Hrozí dvojstranný zákon o kybernetickej bezpečnosti

Zákonodarcovia na Kapitole sa usilovne snažia predložiť legislatívu zameranú na ohromujúci nárast ransomvéru a iných kybernetických útokov na kľúčové organizácie, ako sú Colonial Pipeline a JBS . Až donedávna sa federálnej vláde USA nepodarilo schváliť celoštátnu legislatívu na boj proti kybernetickým udalostiam a ich hlásenie. Súčasný návrh zákona, ktorý predložili senátori Mark Warner (demokrat za Virgíniu), Marco Rubio (republikán za Floridu) a Susan Collins (republikánka za Maine), odráža obnovené úsilie Kongresu o schválenie veľmi potrebných federálnych pravidiel týkajúcich sa oznamovania narušení kybernetickej bezpečnosti.

[Poznámka redaktora: Prečo neprijať legislatívu zameranú na preventívne opatrenia?] 

Čo je v návrhu zákona?

Navrhovaný zákon vyžaduje, aby federálne agentúry, dodávatelia a prevádzkovatelia kritickej infraštruktúry zasielali oznámenia o narušení bezpečnosti Agentúre pre kybernetickú bezpečnosť a infraštruktúru (CISA) Ministerstva vnútornej bezpečnosti (DHS) do 24 hodín. CISA by spolupracovala s riaditeľom Národnej spravodajskej služby, Úradom pre riadenie a rozpočet, Ministerstvom obrany a Federálnym hlavným úradníkom pre informácie na vypracovaní pravidiel o tom, kto konkrétne by mal hlásiť aké druhy narušení. Okrem oznámení o narušeniach by podniky museli hlásiť, ktoré siete boli ovplyvnené, taktiky, ktoré hackeri použili, a kontaktné informácie obetí.

[Poznámka redaktora: Prečo sa obmedzovať na federálne agentúry, keď malé a stredné podniky sú napádané 15-krát častejšie?]

Federálni dodávatelia, ktorí nebudú dodržiavať zákon, by čelili pokutám až do straty nároku na budúce zmluvy. Za každý deň, keď nebudú dodržiavať zákon dlhšie ako 24 hodín, by vlastníci kritickej infraštruktúry alebo firmy reagujúce na kybernetické incidenty mohli čeliť pokutám až do výšky 0.5 % ich hrubého príjmu z predchádzajúceho roka.

Návrh zákona zahŕňa ochranu zodpovednosti pre spoločnosti, ktoré nahlásia porušenie, čo by malo odstrániť prekážky otvorenej a úprimnej komunikácie s CISA. [Otázka redaktora: Budú tieto hlásenia pre CISA verejné alebo dôverné?]

Prečo schváliť návrh zákona?

Hoci niektoré vládne agentúry, ako napríklad TSA, už podliehajú nejakej forme požiadaviek na kybernetickú bezpečnosť, mal by byť zavedený zákon, ktorý sa týka všetkých vládnych subjektov. V súčasnosti existuje podpora tejto legislatívy z oboch strán politického spektra, pretože všetci sa zhodujú v tom, že kybernetické útoky sú obrovským problémom, o čom svedčí rok útokov na nemocnice, školy a vládne agentúry. Obe strany chcú prijať opatrenia na spomalenie týchto útokov. Predstavitelia CISA tvrdia, že transparentné nahlasovanie týchto útokov pomôže lepšiemu pochopeniu a prijatiu protiopatrení na ochranu kritickej infraštruktúry krajiny.

[Poznámka redaktora: CyberHoot verí, že americké agentúry presne poznajú zapojené skupiny, taktiky, techniky a postupy, ktoré používajú. CyberHoot navyše verí, že vedia, aké protiopatrenia by najviac pomohli. Prečo potom nie je prevencia v centre pozornosti? Nepotrebujeme viac údajov, potrebujeme viac opatrení na svoju bezpečnosť.]

Čo by sme mali urobiť pre svoju bezpečnosť?

Vaša spoločnosť nemôže čakať na predpisy od zákonodarcov na Kapitole, aby požadovala ochranu pred ransomvérom alebo inými kybernetickými útokmi. Vaša spoločnosť musí dnes prijať proaktívne opatrenia, aby znížila pravdepodobnosť, že sa stane obeťou. CyberHoot odporúča nasledujúce osvedčené postupy, ako sa na tieto kybernetické útoky pripraviť, obmedziť škody a niekedy sa im vyhnúť:

• prijať dvojfaktorová autentizácie na všetkých kritických službách prístupných z internetu
• Prijať a Password Manager pre lepšiu hygienu osobných/pracovných hesiel
• Vyžadovať heslá s dĺžkou 14 a viac znakov Zásady riadenia
• Postupujte podľa a Metóda zálohovania 3-2-1 pre všetky kritické a citlivé údaje
• Školiť zamestnancov odhaliť a vyhnúť sa e-mailovým Phishing útoky
• Skontrolujte, či zamestnanci dokáže odhaliť a vyhnúť sa phishingovým e-mailom ich testovaním
• Dokument a test Plány obnovy prevádzkyschopnosti po havárii (BCDR)
• Vykonajte a risk assessment každé dva až tri roky

Začnite budovať svoj robustný plán kybernetickej bezpečnosti s hĺbkovou obranou ešte dnes s CyberHoot.

Ak sa chcete dozvedieť viac o ransomvéri a o tom, ako môže ovplyvniť vaše podnikanie, pozrite si naše najnovšie školiace video:

Zdroje: 

CyberScoop

CNN

Kopec

Ďalšie čítania: 

Útok ransomvéru JBS

Hacknutý Colonial Pipeline

Texas vyžaduje školenie zamerané na zvyšovanie povedomia po útoku na Colonial