Bipartisan Cybersecurity Bill in aantocht

Parlementsleden in het Capitool doen hun best om wetgeving in te voeren die de enorme toename van ransomware en andere cyberaanvallen op cruciale organisaties zoals Colonial Pipeline en JBS moet aanpakken. Tot voor kort had de Amerikaanse federale overheid geen landelijke wetgeving aangenomen om cyberbeveiligingsincidenten te bestrijden en te melden. Het huidige wetsvoorstel, ingediend door de senatoren Mark Warner (D-VA), Marco Rubio (R-FL) en Susan Collins (R-ME), weerspiegelt een hernieuwde poging van het Congres om de broodnodige federale regels voor meldingen van cyberbeveiligingsinbreuken vast te stellen.

[Noot van de redactie: Waarom wordt er geen wetgeving aangenomen die gericht is op preventieve maatregelen?] 

Wat staat er in de rekening?

Het voorgestelde wetsvoorstel verplicht federale instanties, aannemers en beheerders van kritieke infrastructuur om datalekken binnen 24 uur te melden aan het Cybersecurity and Infrastructure Agency (CISA) van het Department of Homeland Security (DHS) . CISA zou samenwerken met de Director of National Intelligence, het Office of Management and Budget, het Ministerie van Defensie en de Federal Chief Information Officer om regels op te stellen over wie welke soorten inbraken precies moet melden. Naast het melden van inbraken zouden bedrijven ook moeten rapporteren welke netwerken zijn getroffen, welke tactieken de hackers hebben gebruikt en welke contactgegevens van de slachtoffers beschikbaar zijn.

[Opmerking van de redacteur: Waarom beperken we dit tot federale overheidsinstellingen, terwijl kleine en middelgrote bedrijven 15x vaker worden aangevallen?]

Federale contractanten die zich niet aan de wet houden, riskeren boetes tot en met het niet langer in aanmerking komen voor toekomstige contracten. Voor elke dag dat ze zich 24 uur lang niet aan de wet houden, kunnen eigenaren van kritieke infrastructuren of bedrijven die zich bezighouden met cyberincidenten boetes krijgen tot 0.5% van hun bruto-omzet van het voorgaande jaar.

Het wetsvoorstel bevat wel bescherming tegen aansprakelijkheid voor bedrijven die hun datalek melden, wat de belemmeringen voor open en eerlijke communicatie met CISA zou moeten wegnemen. [Vraag van de redactie: zullen deze meldingen aan CISA openbaar of vertrouwelijk zijn?]

Waarom wordt dit wetsvoorstel aangenomen?

Hoewel sommige overheidsinstanties al aan bepaalde cyberbeveiligingseisen moeten voldoen, zoals de TSA, zou er een wet moeten komen die alle overheidsinstanties raakt. Momenteel is er steun vanuit beide partijen voor deze wetgeving, omdat iedereen het erover eens is dat cyberaanvallen een enorm probleem vormen, zoals blijkt uit een jaar vol aanvallen op ziekenhuizen, scholen en overheidsinstanties. Beide partijen willen actie ondernemen om deze aanvallen te vertragen. CISA-functionarissen stellen dat transparante rapportage over deze aanvallen zal bijdragen aan een beter begrip en betere tegenmaatregelen ter bescherming van de kritieke infrastructuur van het land.

[Noot van de redactie: CyberHoot is van mening dat Amerikaanse instanties met een drieletterige code precies weten welke groepen erbij betrokken zijn, welke tactieken, technieken en procedures ze gebruiken. Bovendien denkt CyberHoot dat ze weten welke tegenmaatregelen het meest effectief zouden zijn. Waarom ligt de focus dan niet op preventie? We hebben geen behoefte aan meer data, we hebben meer actie nodig om onszelf te beveiligen.]

Wat moeten we doen om onszelf te beschermen?

Uw bedrijf kan niet wachten tot wetgevers op Capitol Hill zich uitspreken over bescherming tegen ransomware of andere cyberaanvallen. Uw bedrijf moet vandaag nog proactieve maatregelen nemen om de kans te verkleinen slachtoffer te worden. CyberHoot raadt de volgende best practices aan om zich voor te bereiden op cyberaanvallen, de schade te beperken en deze soms te voorkomen:

• adopteren two-factor authenticatie op alle kritieke internettoegankelijke diensten
• Adopteer een Password Manager voor een betere persoonlijke/werkwachtwoordhygiëne
• Vereist wachtwoorden van 14+ tekens in uw Bestuursbeleid
• Volg een 3-2-1 back-upmethode voor alle kritieke en gevoelige gegevens
• Train medewerkers om e-mailgebaseerde advertenties te herkennen en te vermijden Phishing aanvallen
• Controleer of werknemers kunt phishing-e-mails herkennen en vermijden door ze te testen
• Documenteren en testen Business Continuity Disaster Recovery (BCDR)-plannen
• Voer een risico-evaluatie elke twee tot drie jaar

Begin vandaag nog met het opbouwen van uw robuuste, gelaagde cybersecurityplan met CyberHoot.

Bekijk onze nieuwste trainingsvideo voor meer informatie over ransomware en de mogelijke gevolgen voor uw bedrijf:

Bronnen: 

CyberScoop

CNN

De heuvel

Aanvullende metingen: 

JBS Ransomware-aanval

Koloniale pijplijn gehackt

TX vereist bewustwordingstraining na aanval op koloniale