Une mise à jour tant attendue des États-Unis Loi de partage d’informations sur la cybersécurité (CISA) de 2015 – qui s’éclaircit fin septembre au milieu des préoccupations de rassemblement concernant les lacunes de conformité et le risque accru pour les organisations des utilisateurs finaux – progresse dans le Congrès à Washington DC.
La législation de remplacement, désormais nommée Gestion générale de l’information pour la loi sur le bien-être des infrastructures et du gouvernement (Wimwig) – notamment pour éviter la confusion avec la CISA – a adopté le comité de la sécurité intérieure de la Chambre début septembre.
«Les parties prenantes de tous les secteurs industrielles ont approuvé cette législation car elle préserve les protections essentielles de la confidentialité et de la responsabilité dans la Cybersecurity Information Sharing Act de 2015, clarifie le langage de la loi pour mieux aborder le paysage en évolution des menaces, et garantit que Private sector insight est correctement capturé», a déclaré le représentant Andrew Garbarino, président du comité de sécurité des paysages de la Chambre.
« Ne pas garantir la pertinence et l’efficacité de l’un des outils de cybersécurité les plus fondamentaux du gouvernement fédéral pour la prochaine décennie menacerait non seulement nos réseaux, mais aussi la sécurité de la patrie », a-t-il déclaré.
«L’avancement rapide du jour de la loi Wimwig… souligne l’engagement bipartite du comité de sécurité intérieure de la Chambre à améliorer la posture de cybersécurité de notre pays», a ajouté Garbarino.
« Le Congrès doit obtenir les deux projets de loi au bureau du président Trump sans délai. »
Qu’est-ce que CISA 2015?
La CISA 2015 est une loi de l’ère Barack Obama qui a promulgué des protections juridiques et des garanties pour que les organisations partagent les renseignements sur les menaces et d’autres données critiques de cybersécurité entre elles et avec le gouvernement.
Cynthia Kaiser, vice-présidente principale de la Centre de recherche de ransomwares À Halcyon Security, et jusqu’à récemment directeur adjoint adjoint pour la cyber politique, le renseignement et la recherche dans la cyber-division du FBI, a décrit la CISA 2015 comme «l’épine dorsale» de la cyber-défense, et a déclaré qu’elle avait aidé à prévoir d’innombrables cyberattaques au cours de la dernière décennie en fournissant des renseignements en temps opportun aux victimes potentielles, ainsi qu’à aider à permettre des opérations multivals des opérations de la loi multinationale.
S’adressant à Computer Weekly cette semaine, Kaiser a déclaré que lorsque la CISA 2015 a été promulguée, elle était motivée par la reconnaissance qu’il fallait en place des protections pour permettre aux gens de partager la cyber-intelligence sans crainte de répercussions légales.
Par exemple, avec CISA 2015 en place, un fournisseur de services géré hypothétique qui a été compromis dans une attaque de chaîne d’approvisionnement affectant ses clients en aval est protégé contre les responsables de remettre les données des victimes au FBI ou à d’autres agences dans le cadre de l’enquête.
« Ce que je disais aux gens du FBI tout le temps, c’est que nous ne pouvons pas vous protéger et que nous ne pouvons pas protéger les autres si nous n’entendons pas de vous », a déclaré Kaiser.
«Si une entreprise fait la bonne chose et vient au gouvernement fédéral pour fournir des informations sur une cyber-campagne malveillante qui se produit, alors il a certaines protections en place qui leur permettent de le faire [and] Cela réduit le risque pour eux de pouvoir venir au gouvernement.
« Il y a un deuxième aspect où il offre également une protection antitrust pour le partage de l’industrie à l’industrie », a-t-elle ajouté. « Maintenant, je dirige le Halcyon Ransomware Research Center – nous voulons que différentes entreprises se réunissent et partagent la cyber-intelligence ensemble, mais si nous le faisons, il pourrait y avoir un potentiel pour quelqu’un de dire: » Si vous vous réunissez tous, c’est un monopole « . »
Menace potentielle pour la cyber-collaboration mondiale
La CISA 2015 a été promulguée avec une clause Sunset de 10 ans – qui n’est pas rare – pour permettre aux législateurs d’établir si elle avait été efficace, et selon Kaiser, également en partie à cause des inquiétudes que le gouvernement fédéral pourrait l’utiliser comme moyen de recueillir des données privées.
Dans le premier respect, a-t-elle dit, cela a été un succès sans équivoque et, heureusement, il y a un fort soutien bipartisan des démocrates et des républicains pour avoir obtenu Wimwig sur la ligne d’arrivée.
Mais en l’absence du passage de Wimwig, l’expiration imminente de la CISA 2015 commençait à soulever des préoccupations importantes parmi les experts en sécurité cyber et nationale à Washington.
«Ce que nous ne pouvons pas avoir, c’est que ces conversations sont toujours arbitrées et ensuite l’avoir [CISA 2015] Expirer le 30 septembre, car même un mois de laps de mois causerait des problèmes », a déclaré Kaiser.
«J’ai parlé avec des avocats qui sont en dehors des conseils de violation, et ils ont indiqué que si cet acte s’éclate, ils devront probablement modifier les conseils qu’ils donnent aux entreprises lorsqu’ils examinent s’ils contactent le gouvernement fédéral», a-t-elle déclaré.
Mais au-delà des frontières des États-Unis, si la CISA 2015 devait être lancée sans continuité en place, le secteur de la sécurité pouvait s’attendre à voir des impacts mondiaux, a déclaré Kaiser. Presque immédiatement, les informations et les mises à jour en temps opportun des agences fédérales telles que la CISA commenceraient à s’atténuer, et cela signifierait probablement des bulletins comme l’avis de fin août sur le typhon de sel chinois – co-signé par les autorités américaines et britanniques et les homologues à travers l’Europe et en Australie, au Canada et en Nouvelle-Zélande – réduirait soit leur cadence, soit cesserait complètement.
En outre, la capacité des cyber-flics de première ligne, tels que ceux de la National Crime Agency britannique pour mener des opérations efficaces contre les cybercriminelsserait également touché, tandis que les organisations d’utilisateurs verraient également moins d’informations provenant de leurs propres gouvernements, car elles reçoivent à leur tour moins de données des États-Unis.
La deuxième préoccupation, a-t-elle déclaré, est que la fréquence et la qualité du partage d’informations entre les fournisseurs de cybersécurité et entre les industries réduiraient en fonction des préoccupations antitrust et d’autres problèmes de conformité et de responsabilité.
«Nous sommes tous des concurrents, mais nous sommes également très collaboratifs, en particulier sur la cyber-menace intelligence», a déclaré Kaiser. «Nous nous sommes tellement habitués à cela au cours des 10 dernières années que cela sous-tend maintenant vraiment la façon dont nous faisons des affaires. Dans l’ensemble, je pense que le partage d’informations dans le monde se détériorerait si ce n’est pas réautorisé.»
Mises à jour bien accueillies
Le projet de version de Wimwig contient beaucoup de choses à ce sujet, a déclaré Kaiser. Surtout, il clarifie certaines zones autour des protections de responsabilité qui ont été quelque peu vagues par CISA 2015.
« Certains ont pris une lecture plus large et large, et certains en ont pris des lectures plus étroites », a-t-elle déclaré. «La lecture générale est que je pense que ce que nous voulions que les gens et les entreprises aient, donc clarifier ces protections de responsabilité est un excellent montage à l’avenir.»
Wimwig comprend également des définitions mises à jour pour englober les tactiques, les techniques et les procédures des cyberattaques émergentes, comme l’intelligence artificielle (IA), qui a progressé depuis 2015, et les mises à jour procédurales pour préserver les protections pour les libertés civiles et la confidentialité.
La loi garantit en outre les organisations du secteur privé – en particulier les petites et moyennes entreprises – reçoivent plus d’informations grâce à des mécanismes tels que des lectures uniques pour les organisations à risque telles que les opérateurs d’infrastructure critiques; ordonne aux organismes fédéraux de fournir une assistance technique au secteur privé sur une base volontaire; et encourage l’utilisation de l’IA sécurisée.
Il améliore également la surveillance du Congrès et l’efficacité de la Partage d’indicateur automatisé Programme – Une capacité de partage de données en temps réel développée par le ministère de la Sécurité intérieure.