυβέρνησης
• Ακολουθήστε ένα Μέθοδος δημιουργίας αντιγράφων ασφαλείας 3-2-1 για όλα τα κρίσιμα και ευαίσθητα δεδομένα
• Εκπαίδευση υπαλλήλων για να εντοπίσετε και να αποφύγετε τα email Phishing επιθέσεις
• Ελέγξτε ότι οι εργαζόμενοι μπορούν να εντοπίσουν και να αποφύγουν τα ηλεκτρονικά μηνύματα ηλεκτρονικού "ψαρέματος" (phishing) δοκιμάζοντάς τα
• Έγγραφο και δοκιμή Σχέδια Ανάκαμψης από Καταστροφές (BCDR) για Συνέχεια Επιχειρήσεων
• Εκτελέστε ένα εκτίμηση του κινδύνου κάθε δύο έως τρία χρόνια

Ξεκινήστε να δημιουργείτε το ισχυρό, εις βάθος σχέδιο κυβερνοασφάλειας που σας καλύπτει σήμερα με το CyberHoot.

Για να μάθετε περισσότερα σχετικά με το Ransomware και πώς μπορεί να επηρεάσει την επιχείρησή σας, παρακολουθήστε το τελευταίο μας εκπαιδευτικό βίντεο:

Πηγές: 

CyberScoop

CNN

TheHill

Επιπλέον αναγνώσεις: 

Επίθεση ransomware JBS

Παραβιάστηκε ο αγωγός Colony

Το Τέξας απαιτεί εκπαίδευση ευαισθητοποίησης μετά από επίθεση στο Colonial