Progetto di legge bipartisan sulla sicurezza informatica in arrivo

I legislatori di Capitol Hill si stanno affrettando a presentare una proposta di legge per affrontare l'enorme aumento di attacchi ransomware e altri attacchi informatici contro organizzazioni critiche come Colonial Pipeline e JBS . Fino a poco tempo fa, il governo federale statunitense non era riuscito ad approvare una legislazione nazionale per contrastare e segnalare gli eventi di sicurezza informatica. L'attuale disegno di legge bipartisan presentato dai senatori Mark Warner (D-VA), Marco Rubio (R-FL) e Susan Collins (R-ME) riflette un rinnovato impegno da parte del Congresso per approvare le necessarie norme federali in materia di notifica delle violazioni della sicurezza informatica.

[Nota dell'editore: Perché non approvare una legge volta a misure preventive?] 

Cosa c'è nel conto?

Il disegno di legge proposto prevede che le agenzie federali, gli appaltatori e i gestori di infrastrutture critiche inviino notifiche di violazione alla Cybersecurity and Infrastructure Agency (CISA) del Dipartimento per la Sicurezza Interna (DHS) entro 24 ore. La CISA collaborerebbe con il Direttore dell'Intelligence Nazionale, l'Ufficio di Gestione e Bilancio, il Dipartimento della Difesa e il Chief Information Officer federale per definire le norme che stabiliscono chi, nello specifico, è tenuto a segnalare quali tipi di intrusioni. Oltre alla notifica delle intrusioni, le aziende dovrebbero segnalare quali reti sono state colpite, le tattiche utilizzate dagli hacker e le informazioni di contatto delle vittime.

[Nota dell'editore: Perché limitarsi alle agenzie federali quando le PMI vengono attaccate 15 volte più spesso?]

Gli appaltatori federali che non rispettano la legge incorrerebbero in sanzioni che potrebbero arrivare fino alla perdita dell'idoneità per contratti futuri. Per ogni giorno di mancato rispetto della legge oltre le 24 ore, i proprietari di infrastrutture critiche o le aziende di risposta agli incidenti informatici potrebbero incorrere in multe fino allo 0.5% del fatturato lordo dell'anno precedente.

Il disegno di legge include tutele legali per le aziende che segnalano le violazioni, il che dovrebbe rimuovere gli ostacoli a una comunicazione aperta e onesta con la CISA. [Domanda dell'editore: queste segnalazioni alla CISA saranno pubbliche o riservate?]

Perché approvare la legge?

Sebbene alcune agenzie governative, come la TSA, siano già soggette a requisiti di sicurezza informatica, è necessario che venga emanata una legge che coinvolga tutti gli enti governativi. Attualmente, questa legge gode di un sostegno bipartisan, poiché tutti concordano sul fatto che gli attacchi informatici rappresentino un problema enorme, come dimostrato da un anno di attacchi a ospedali, scuole ed enti governativi. Entrambe le parti vogliono intervenire per rallentare questi attacchi. I funzionari della CISA sostengono che una comunicazione trasparente di questi attacchi contribuirà a migliorare la comprensione e l'adozione di contromisure per la protezione delle infrastrutture critiche del Paese.

[Nota dell'editore: CyberHoot ritiene che le agenzie statunitensi con tre lettere conoscano esattamente i gruppi coinvolti, le tattiche, le tecniche e le procedure che stanno utilizzando. Inoltre, CyberHoot ritiene che sappiano quali contromisure sarebbero più efficaci. Perché allora la prevenzione non è al centro dell'attenzione? Non abbiamo bisogno di più dati, abbiamo bisogno di più azioni per proteggerci.]

Cosa dovremmo fare per proteggerci?

La tua azienda non può aspettare le prescrizioni dei legislatori di Capitol Hill per richiedere protezioni da ransomware o altri attacchi informatici. La tua azienda deve adottare misure proattive fin da oggi per ridurre le probabilità di esserne vittima. CyberHoot consiglia le seguenti best practice per prepararsi, limitare i danni e, a volte, evitare questi attacchi informatici:

• Adottare autenticazione a due fattori su tutti i servizi critici accessibili tramite Internet
• Adotta un gestore di password per una migliore igiene delle password personali/di lavoro
• Richiedi password di 14+ caratteri nel tuo Politiche di governance
• Segui a Metodo di backup 3-2-1 per tutti i dati critici e sensibili
• Formare i dipendenti per individuare ed evitare email basate phishing attacchi
• Controllare che i dipendenti può individuare ed evitare le email di phishing testandole
• Documentare e testare Piani di Business Continuity Disaster Recovery (BCDR)
• Eseguire un valutazione del rischio ogni due o tre anni

Inizia oggi stesso a costruire il tuo solido piano di sicurezza informatica multilivello con CyberHoot.

Per saperne di più sul Ransomware e su come può influire sulla tua attività, guarda il nostro ultimo video formativo:

Fonti: 

CyberScoop

CNN

La collina

Letture aggiuntive: 

Attacco ransomware JBS

L'oleodotto coloniale è stato hackerato

Il Texas richiede una formazione sulla consapevolezza dopo l'attacco alla colonia