ITI: Pour protéger la cybersécurité américaine, CISA doit améliorer la réglementation CIRCIA
WASHINGTON – Aujourd'hui, l'association internationale de la technologie ITI a appelé la Cybersecurity and Infrastructure Security Agency (CISA) à rendre sa réglementation de signalement d'incidents plus efficace et plus réalisable afin de protéger la cybersécurité américaine. ITI répondu (s’ouvre dans un nouvel onglet) à l'avis de projet de règlement (NPRM) de la CISA mettant en œuvre la Cyber Incident Reporting for Critical Infrastructure Act de 2022 (CIRCIA) avec des recommandations clés visant à cibler la portée de la règle et à jouer un rôle plus proactif dans l'harmonisation aux États-Unis et dans le monde.
Étant donné la portée générale de la règle et la quantité d'information demandée, nous sommes préoccupés par le fait que, dans son état actuel, la CIRCIA entraînera inévitablement une surdéclaration d'incidents mineurs et potentiellement hors portée. Une telle myriade de rapports risque d'enterrer d'importantes tendances cybernétiques dans les données non pertinentes et de réduire considérablement les avantages du système de déclaration, ITI a écrit dans ses commentaires. En outre, nous sommes préoccupés par la vaste portée des définitions des cyberincidents importants et des entités couvertes. La définition de l'entité couverte est très large, et la CISA devrait fournir des orientations supplémentaires pour donner aux entreprises la certitude qu'elles sont ou non visées en tant qu'«entité couverte».
Nous encourageons la CISA à jouer un rôle plus proactif dans l'harmonisation des exigences en matière de déclaration des incidents, en particulier par l'intermédiaire du CIRC, afin de converger la déclaration des incidents et d'étudier si une seule fonction nationale de déclaration est possible. ITI continue.
ITI présentation (s’ouvre dans un nouvel onglet) recommande que la CISA:
- jouer un rôle plus affirmé dans l'harmonisation de la CIRCIA avec les exigences actuelles et à venir en matière de rapports aux États-Unis;
- Cibler le champ d'application de la règle, y compris la réduction du champ d'application de l'entité couverte et affiner la définition de l'incident cybercouvert;
- permettre une certaine souplesse en matière de rapports supplémentaires;
- Examiner les incidences sur la sécurité et les vulnérabilités potentielles associées au partage et au stockage des rapports;
- Adapter les renseignements demandés dans le rapport initial pour refléter la réalité selon laquelle certains renseignements pourraient ne pas être disponibles immédiatement après un incident;
- maintenir les protections de responsabilité prévues dans la CIRCIA 2022;
- Prendre des mesures pour favoriser la réciprocité et mieux s'assurer que la CIRCIA offre de la valeur aux intervenants.
L'importance de l'alignement aux États-Unis et dans le monde est un principe de longue date de la position de l'ITI sur les rapports d'incident. Dans ses commentaires, l'ITI souligne que la CISA devrait non seulement examiner le paysage actuel des rapports d'incidents fédéraux, nationaux et locaux, mais aussi tenir compte du paysage international et collaborer avec ses partenaires pour harmoniser autant que possible.
ITI s'est fortement engagée dans des travaux sur l'élaboration de politiques relatives à la cybersécurité, notamment en Australie, en Europe et aux États-Unis. Dans le cadre de son engagement, l'ITI a élaboré et publié deux ensembles de principes stratégiques : Principes directeurs pour la déclaration des incidents de sécurité aux États-Unis (s’ouvre dans un nouvel onglet) et Principes de politique mondiale pour la déclaration des incidents liés à la cybersécurité. (s’ouvre dans un nouvel onglet) Ces documents ont pour but d'informer et de guider les décideurs lorsqu'ils examinent la meilleure façon d'aborder les politiques obligatoires de déclaration des incidents cybernétiques et reflètent le point de vue de l'ITI sur les éléments qui constituent une approche réfléchie de la déclaration des incidents.
Related News & Analysis
Pourquoi un « interrupteur d’arrêt d’urgence » de l’IA n’est pas une solution universelle
L'IA est une menace cybernétique. Les défenseurs ont besoin de nouveaux outils et partenariats.
