ITI: Para proteger la ciberseguridad estadounidense, CISA debe mejorar la toma de reglas de CIRCIA
WASHINGTON – Hoy, la asociación mundial de comercio tecnológico ITI exhortó a la Agencia de Seguridad de la Seguridad Ciberseguridad e Infraestructura (CISA) a que su regulación de informes de incidentes fuera más eficaz y factible para salvaguardar la ciberseguridad estadounidense. ITI respondió (se abre en una pestaña nueva) al Aviso del CISA sobre la propuesta de formulación de normas (NPRM) que aplica la Ley de informes de incidentes cibernéticos para infraestructuras críticas de 2022 (CIRCIA) con recomendaciones clave para apuntar el alcance de la norma y asumir un papel más dinámico en la armonización en los Estados Unidos y en todo el mundo.
“Dado el amplio alcance de la norma y la cantidad de información solicitada, nos preocupa que la CIRCIA en su estado actual dé lugar inevitablemente a la denuncia excesiva de incidentes menores y potencialmente fuera de alcance. Tales informes de miríada correrán el riesgo de enterrar tendencias cibernéticas significativas en datos irrelevantes, y disminuirán significativamente el beneficio del esquema de presentación de informes”, ITI escribió en sus comentarios. “Además, nos preocupa el amplio alcance de las definiciones de incidentes cibernéticos sustanciales y de entidades cubiertas. La definición de entidad cubierta es muy amplia, y el CISA debería proporcionar más orientación para proporcionar seguridad a las empresas en cuanto a si están en alcance o no como una “ entidad cubierta”.
“Alentamos a la CISA a que desempeñe un papel más proactivo en la armonización de los requisitos de presentación de informes sobre incidentes, en particular por conducto del CIRC, para converger la información sobre incidentes, y explorar si es factible una sola función nacional de presentación de informes”, ITI continuó.
ITI Presentación (se abre en una pestaña nueva) recomienda que CISA:
- Asumir un papel más firme en la armonización de la CIRCIA con los requisitos de presentación de informes existentes y futuros de los Estados Unidos;
- Meta el alcance de la norma, incluyendo la reducción del alcance de la “ entidad cubierta” y refinando la definición de “incidente cibernético cubierto”
- Permitir flexibilidad en relación con la presentación de informes complementarios;
- Considerar las consecuencias para la seguridad y las posibles vulnerabilidades asociadas con el intercambio y almacenamiento de informes;
- Ajustar la información solicitada en el informe inicial para reflejar la realidad de que tal vez no se disponga de alguna información inmediatamente después de que se produzca un incidente;
- Mantener las protecciones de responsabilidad previstas en CIRCIA 2022; y
- Adoptar medidas para fomentar la reciprocidad y asegurar mejor que CIRCIA proporcione valor a los interesados.
Un principio de larga data de la posición de ITI sobre la presentación de informes de incidentes ha sido la importancia de la alineación en los Estados Unidos y en todo el mundo. En sus comentarios, ITI subraya que el CISA no sólo debe examinar el panorama existente de los incidentes federales, estatales y locales, sino también tener en cuenta el paisaje internacional y colaborar con los asociados para armonizarlo cuando sea posible.
La ITI ha estado profundamente comprometida en la elaboración de políticas de información sobre incidentes de ciberseguridad en todo el mundo, incluso en Australia, Europa y Estados Unidos. Como parte de su compromiso, ITI elaboró y publicó dos conjuntos de principios de política: Principios de política para la presentación de informes de incidentes de seguridad en EE.UU. (se abre en una pestaña nueva) y Global Policy Principles for Cybersecurity Incident Reporting. (se abre en una pestaña nueva) Estos documentos tienen por objeto ayudar a informar y orientar a los responsables de la formulación de políticas, ya que consideran la mejor manera de abordar las políticas obligatorias de presentación de informes sobre incidentes cibernéticos y reflejan la opinión de ITI sobre los componentes que constituyen un enfoque reflexivo para la presentación de informes sobre incidentes.
Related News & Analysis
Por qué un «interruptor de apagado» de IA no es una solución universal
AI es Supercarging Cyber Threats. Los defensores necesitan nuevas herramientas y asociaciones.
