ITI: Um die US-Cybersicherheit zu schützen, muss CISA die CIRCIA-Regeln verbessern
WASHINGTON – Heute hat der globale Technologie-Handelsverband ITI die Cybersecurity and Infrastructure Security Agency (CISA) aufgefordert, ihre Vorschriften zur Meldung von Vorfällen effektiver und umsetzbarer zu gestalten, um die US-amerikanische Cybersicherheit zu schützen. ITI Antwort (öffnet in einem neuen Tab) CISA's Notice of Proposed Rulemaking (NPRM) zur Umsetzung des Cyber Incident Reporting for Critical Infrastructure Act von 2022 (CIRCIA) mit wichtigen Empfehlungen, um den Anwendungsbereich der Regel zu erreichen und eine proaktivere Rolle bei der Harmonisierung in den USA und auf der ganzen Welt zu übernehmen.
"Angesichts des breiten Anwendungsbereichs der Regel und der Menge der angeforderten Informationen sind wir besorgt, dass CIRCIA in seinem aktuellen Zustand unweigerlich zu einer Überberichterstattung über kleinere und möglicherweise außerhalb des Anwendungsbereichs liegende Vorfälle führen wird." Solche unzähligen Berichte riskieren, signifikante Cybertrends in irrelevanten Daten zu begraben und den Nutzen des Berichtsschemas erheblich zu verringern. ITI schrieb in seinen Kommentaren. Darüber hinaus sind wir besorgt über den breiten Umfang der Definitionen von erheblichen Cyber-Vorfällen und abgedeckten Einheiten. Die Definition des erfassten Unternehmens ist sehr weit gefasst, und CISA sollte weitere Leitlinien liefern, um den Unternehmen Sicherheit zu geben, ob sie als „gedecktes Unternehmen gelten oder nicht.
"Wir ermutigen CISA, eine proaktivere Rolle bei der Harmonisierung der Berichtspflichten für Vorfälle zu übernehmen, insbesondere durch das CIRC, um die Meldung von Vorfällen zu konvergieren und zu untersuchen, ob eine einzige nationale Berichtsfunktion möglich ist." ITI ging weiter.
ITI Vorlage (öffnet in einem neuen Tab) empfiehlt CISA:
- eine durchsetzungsfähigere Rolle bei der Harmonisierung von CIRCIA mit bestehenden und bevorstehenden Berichterstattungsanforderungen der USA übernehmen;
- Ziel ist es, den Anwendungsbereich der Regel zu bestimmen, einschließlich der Verengung des Anwendungsbereichs der „gedeckten Entität“ und der Verfeinerung der Definition des „gedeckten Cyber-Vorfalls“;
- Flexibilität bei der ergänzenden Berichterstattung;
- Berücksichtigen Sie die Sicherheitsauswirkungen und potenziellen Schwachstellen im Zusammenhang mit der gemeinsamen Nutzung und Speicherung von Berichten;
- Passen Sie die im ursprünglichen Bericht verlangten Informationen an, um der Tatsache Rechnung zu tragen, dass einige Informationen möglicherweise nicht unmittelbar nach einem Vorfall verfügbar sind;
- Wahrung des Haftungsschutzes gemäß CIRCIA 2022; und
- Maßnahmen ergreifen, um die Gegenseitigkeit zu fördern und besser sicherzustellen, dass CIRCIA einen Mehrwert für die Interessengruppen bietet.
Ein langjähriger Grundsatz der Position von ITI zur Berichterstattung über Vorfälle war die Bedeutung der Angleichung innerhalb der Vereinigten Staaten und auf der ganzen Welt. In seinen Kommentaren betont ITI, dass CISA nicht nur die bestehende Landschaft der Berichterstattung über Bundes-, Landes- und lokale Vorfälle untersuchen sollte, sondern auch die internationale Landschaft berücksichtigen und mit Partnern zusammenarbeiten sollte, um nach Möglichkeit zu harmonisieren.
ITI hat sich intensiv mit der Entwicklung von Richtlinien zur Berichterstattung über Cybersicherheitsvorfälle auf der ganzen Welt beschäftigt, darunter in Australien, Europa und den Vereinigten Staaten. Im Rahmen seines Engagements entwickelte und veröffentlichte ITI zwei politische Grundsätze: Policy Principles for Security Incident Reporting in den USA (öffnet in einem neuen Tab) und Global Policy Principles for Cybersecurity Incident Reporting. (öffnet in einem neuen Tab) Diese Dokumente sollen dazu beitragen, politische Entscheidungsträger zu informieren und zu leiten, wenn sie überlegen, wie sie verbindliche Richtlinien zur Meldung von Cyber-Vorfällen am besten angehen können, und die Ansicht der ITI zu den Komponenten widerspiegeln, die einen durchdachten Ansatz zur Meldung von Vorfällen darstellen.
Related News & Analysis
Warum ein KI-„Notausschalter“ keine Universallösung ist
AI ist Supercharging Cyber Threats. Verteidiger brauchen neue Werkzeuge und Partnerschaften.
