양당 합의 사이버 보안 법안 임박

2021년 6월 22일 | 블로그

워싱턴 D.C.의 의원들은 콜로니얼 파이프라인 과 JBS 같은 주요 기업들을 대상으로 한 랜섬웨어 및 기타 사이버 공격 의 급증에 대응하기 위한 법안 발의에 총력을 기울이고 있습니다 . 최근까지 미국 연방 정부는 사이버 보안 사고에 대응하고 보고하는 전국적인 법안을 통과시키지 못했습니다. 마크 워너(민주당, 버지니아주), 마르코 루비오(공화당, 플로리다주), 수잔 콜린스(공화당, 메인주) 상원의원이 공동 발의한 이번 초당적 법안은 사이버 보안 침해 알림과 관련된 절실히 필요한 연방 규정을 제정하려는 의회의 새로운 노력을 반영합니다.

[편집자 주: 예방 조치를 목표로 하는 법안을 통과시키지 않는 이유는 무엇입니까?]

법안에 무엇이 있습니까?

제안된 법안은 연방 기관, 계약업체 및 중요 기반 시설 운영자가 침해 발생 후 24시간 이내에 국토안보부(DHS) 산하 사이버보안 및 인프라 보안국(CISA) 에 침해 사실을 통보하도록 요구합니다 . CISA는 국가정보국장, 예산관리국, 국방부 및 연방 최고정보책임자(CIO)와 협력하여 어떤 유형의 침해를 누가 구체적으로 보고해야 하는지에 대한 규칙을 마련할 것입니다. 기업은 침해 사실 통보 외에도 영향을 받은 네트워크, 해커가 사용한 전술, 피해자 연락처 정보 등을 보고해야 합니다.

[편집자 주: 중소기업이 15배 더 자주 공격을 받는데 왜 연방 기관에만 국한시키나요?]

법을 준수하지 않는 연방 계약업체는 향후 계약 자격 박탈을 포함한 최대 처벌을 받게 됩니다. 24시간 이상 법을 준수하지 않는 날마다 중요 인프라 소유주나 사이버 사고 대응 업체는 전년도 총매출의 최대 0.5%에 해당하는 벌금을 부과받을 수 있습니다.

이 법안에는 위반 사실을 보고하는 기업에 대한 면책 조항이 포함되어 있어 CISA와의 개방적이고 정직한 소통을 가로막는 장벽을 제거할 것으로 예상됩니다. [편집자 질문: CISA에 제출되는 이러한 보고서는 공개될까요, 아니면 비공개로 처리될까요?]

왜 이 법안을 통과시켰나요?

TSA와 같은 일부 정부 기관은 이미 어떤 형태로든 사이버 보안 요건을 준수하고 있지만, 모든 정부 기관에 적용되는 법률이 마련되어야 합니다. 현재 이 법안은 초당적으로 지지를 받고 있으며, 병원, 학교, 정부 기관에 대한 지난 1년간의 공격 사례에서 알 수 있듯이 사이버 공격이 심각한 문제라는 데 모두가 동의하고 있습니다. 여야 모두 이러한 공격을 늦추기 위한 조치를 취하고자 합니다. CISA 관계자들은 이러한 공격에 대한 투명한 보고가 국가의 중요 인프라 보호에 대한 이해 증진과 대응책 마련에 도움이 될 것이라고 주장합니다.

[편집자 주: CyberHoot은 미국 정보기관들이 관련 단체, 그들이 사용하는 전술, 기법, 절차를 정확히 알고 있다고 생각합니다. 더 나아가 CyberHoot은 어떤 대책이 가장 도움이 될지 알고 있다고 생각합니다. 그렇다면 왜 예방에 집중하지 않는 것일까요? 더 많은 데이터가 필요한 것이 아니라, 우리 자신을 보호하기 위한 더 많은 조치가 필요합니다.]

우리는 우리 자신을 보호하기 위해 무엇을 해야 할까?

귀사는 랜섬웨어나 기타 사이버 공격으로부터의 보호를 요구하는 국회 의원들의 처방을 기다릴 수 없습니다. 귀사는 피해자가 될 가능성을 줄이기 위해 지금 당장 선제적인 조치를 취해야 합니다. CyberHoot은 이러한 사이버 공격에 대비하고, 피해를 최소화하며, 때로는 이를 예방하기 위해 다음과 같은 모범 사례를 권장합니다.