Projeto de lei bipartidário sobre segurança cibernética iminente

Parlamentares no Capitólio estão se mobilizando para apresentar projetos de lei que abordem o aumento alarmante de ataques de ransomware e outros ciberataques contra organizações críticas como a Colonial Pipeline e a JBS . Até recentemente, o governo federal dos EUA não havia conseguido aprovar uma legislação nacional para combater e notificar incidentes de segurança cibernética. O atual projeto de lei bipartidário apresentado pelos senadores Mark Warner (D-VA), Marco Rubio (R-FL) e Susan Collins (R-ME) reflete um esforço renovado do Congresso para aprovar regras federais essenciais sobre a notificação de violações de segurança cibernética.

[Nota do editor: Por que não aprovar uma legislação voltada a medidas de prevenção?] 

O que está na conta?

O projeto de lei proposto exige que agências federais, contratados e operadores de infraestrutura crítica enviem notificações de violação de segurança à Agência de Segurança Cibernética e de Infraestrutura (CISA) do Departamento de Segurança Interna (DHS) em até 24 horas. A CISA trabalharia com o Diretor de Inteligência Nacional, o Escritório de Administração e Orçamento do Departamento de Defesa e o Diretor Federal de Informação para elaborar normas sobre quem, especificamente, teria que relatar quais tipos de intrusões. Além da notificação de intrusões, as empresas teriam que informar quais redes foram afetadas, as táticas utilizadas pelos hackers e as informações de contato das vítimas.

[Nota do editor: Por que limitar a agências federais quando as PMEs são atacadas 15 vezes mais?]

Contratantes federais que não cumprirem a lei estarão sujeitos a penalidades que podem incluir a perda de direito a contratos futuros. Para cada dia de descumprimento além de 24 horas, proprietários de infraestrutura crítica ou empresas de resposta a incidentes cibernéticos poderão receber multas de até 0.5% de sua receita bruta do ano anterior.

O projeto de lei inclui proteções de responsabilidade para empresas que relatarem suas violações, o que deve remover barreiras à comunicação aberta e honesta com a CISA. [Pergunta do editor: Esses relatórios à CISA serão públicos ou confidenciais?]

Por que aprovar o projeto de lei?

Embora algumas agências governamentais já estejam sujeitas a algum tipo de exigência de segurança cibernética, como a TSA, uma lei que abranja todas as entidades governamentais deveria estar em vigor. Atualmente, há apoio bipartidário para essa legislação, pois todos concordam que os ataques cibernéticos são um enorme problema, como evidenciado por um ano de ataques a hospitais, escolas e agências governamentais. Ambos os lados querem tomar medidas para conter esses ataques. Autoridades da CISA argumentam que a divulgação transparente desses ataques ajudará a construir um melhor entendimento e contramedidas para proteger a infraestrutura crítica do país.

[Nota do editor: A CyberHoot acredita que as agências de três letras dos EUA conhecem exatamente os grupos envolvidos, as táticas, técnicas e procedimentos que estão usando. Além disso, a CyberHoot acredita que sabe quais contramedidas seriam mais úteis. Por que, então, a prevenção não é o foco? Não precisamos de mais dados, precisamos de mais ações para nos proteger.]

O que devemos fazer para nos proteger?

Sua empresa não pode esperar que os legisladores do Capitólio determinem medidas de proteção contra ransomware ou outros ataques cibernéticos. Ela precisa tomar medidas proativas hoje mesmo para reduzir as chances de ser vítima. A CyberHoot recomenda as seguintes práticas recomendadas para se preparar, limitar danos e, às vezes, evitar esses ataques cibernéticos:

• Adotar autenticação de dois fatores em todos os serviços críticos acessíveis pela Internet
• Adote um gerenciador de senhas para melhor higiene de senhas pessoais/de trabalho
• Exija senhas com mais de 14 caracteres em seu Políticas de Governança
• Siga um Método de backup 3-2-1 para todos os dados críticos e sensíveis
• Treinar funcionários para identificar e evitar mensagens baseadas em e-mail Phishing ataques
• Verifique se os funcionários pode identificar e evitar e-mails de phishing testando-os
• Documentar e testar Planos de Recuperação de Desastres de Continuidade de Negócios (BCDR)
• Realizar uma avaliação de risco a cada dois a três anos

Comece hoje mesmo a construir seu plano de cibersegurança robusto e com defesa em profundidade com o CyberHoot.

Para saber mais sobre Ransomware e como ele pode afetar seus negócios, assista ao nosso último vídeo de treinamento:

Fontes: 

CyberScoop

CNN

A colina

Leituras adicionais: 

Ataque de ransomware JBS

Colonial Pipeline hackeado

TX exige treinamento de conscientização após ataque à colônia