0 
0 O projeto de lei de relatórios de incidentes cibernéticos foi aprovado na Câmara dos Representantes dos EUA, com a necessidade de proprietários e operadores críticos de infraestrutura relatarem incidentes cibernéticos e pagamentos de ransomware à Agência de Segurança cibernética e infraestrutura (CISA). A legislação foi juntamente com o projeto de lei de financiamento bipartidário que está pronto para fornecer investimentos críticos em várias prioridades bipartidárias.
A legislação foi aprovada na semana passada pelo Senado dos EUA, e agora segue para o presidente dos EUA Joe Biden para sua assinatura, antes de se tornar lei.
Identificando a legislação como um divisor de águas, a diretora da CISA, Jen Easterly, disse em um comunicado à imprensa na sexta-feira que “hoje marca um passo crítico na segurança cibernética coletiva de nossa nação”.
Como agência de defesa cibernética do país, “a CISA aplaude a aprovação da legislação de notificação de incidentes cibernéticos. Graças ao apoio de nossos muitos parceiros no Congresso, a CISA terá os dados e a visibilidade necessários para ajudar a proteger melhor a infraestrutura crítica e as empresas em todo o país dos efeitos devastadores dos ataques cibernéticos”, acrescentou.
“A CISA usará esses relatórios de nossos parceiros do setor privado para construir um entendimento comum de como nossos adversários estão mirando redes dos EUA e infraestrutura crítica”, disse Easterly. “Essas informações preencherão lacunas críticas de informações e nos permitirão implantar rapidamente recursos e prestar assistência às vítimas que sofrem ataques, analisar relatórios recebidos entre setores para detectar tendências e compartilhar rapidamente essas informações com os defensores da rede para alertar outras vítimas em potencial”, acrescentou.
“Obrigado ao Congresso por aprovar o projeto de lei que obriga a reportagem de incidentes cibernéticos ao governo federal. Este é um grande passo em frente para a segurança cibernética da nossa nação”, escreveu o secretário de Segurança Interna, Alejandro N. Mayorkas, em uma mensagem no Twitter na sexta-feira.
“Ontem à noite, a Câmara tomou medidas ousadas para garantir a infraestrutura crítica dos EUA contra 21st ameaças do século, exigindo que proprietários e operadores críticos de infraestrutura denunciem incidentes cibernéticos à Agência de Segurança cibernética e infraestrutura do DHS (CISA)” Bennie G. Thompson, democrata do Mississipi e presidente do Comitê de Segurança Interna, John Katko, um republicano de Nova York e membro do Comitê de Segurança Interna, Yvette Clarke, democrata de Nova York e presidente do Comitê de Segurança Cibernética, O Subcomitê de Proteção & Inovação da Infraestrutura, Andrew Garbarino, republicano de Nova York e membro do ranking do Subcomitê de Cibersegurança, Proteção de Infraestrutura & Inovação, escreveram em uma declaração conjunta divulgada na quinta-feira.
“A Lei de Relatórios de Incidentes Cibernéticos para Infraestrutura Crítica, incluída na Lei de Apropriações Consolidadas, 2022, é uma das peças mais significativas da legislação de segurança cibernética na última década”, acrescentaram.
Desenvolvida após o ataque à cadeia de suprimentos da SolarWinds e ganhando impulso adicional com o conflito Rússia-Ucrânia, a legislação bipartidária e bicameral de relatórios de incidentes cibernéticos exige que proprietários de ativos e operadores ofereçam “maior visibilidade para o governo federal, interrupção anterior de campanhas cibernéticas maliciosas e melhores informações e inteligência de ameaças voltando para o setor privado para que possam se defender contra ataques futuros, “, dizia o comunicado.
“As autoridades e recursos previstos neste projeto de lei não podem vir tão cedo, pois a CISA trabalha para combater as ameaças cibernéticas em rápida evolução neste cenário geopolítico em mudança. A aprovação desta legislação solidifica ainda mais a intenção do Congresso de que a CISA seja a principal agência federal de cibersegurança”, acrescentou.
A legislação exige que proprietários e operadores de infraestrutura críticos se reportem à CISA dentro de 72 horas se estiverem sofrendo um ataque cibernético substancial e dentro de 24 horas se fizerem um pagamento de ransomware. Também abordou a necessidade de modernizar a postura de segurança cibernética do governo e autorizar o Programa Federal de Gerenciamento de Riscos e Autorizações (FedRAMP) para garantir que as agências federais possam adotar de forma rápida e segura tecnologias baseadas em nuvem que melhorem as operações governamentais e a eficiência.
O pacote legislativo também “atualizaria as atuais leis de cibersegurança do governo federal para melhorar a coordenação entre agências federais, exigiria que o governo tomasse uma abordagem baseada em riscos para a segurança cibernética, bem como exigiria que todas as agências civis reportassem todos os ataques cibernéticos à CISA e atualizassem o limite para que as agências reportassem incidentes cibernéticos ao Congresso”.
Para lidar com o aumento dos ataques de ransomware, a Lei de Notificação de Incidentes Cibernéticos disse que dentro de 180 dias após a promulgação da Lei, o diretor da CISA em consulta com o Diretor Cibernético Nacional, o Procurador Geral e o diretor do Federal Bureau of Investigation, estabelecerá e presidirá a Força-Tarefa conjunta de Ransomware para coordenar uma campanha nacional em curso contra ataques de ransomware, e identificar e buscar oportunidades de cooperação internacional.
Rapid7 vê o Cyber Incident Reporting for Critical Infrastructure Act como um passo positivo, harley Geiger, diretor sênior de políticas públicas da Rapid7, escreveu em um post no blog da empresa. “A segurança cibernética é essencial para garantir que a infraestrutura crítica seja segura, e essa lei daria às agências federais mais informações sobre tendências de ataque e potencialmente ajudaria a fornecer avisos antecipados de grandes vulnerabilidades ou ataques em andamento antes de se espalharem”, acrescentou.
Ainda assim, o Cyber Incident Reporting for Critical Infrastructure Act faz pouco para garantir que a infraestrutura crítica tenha salvaguardas que impeçam que incidentes cibernéticos ocorram em primeiro lugar, de acordo com Geiger. “É improvável que essa lei mude o fato de que muitas entidades críticas de infraestrutura estão com poucos recursos e, em alguns casos, têm maturidade de segurança que não é proporcional aos riscos que enfrentam. O mecanismo de aplicação da lei (um possível desrespeito à pena judicial) não é especialmente forte, e as regras finais de relatórios não podem ser implementadas por mais 3,5 anos”, acrescentou.
FONTE: INDUSTRIAL CYBER