Представители на три сектора от критичната инфраструктура посочиха противоречиви и излишни правила, които според тях значително затрудняват работата им.
Законодателите трябва да коригират дублиращите се и противоречиви регулации, които в момента възпрепятстват способността на правителството да упражнява надзор върху киберсигурността на критичната инфраструктура, заявиха представители на индустрията пред Сметната палата на САЩ (GAO) по време на скорошна дискусионна панелна среща.
Обратната връзка от бизнеса, разкрита в доклад на GAO, публикуван в понеделник, е най-новото доказателство, че частният сектор е силно незадоволен от разпокъсаните правила, регулиращи сигурността на инфраструктурата в САЩ. Новият доклад се появява и в момент, когато Агенцията за киберсигурност и инфраструктурна сигурност (CISA) работи по окончателното завършване на възложено от Конгреса правило за докладване на инциденти в киберсигурността, което би могло да наложи широкообхватни изисквания към широк кръг от инфраструктурни оператори.
Rъководители от Edison Electric Institute (EEI), Electric Power Supply Association, America’s Credit Unions, Fiserv, American Academy of Family Physicians и Massachusetts Health Data Consortium се срещнаха с GAO за три часа на 16 юли, за да обсъдят регулаторната среда, като агенцията заяви, че всички те са „идентифицирали потенциално дублиращи се или противоречащи си федерални регулации за киберсигурност, свързани с техния сектор, и са посочили възможности за тяхното хармонизиране.“
Ръководителите посочиха най-вече различни проблематични регулации в зависимост от своя сектор, но всички те са упоменали предстоящото правило на CISA и изискването за публично оповестяване на Комисията по ценните книжа и борсите (SEC).
„Повечето участници отбелязаха, че праговете за докладване, сроковете и дефинициите в тези правила влизат в конфликт с регулациите от техния сектор“, посочват от GAO, „което затруднява пълното удовлетворяване на всички изисквания за докладване и отстраняването на киберзаплахите в рамките на изискваните срокове.“
Джон Милър, старши вицепрезидент по глобална политика в Information Technology Industry Council (водеща търговска група в сферата на технологиите), заяви, че докладът на GAO подчертава дългогодишния консенсус, че „нарастващата разпокъсаност от противоречиви, дублиращи се и прекомерни регулации за киберсигурност в САЩ изисква спешни действия и по-координиран подход.“
„Законодателите трябва да действат сега, за да подобрят резултатите в киберсигурността, като същевременно позволят на организациите да насочат ресурсите си към управление на реални заплахи, вместо да се справят с излишна сложност при съответствието с изискванията“, каза Милър.
Инфраструктурните сектори се борят с специфични тежести при кибердокладването
В доклада на GAO участниците от енергийния сектор изразиха опасения относно припокриването между изискванията на Администрацията за сигурност на транспорта (TSA) за докладване на киберсигурността при тръбопроводите и стандартите за защита на критичната инфраструктура на Северноамериканската корпорация за надеждност на електроенергията (NERC).
Дрю Малоуни, президент и главен изпълнителен директор на EEI, заяви, че доставчиците на електроенергия „навигират в сложен комплекс от федерални, щатски и специфични за сектора регулации за киберсигурност, където един-единствен киберинцидент може да задейства изисквания за докладване пред множество агенции.“ Малоуни посочи, че законодателите трябва да намалят регулаторната излишност, за да „позволят на американските електроенергийни компании да се фокусират върху справянето със заплахите за мрежата и поддържането на осветлението за клиентите.“
Интервюираните от GAO ръководители в сферата на финансовите услуги заявиха, че трябва да отговарят на припокриващи се изисквания от Националната администрация за кредитни съюзи и Закона за банковата тайна, като един от лекторите спомена и припокриващи се изисквания в Правилото за гаранциите на Федералната търговска комисия (FTC) и Закона „Грам-Лийч-Блайли“. В някои случаи тези правила поставят различни прагове за докладване и срокове.
Междувременно ръководителите в здравеопазването посочиха различни дефиниции в правилата за докладване на CISA, SEC и Закона за преносимост и отчетност на здравното осигуряване (HIPAA). Здравният сектор, със своите огромни бази данни с чувствителна медицинска информация, трябва също да балансира изискванията за докладване със защитата на данните. Ръководителите споделиха, че ограниченията за сигурност и поверителност на HIPAA изглежда влизат в конфликт със забраната на Министерството на здравеопазването и социалните услуги срещу необоснованото ограничаване на достъпа до здравни данни. Според един от участниците дори краткосрочното объркване относно това как да се съвместят тези две регулаторни предписания може да забави докладването от страна на малки здравни заведения с „ограничен персонал по съответствието.“
Възможности за рационализиране на правилата
Ръководителите, които се срещнаха с екипа на GAO, заявиха, че законодателите и регулаторите имат много опции за уеднаквяване на разпокъсаните киберрегулации, но според агенцията те са били единодушни, че „напредъкът е ограничен.“
Участниците предложиха опростяване на дефинициите и праговете за инциденти, консолидиране на надзора по киберсигурност под шапката на една агенция като CISA и подтикване на агенциите към по-тясно сътрудничество с бизнеса.
Администрацията на Тръмп, подобно на своя предшественик, заяви желанието си да освободи компаниите от ненужни регулаторни тежести в киберсигурността, а Службата на националния директор по киберсигурност (ONCD) към Белия дом изтъкна хармонизирането на регулациите като един от основните си приоритети. Представителите на ONCD обаче казаха твърде малко за тези усилия през последните месеци.
Лидери от индустрията, които споделиха коментари пред Cybersecurity Dive, изразиха комбинация от подкрепа за реториката на администрацията и безпокойство относно бавното темпо на напредък.
Агенциите „се движат в правилната посока“, но „тази работа далеч не е приключила“, каза Майк Уорд, старши вицепрезидент по федерална политика и правителствени отношения в браншовата група TechNet.
Хенри Янг, старши директор по политиките в софтуерната асоциация BSA, заяви, че изясняването на правилата е важно, за да не затъват компаниите в спазване на изискванията във време на нарастващи цифрови опасности.
„Специалистите по киберсигурност трябва да бъдат фокусирани върху това да изпреварват все по-сложните заплахи — а не да губят оскъдно време и ресурси в навигиране сред противоречиви и дублиращи се изисквания“, каза Янг. „Тази нужда само нараства, тъй като новите модели за сигурност с изкуствен интелект създават мощни нови възможности както за защитниците, така и за атакуващите.“