ITI proporciona retroalimentación a la implementación de un gobierno de reporte de incidentes de ciberseguridad de CISA
WASHINGTON – La asociación de comercio de tecnología global ITI presentó comentarios a la Agencia de Seguridad de la Seguridad Ciberseguridad e Infraestructura (CISA) Solicitud de información sobre el Ciberinto Acta de Presentación de Informes de 2022 (CIRCIA) como la agencia trabaja para desarrollar la formulación de normas que implementarán la Ley de Cyber Incident Reporting for Critical Infrastructure de 2022 (CIRCIA). En su Comentarios (se abre en una pestaña nueva) presentado el lunes, ITI ofreció una serie de recomendaciones iniciales para ayudar a CISA a perfeccionar aún más la formulación de normas, incluyendo el análisis de la definición de “entidades cubiertas” y lo que constituye un “accidente cibernético cubierto”, y ofrecer información sobre el panorama global de información sobre incidentes de ciberseguridad para evitar la fragmentación de informes a través de las fronteras.
“Alentamos a CISA, ya que desarrolla la regla para implementar CIRCIA 2022, para no sólo examinar el paisaje existente de reportaje de incidentes federales, estatales y locales, sino también el paisaje internacional, ya que hay una necesidad significativa de alineamiento a través de las fronteras”, ITI escribió en los comentarios. “Además, los miembros de ITI alientan a CISA a que haga hincapié en los objetivos de seguridad de CIRCIA al desarrollar y aplicar la ley, ya que establecerá una norma reglamentaria que debe informar a otros organismos federales de informar o divulgar obligaciones. También consideramos importante destacar que para que el régimen sea eficaz, el CISA debe recortar el alcance de la cobertura regulatoria, los requisitos de presentación de informes y los procesos para asegurar que cuente con los recursos, la capacidad y las capacidades necesarios para proporcionar un valor significativo a las entidades cubiertas y a la comunidad de ciberseguridad más amplia de la información presentada por CIRCIA”.
En su Comentarios (se abre en una pestaña nueva), ITI insta a CISA a adaptar el alcance de las “ entidades cubiertas” mediante: basar la definición de entidades cubiertas en una evaluación nacional de la crítica; excluir a terceros del alcance; asegurar la adopción de terminología común en todo el interinstitucional; finalizar programas de infraestructura crítica en curso; crear una excepción para las entidades que ya están sujetas a requisitos similares de presentación de informes de incidentes cibernéticos en otros sectores; analizar “empresas cubiertas” para incluir solamente empresas multinacionales de alcance
ITI también insta a CISA a adaptar la definición de “accidente cibernético cubierto” limitando la presentación de informes a ataques graves y significativos que causan perturbaciones o pérdidas reales e incluyen parámetros específicos; centrándose en los impactos de un incidente o las consecuencias de la ciberseguridad de un incidente; enfatizando los incidentes que tienen impactos en las dependencias transversales o plataformas usadas ubicuamente; estableciendo un umbral de minimis al considerar los impactos funcionales o de información de un incidente; y limitar las redes basadas en la definición
Los comentarios se basan en la defensa de los incidentes de ciberseguridad en curso de ITI. En octubre de 2022, ITI lanzó su Global Cybersecurity Incident Reporting Policy Index (se abre en una pestaña nueva) , que proporciona un resumen de las medidas de información sobre incidentes de ciberseguridad en todo el mundo. En septiembre de 2021, ITI publicó Global Policy Principles for Security Incident Reporting (se abre en una pestaña nueva) para ayudar a los responsables de la formulación de políticas en todo el mundo a medida que buscan desarrollar un régimen eficaz y eficiente de notificación de incidentes de seguridad. En julio de 2021, ITI publicó Principios para la presentación de informes de incidentes de seguridad en los EE.UU. (se abre en una pestaña nueva), recomendaciones de primera clase diseñadas para ayudar a informar a los responsables de la formulación de políticas de los Estados Unidos a medida que buscan desarrollar un régimen de notificación de incidentes de seguridad.
Lea los comentarios completos Aquí. (se abre en una pestaña nueva).
###
Related News & Analysis
Por qué un «interruptor de apagado» de IA no es una solución universal
AI es Supercarging Cyber Threats. Los defensores necesitan nuevas herramientas y asociaciones.
