Proyecto de ley bipartidista sobre ciberseguridad inminente

Los legisladores en el Capitolio se apresuran a presentar legislación para abordar el aumento drástico de ataques de ransomware y otros ciberataques contra organizaciones críticas como Colonial Pipeline y JBS . Hasta hace poco, el gobierno federal de EE. UU. no había logrado aprobar legislación a nivel nacional para combatir y reportar incidentes de ciberseguridad. El actual proyecto de ley bipartidista presentado por los senadores Mark Warner (demócrata por Virginia), Marco Rubio (republicano por Florida) y Susan Collins (republicana por Maine) refleja un renovado esfuerzo del Congreso para aprobar las tan necesarias normas federales sobre la notificación de violaciones de ciberseguridad.

[Nota del editor: ¿Por qué no aprobar leyes destinadas a adoptar medidas de prevención?] 

¿Qué hay en la factura?

El proyecto de ley propuesto exige que las agencias federales, los contratistas y los operadores de infraestructura crítica envíen notificaciones de violaciones de seguridad a la Agencia de Ciberseguridad e Infraestructura (CISA) del Departamento de Seguridad Nacional (DHS) en un plazo de 24 horas. La CISA colaboraría con el Director de Inteligencia Nacional, la Oficina de Administración y Presupuesto, el Departamento de Defensa y el Director de Información Federal para establecer normas sobre quiénes deben informar específicamente sobre qué tipo de intrusiones. Además de notificar las intrusiones, las empresas deberán informar sobre las redes afectadas, las tácticas empleadas por los piratas informáticos y la información de contacto de las víctimas.

[Nota del editor: ¿Por qué limitarse a las agencias federales cuando las PYMES son atacadas 15 veces más a menudo?]

Los contratistas federales que incumplan la ley podrían enfrentar sanciones que podrían incluir la pérdida de su derecho a contratos futuros. Por cada día de incumplimiento, más allá de las 24 horas, los propietarios de infraestructuras críticas o las empresas de respuesta a incidentes cibernéticos podrían enfrentar multas de hasta el 0.5% de sus ingresos brutos del año anterior.

El proyecto de ley incluye protecciones de responsabilidad para las empresas que informen sobre su infracción, lo que debería eliminar las barreras para una comunicación abierta y honesta con CISA. [Pregunta del editor: ¿Serán públicos o confidenciales estos informes a CISA?]

¿Por qué aprobar el proyecto de ley?

Si bien algunas agencias gubernamentales ya están sujetas a algún tipo de requisitos de ciberseguridad, como la TSA, debería existir una ley que abarque a todas las entidades gubernamentales. Actualmente, esta legislación cuenta con apoyo bipartidista, ya que todos coinciden en que los ciberataques son un grave problema, como lo demuestra un año de ataques a hospitales, escuelas y agencias gubernamentales. Ambos partidos quieren tomar medidas para frenar estos ataques. Los funcionarios de la CISA argumentan que la transparencia en la información sobre estos ataques contribuirá a una mejor comprensión y a la adopción de medidas para proteger la infraestructura crítica del país.

[Nota del editor: CyberHoot cree que las agencias estadounidenses de tres letras conocen con exactitud los grupos involucrados, las tácticas, técnicas y procedimientos que utilizan. Además, CyberHoot cree saber qué contramedidas serían más eficaces. ¿Por qué, entonces, no se centra la prevención? No necesitamos más datos, necesitamos más medidas para protegernos.]

¿Qué debemos hacer para protegernos?

Su empresa no puede esperar a que los legisladores del Capitolio exijan protección contra ransomware u otros ciberataques. Su empresa necesita tomar medidas proactivas hoy mismo para reducir el riesgo de ser víctima. CyberHoot recomienda las siguientes prácticas recomendadas para prepararse, limitar los daños y, en ocasiones, evitar estos ciberataques:

• Adoptar autenticación de dos factores en todos los servicios críticos accesibles a Internet
• Adopta un administrador de contraseñas para una mejor higiene de contraseñas personales y laborales
• Se requieren contraseñas de más de 14 caracteres en su Políticas de gobernanza
• Sigue a Método de respaldo 3-2-1 para todos los datos críticos y sensibles
• Capacitar a los empleados Para detectar y evitar el correo electrónico phishing, ataques
• Verificar que los empleados Puede detectar y evitar correos electrónicos de phishing probándolos
• Documentar y probar Planes de recuperación ante desastres y continuidad del negocio (BCDR)
• Lleve a cabo una evaluación de riesgos cada dos o tres años

Comience hoy mismo a construir su sólido plan de ciberseguridad con defensa en profundidad utilizando CyberHoot.

Para obtener más información sobre Ransomware y cómo puede afectar su negocio, mire nuestro último video de capacitación:

Fuentes: 

CyberScoop

CNN

La colina

Lecturas adicionales: 

Ataque de ransomware JBS

Hackean el oleoducto colonial

Texas exige capacitación sobre concientización tras el ataque a Colonial