Гармонизация уведомлений о киберинцидентах в США
На прошлой неделе американское Министерство внутренней безопасности (DHS) представило Конгрессу
доклад о гармонизации уведомлений федерального правительства о киберинцидентах. В 2022 году в США был принят закон об уведомлениях (reporting) о киберинцидентах для критической инфраструктуры (CIRCIA), в соответствии с которым был учреждён специальный совет под эгидой DHS, включающий 33 ведомства, для согласования требований различных госорганов по уведомлению о киберинцидентах. Доклад стал результатом этой работы и должен лечь в основу того, как организации будут отчитываться об инцидентах CISA.
В докладе проанализированы 52 (!) требования по уведомлению об инцидентах, действующих и предложенных, от разных ведомств, включая Минюст, FCC, FTC, Минздрав и пр. (в докладе табличка с 53 страницы). Везде разные условия, сроки, термины и т.д. Задача была посмотреть, нет ли дублирования требований, и понять, как можно их совместить, какие есть препятствия.
Рекомендации доклада:
1. принять везде, где это возможно, модельное определение киберинцидента, подлежащего уведомлению (определение на стр. 26-27);
2. принять модельные сроки и условия уведомления об инцидентах (в течение 72 часов в общем случае и в более короткий срок, если из-за инцидента нарушаются критические или жизненно важные функции);
3. отложить оповещение затронутых лиц, если это может быть сопряжено с риском для КИ, национальной безопасности или текущих расследований;
4. принять модельную форму уведомления об инцидентах;
5. оптимизировать процедуры приёма уведомлений и обмена информацией об инцидентах — возможно, с созданием единого портала;
6. предусмотреть возможность получения дополнительных уведомлений и обновлений, если появляется дополнительная информация;
7. принять общую терминологию, связанную с уведомлением о киберинцидентах;
8. усовершенствовать процессы взаимодействия с организациями после направления ими уведомлений.