İki Partili Siber Güvenlik Yasa Tasarısı Yaklaşıyor

Kongre üyeleri, Colonial Pipeline ve JBS gibi kritik kuruluşlara yönelik fidye yazılımı ve diğer siber saldırılardaki ezici artışları ele alan bir yasa çıkarmak için yoğun çaba sarf ediyor . Yakın zamana kadar, ABD federal hükümeti siber güvenlik olaylarıyla mücadele etmek ve bunları raporlamak için ülke çapında bir yasa çıkarmayı başaramamıştı. Senatörler Mark Warner (D-VA), Marco Rubio (R-FL) ve Susan Collins (R-ME) tarafından sunulan mevcut iki partili yasa tasarısı, Kongre'nin siber güvenlik ihlali bildirimleriyle ilgili çok ihtiyaç duyulan federal kuralları geçirme yönündeki yeniden canlanmış çabasını yansıtıyor.

[Editörün notu: Önleyici tedbirlere yönelik mevzuat neden çıkarılmıyor?] 

Faturada Neler Var?

Önerilen yasa tasarısı, federal kurumların, yüklenicilerin ve kritik altyapı operatörlerinin, ihlal bildirimlerini 24 saat içinde İç Güvenlik Bakanlığı'na (DHS) bağlı Siber Güvenlik ve Altyapı Ajansı'na (CISA) göndermelerini zorunlu kılıyor. CISA, Ulusal İstihbarat Direktörü, Yönetim ve Bütçe Ofisi, Savunma Bakanlığı ve Federal Baş Bilgi İşlem Sorumlusu ile birlikte, hangi tür ihlallerin kimler tarafından bildirilmesi gerektiği konusunda kurallar belirlemek üzere çalışacak. İhlal bildirimine ek olarak, işletmelerin etkilenen ağları, bilgisayar korsanlarının kullandığı taktikleri ve mağdurların iletişim bilgilerini de bildirmeleri gerekecek .

[Editörün Notu: KOBİ'lere 15 kat daha fazla saldırı yapıldığında neden federal kurumlarla sınırlı kalıyoruz?]

Yasaya uymayan federal yükleniciler, gelecekteki sözleşmelere artık hak kazanamama da dahil olmak üzere çeşitli cezalarla karşı karşıya kalacak. 24 saati aşan uyumsuzlukları için, kritik altyapı sahipleri veya siber olay müdahale firmaları, bir önceki yıla ait brüt gelirlerinin %0.5'ine kadar para cezasıyla karşı karşıya kalabilir.

Tasarı, ihlallerini bildiren şirketler için sorumluluktan koruma hükümleri içeriyor; bu da CISA ile açık ve dürüst iletişimin önündeki engelleri ortadan kaldırmalı. [ Editörün sorusu: CISA'ya yapılan bu bildirimler kamuya açık mı yoksa gizli mi olacak?]

Yasa Tasarısı Neden Geçiyor?

TSA gibi bazı devlet kurumları halihazırda bir tür siber güvenlik yükümlülüğü altında olsa da, tüm devlet kurumlarını kapsayan bir yasa yürürlüğe girmelidir. Hastanelere, okullara ve devlet kurumlarına bir yıldır düzenlenen saldırıların da kanıtladığı gibi, siber saldırıların büyük bir sorun olduğu konusunda herkes hemfikir olduğundan, şu anda bu yasaya iki parti de destek veriyor. Her iki taraf da bu saldırıları yavaşlatmak için harekete geçmek istiyor. CISA yetkilileri, bu saldırıların şeffaf bir şekilde raporlanmasının, ülkenin kritik altyapısını korumak için daha iyi bir anlayış ve karşı önlemler oluşturulmasına yardımcı olacağını savunuyor.

[Editörün notu: CyberHoot, ABD'deki 3 harfli kurumların, olaya karışan grupları, kullandıkları taktikleri, teknikleri ve prosedürleri tam olarak bildiğine inanıyor. Dahası, CyberHoot en çok hangi karşı önlemlerin işe yarayacağını da bildiklerine inanıyor. Öyleyse neden odak noktası önleme değil? Kendimizi güvence altına almak için daha fazla veriye değil, daha fazla eyleme ihtiyacımız var.]

Kendimizi Güvende Tutmak İçin Ne Yapmalıyız?

Şirketiniz, Kongre'deki milletvekillerinin fidye yazılımlarına veya diğer siber saldırılara karşı koruma talep eden reçetelerini bekleyemez. Şirketinizin, mağdur olma olasılığını azaltmak için bugünden itibaren proaktif önlemler alması gerekiyor. CyberHoot, bu siber saldırılara hazırlanmak, zararları sınırlamak ve bazen de bunlardan kaçınmak için aşağıdaki en iyi uygulamaları öneriyor:

• benimsemek iki faktörlü kimlik doğrulama tüm kritik İnternet erişimli hizmetlerde
• Benimsemek parola yöneticisi daha iyi kişisel/iş şifresi hijyeni için
• Şifrelerinizde 14+ karakter olmasını zorunlu kılın Yönetim Politikaları
• Takip et 3-2-1 yedekleme yöntemi tüm kritik ve hassas veriler için
• Çalışanları eğitin e-posta tabanlı tehditleri tespit etmek ve önlemek için Kimlik avı saldırılar
• Çalışanların kontrol edilmesi Kimlik avı e-postalarını test ederek tespit edebilir ve önleyebilirsiniz
• Belgeleyin ve test edin İş Sürekliliği Afet Kurtarma (BCDR) planları
• Bir gerçekleştirin risk değerlendirmesi her iki ila üç yılda bir

CyberHoot ile bugünden itibaren kapsamlı ve derinlemesine savunma sağlayan siber güvenlik planınızı oluşturmaya başlayın.

Fidye yazılımı hakkında daha fazla bilgi edinmek ve bunun işletmenizi nasıl etkileyebileceğini öğrenmek için en son eğitim videomuzu izleyin:

kaynaklar: 

CyberScoop

CNN

Tepe

Ek Okumalar: 

JBS Fidye Yazılımı Saldırısı

Sömürge Boru Hattı Hacklendi

Teksas, Sömürge Saldırısının Ardından Farkındalık Eğitimi Gerektiriyor