ITI fournit des commentaires à la CISA Mise en oeuvre d'un régime américain de déclaration des incidents de cybersécurité
WASHINGTON – Global techno trade association ITI a soumis des commentaires à l'Agence de cybersécurité et de sécurité de l'infrastructure (CISA)S Demande d'information sur la Cyber incident Reporting Act de 2022 (CIRCIA) alors que l'agence travaille à l'élaboration de la réglementation qui mettra en œuvre la Cyber Incident Reporting for Critical Infrastructure Act de 2022 (CIRCIA). Dans ses commentaires (s’ouvre dans un nouvel onglet) présenté lundi, ITI a proposé une série de recommandations initiales pour aider la CISA à affiner davantage l'élaboration des règles, y compris sur l'établissement de la portée de la définition des entités couvertes et ce qui constitue un cyberincident couvert, et offrir des informations sur le paysage mondial de signalement des incidents de cybersécurité afin d'éviter la fragmentation des signalements transfrontaliers.
Nous encourageons la CISA, dans le cadre de l'élaboration des règles pour la mise en œuvre de la CIRCIA 2022, à examiner non seulement le paysage actuel des rapports d'incidents fédéraux, nationaux et locaux, mais aussi le paysage international, car il existe un besoin important d'alignement au-delà des frontières. ITI a écrit dans les commentaires. En outre, les membres de l'ITI encouragent la CISA à mettre l'accent sur les objectifs de sécurité des CIRCIA lors de l'élaboration et de la mise en oeuvre de la loi, car elle établira une norme réglementaire qui devrait informer les autres organismes fédéraux des obligations de déclaration ou de divulgation. Nous pensons également qu'il est important de souligner que, pour que le régime soit efficace, la CISA doit trianguler la portée de la couverture réglementaire, des exigences en matière de rapports et des processus pour s'assurer qu'elle dispose des ressources, des capacités et des capacités nécessaires pour fournir une valeur significative aux entités couvertes et à l'ensemble de la communauté de la cybersécurité à partir des rapports d'information en vertu de la CIRCIA.
Dans ses commentaires (s’ouvre dans un nouvel onglet), l'ITI demande instamment à la CISA d'adapter la portée des entités couvertes par la loi en se fondant sur une évaluation de la criticité nationale; en excluant les tiers de la portée; en veillant à l'adoption d'une terminologie commune à l'échelle de l'interagence; en mettant la dernière main aux programmes d'infrastructures essentielles en cours; en créant une exception pour les entités qui sont déjà assujetties à des exigences similaires en matière de déclaration d'incidents cybernétiques dans d'autres secteurs; en établissant la portée des entités couvertes par la loi pour inclure uniquement les filiales américaines de sociétés multinationales et seulement les offres d'une entreprise qui constituent une infrastructure essentielle; et enfin, en excluant les fabricants de produits de consommation de la portée.
ITI exhorte également la CISA à adapter la définition de l'incident cybercouvert en limitant les signalements aux attaques graves et importantes qui causent des perturbations ou des pertes réelles et en incluant des paramètres spécifiques; en mettant l'accent sur les répercussions d'un incident ou les conséquences d'un incident sur la cybersécurité; en mettant l'accent sur les incidents qui ont des répercussions sur les dépendances intersectorielles ou les plates-formes utilisées de façon omniprésente; en fixant un seuil de minimis pour l'examen des impacts fonctionnels ou d'information d'un incident; et en limitant la définition aux événements qui surviennent sur les réseaux américains.
Les commentaires s'appuient sur la sensibilisation continue à la cybersécurité. En octobre 2022, ITI a publié Indice de la politique mondiale de déclaration des incidents liés à la cybersécurité (s’ouvre dans un nouvel onglet) qui fournit un résumé des mesures de déclaration des incidents de cybersécurité dans le monde entier. En septembre 2021, ITI a publié Principes de politique mondiale pour la déclaration des incidents de sécurité (s’ouvre dans un nouvel onglet) aider les décideurs du monde entier à élaborer un régime de notification des incidents de sécurité efficace et efficient. En juillet 2021, ITI a publié Principes pour la déclaration des incidents de sécurité aux États-Unis (s’ouvre dans un nouvel onglet), des recommandations de premier plan conçues pour aider les décideurs américains à élaborer un régime de notification des incidents de sécurité.
Lire les commentaires complets Ici. (s’ouvre dans un nouvel onglet).
- Oui.
Related News & Analysis
Pourquoi un « interrupteur d’arrêt d’urgence » de l’IA n’est pas une solution universelle
L'IA est une menace cybernétique. Les défenseurs ont besoin de nouveaux outils et partenariats.
