Publié le 24 septembre 2025 09:15:00. L’expiration d’une loi clé sur le partage d’informations en matière de cybersécurité a fragilisé la collaboration entre les entreprises privées et les agences gouvernementales, les exposant à des risques juridiques et entravant la lutte contre les cyberattaques. Des experts plaident pour une refonte du système afin de préserver l’échange de renseignements tout en évitant une bureaucratie excessive.
- L’expiration de la loi CISA (Cyber Information Sharing Act) en 2015 a supprimé les protections juridiques pour le partage d’informations sur les menaces.
- Les entreprises risquent désormais d’être tenues responsables de leurs activités de surveillance et de partage de renseignements en matière de cybersécurité.
- La loi autorisait explicitement les mesures défensives et protégeait les données partagées des demandes d’accès à l’information.
L’absence de cadre légal protecteur a perturbé les échanges de renseignements en temps réel qui s’étaient développés au cours de la dernière décennie entre les entreprises et les autorités fédérales. Sans les garanties offertes par la CISA, les organisations hésitent à partager des informations cruciales sur les cybermenaces, par crainte de poursuites judiciaires.
La loi CISA, en vigueur jusqu’en 2015, autorisait explicitement les entités privées à prendre des mesures proactives pour se défendre contre les cyberattaques. Cela incluait la surveillance de leurs propres réseaux et, avec le consentement de leurs clients, de ceux-ci, ainsi que l’échange d’indicateurs de compromission pour améliorer la détection et la réponse aux incidents. Elle offrait également une protection importante contre les demandes d’accès à l’information (FOIA) et les actions antitrust liées aux efforts de défense conjoints.
Selon Kirkwood, le problème ne réside pas dans le partage d’informations en lui-même, mais dans la tendance des agences fédérales à étendre leur influence sous couvert de coordination de la cybersécurité.
« Le problème ne vient pas du partage, mais de l’inévitable gonflement qui survient lorsque les agences fédérales étendent leur empreinte sous la bannière de la coordination de la cybersécurité. C’est le moment de repenser à quoi devrait ressembler la version 2.0. Nous avons besoin d’un modèle plus simple et plus ciblé qui préserve le flux de renseignements mais résiste à l’attraction gravitationnelle d’une bureaucratie centralisée. »
Kirkwood
Les experts estiment qu’une nouvelle approche est nécessaire pour trouver un équilibre entre la protection des entreprises et la nécessité d’une collaboration efficace en matière de cybersécurité. L’objectif est de créer un système plus souple et ciblé, qui encourage le partage de renseignements tout en évitant la création d’une bureaucratie lourde et inefficace.