拜登總統(tǒng)于本周簽署“改變游戲規(guī)則”的立法,，要求關(guān)鍵基礎(chǔ)設(shè)施實(shí)體和聯(lián)邦機(jī)構(gòu)必須在72 小時(shí)內(nèi)向網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）報(bào)告重大網(wǎng)絡(luò)事件，并在 24 小時(shí)內(nèi)向 CISA 報(bào)告勒索軟件攻擊,。
美國眾議院通過了 2022 年關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)事件報(bào)告法案的關(guān)鍵條款,，該法案要求關(guān)鍵基礎(chǔ)設(shè)施運(yùn)營部門在遭到黑客攻擊或向威脅行為者支付贖金時(shí)向政府發(fā)出警報(bào),。這是眾議院周三通過的 1.5 萬億美元綜合支出法案的一部分,，該法案為聯(lián)邦政府提供了今年剩余時(shí)間的資金,。該法案中包含的事件報(bào)告條款是更廣泛的加強(qiáng)美國網(wǎng)絡(luò)安全法案的一部分，去年未能成為法律,，但于 3 月1 日在參議院一致通過。拜登總統(tǒng)于本周簽署,。
該立法是在勒索軟件攻擊和其他關(guān)鍵基礎(chǔ)設(shè)施組織面臨的網(wǎng)絡(luò)威脅激增的情況下起草的,，而當(dāng)前的俄羅斯-烏克蘭沖突加劇了這一威脅。
除了阻止組織進(jìn)行勒索軟件付款外,，這些措施還旨在為網(wǎng)絡(luò)攻擊和威脅參與者計(jì)劃提供更多情報(bào),。反過來，這將有助于司法部（DoJ） 和 FBI 等聯(lián)邦機(jī)構(gòu)之間的信息共享,，幫助確保有一種標(biāo)準(zhǔn)化的方法來處理關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)攻擊,。
新的報(bào)告要求將適用于屬于 CISA 定義的 16 個(gè)美國關(guān)鍵基礎(chǔ)設(shè)施部門的組織。這些公司必須報(bào)告“重大”網(wǎng)絡(luò)事件,，例如對操作系統(tǒng)或流程的安全性和彈性造成危險(xiǎn)或擾亂商業(yè)或工業(yè)運(yùn)營的事件,。
72 小時(shí)報(bào)告事件，24 小時(shí)報(bào)告贖金支付
法案中包含的事件報(bào)告要求要求關(guān)鍵基礎(chǔ)設(shè)施實(shí)體和聯(lián)邦機(jī)構(gòu)在涵蓋實(shí)體合理認(rèn)為涵蓋的網(wǎng)絡(luò)事件發(fā)生后 72 小時(shí)內(nèi)向 DHS 的網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局 （CISA） 報(bào)告重大網(wǎng)絡(luò)事件和勒索軟件付款,。如果他們進(jìn)行勒索軟件付款,，則在 24 小時(shí)內(nèi)發(fā)生。值得注意的是，綜合法案中的勒索軟件支付報(bào)告要求“即使勒索軟件攻擊不是符合報(bào)告要求的涵蓋網(wǎng)絡(luò)事件,，也應(yīng)適用,。”未報(bào)告事件或勒索軟件付款的關(guān)鍵基礎(chǔ)設(shè)施組織和聯(lián)邦機(jī)構(gòu)將收到 CISA 主任的傳票,，CISA 主任將能夠?qū)⒋耸绿峤唤o司法部長,，以便在美國地方法院提起民事訴訟 執(zhí)行傳票。法院可以懲罰不遵守作為藐視法庭發(fā)出的傳票的行為,。
CISA 還可以以匿名方式提供事件報(bào)告,，并采取防御措施將其傳播給適當(dāng)?shù)睦嫦嚓P(guān)者，包括部門協(xié)調(diào)委員會(huì),、信息共享和分析組織,、州、地方,、部落和地區(qū)政府,、技術(shù)提供商、網(wǎng)絡(luò)安全和網(wǎng)絡(luò)事件響應(yīng)公司和安全研究人員,，視情況而定,。
勒索軟件試點(diǎn)計(jì)劃
CISA 還需要建立一個(gè)勒索軟件漏洞警告試點(diǎn)計(jì)劃，“以利用現(xiàn)有的權(quán)威和技術(shù)來開發(fā)流程和程序,，并投入資源來識(shí)別包含與常見勒索軟件攻擊相關(guān)的安全漏洞的信息系統(tǒng),，并通知 那些易受攻擊系統(tǒng)的安全漏洞的所有者?！?該試點(diǎn)計(jì)劃將識(shí)別勒索軟件攻擊和緩解技術(shù)中最常見的安全漏洞,，并使用現(xiàn)有權(quán)限來識(shí)別包含安全漏洞的信息系統(tǒng)。該試點(diǎn)計(jì)劃定于頒布之日起四年后終止,。
協(xié)調(diào)打擊勒索軟件攻擊活動(dòng)的工作組
在頒布后的 180 天內(nèi),，該法案還要求 CISA 局長與國家網(wǎng)絡(luò)局長、司法部長和聯(lián)邦調(diào)查局 （FBI） 局長協(xié)商,，建立并主持一個(gè)聯(lián)合勒索軟件工作組,，包括聯(lián)邦機(jī)構(gòu)參與者，以協(xié)調(diào)正在進(jìn)行的針對勒索軟件攻擊的全國性運(yùn)動(dòng),，并確定和尋求國際合作的機(jī)會(huì),。
該工作組將優(yōu)先考慮情報(bào)驅(qū)動(dòng)的行動(dòng)，以破壞特定的勒索軟件參與者,，與私人,、地方政府和國際利益相關(guān)者協(xié)商以確定需求，并建立向聯(lián)合勒索軟件工作組提供意見的機(jī)制,。
CISA主導(dǎo),，但 FBI 被排除在外
毫不奇怪，CISA 主任 Jen Easterly 稱贊報(bào)告任務(wù)是保護(hù)國家免受網(wǎng)絡(luò)威脅的過期手段。 Easterly 和 CISA 長期以來一直抱怨缺乏事件報(bào)告要求使聯(lián)邦政府對網(wǎng)絡(luò)威脅和事件一無所知,。
然而,，副總檢察長麗莎摩納哥最近表示，該立法將使該國“不那么安全”,，聯(lián)邦調(diào)查局局長克里斯托弗雷表示,，它存在“嚴(yán)重缺陷”，因?yàn)樗鼘⒙?lián)邦調(diào)查局從事件報(bào)告鏈中剔除,，使該局失去能力 打擊網(wǎng)絡(luò)犯罪團(tuán)伙,。
在本月早些時(shí)候的眾議院情報(bào)委員會(huì)聽證會(huì)上，Wray 說：“我們在現(xiàn)場有特工,，他們通常在一個(gè)小時(shí)左右的時(shí)間內(nèi)對一家受到打擊且每年發(fā)生數(shù)千次的企業(yè)做出回應(yīng),，所以我們需要以確保信息流受到保護(hù)?！?拜登政府站在 CISA 一邊,，白宮國家網(wǎng)絡(luò)主管 Chris Inglis 支持該法案，但沒有做出任何反映 FBI 擔(dān)憂的改變,。1.5 萬億美元的支出計(jì)劃為 CISA 撥款 25.9 億美元,，比拜登政府在其預(yù)算提案中要求的多 3 億美元。
官員們的普遍反應(yīng)積極
其他政府官員對眾議院通過該法案的反應(yīng)是積極的,。眾議院國土安全委員會(huì)的兩黨領(lǐng)導(dǎo)人在一份新聞稿中表示：“要求所有者和運(yùn)營商向 CISA 報(bào)告重大網(wǎng)絡(luò)事件和勒索軟件攻擊將意味著聯(lián)邦政府的可見性更高,，惡意網(wǎng)絡(luò)活動(dòng)的更早中斷，以及更好的信息和威脅 情報(bào)返回到私營部門,，因此他們可以防御未來的攻擊,。該法案中提供的權(quán)限和資源不能很快到來，因?yàn)?CISA 致力于在不斷變化的地緣政治環(huán)境中應(yīng)對迅速演變的網(wǎng)絡(luò)威脅,?！?美國參議員馬克·華納（Mark Warner）和蒂姆·凱恩（Tim Kaine）（均為 D-VA）贊揚(yáng)了綜合法案的通過，并指出華納是 2022 年加強(qiáng)美國網(wǎng)絡(luò)安全法案的發(fā)起人之一,，該法案包含了事件報(bào)告措施,。22 年 3 月 11 日參議院批準(zhǔn)了綜合法案,，拜登總統(tǒng)已經(jīng)簽署,。
CISA 主任 Jen Easterly 在評論新法律時(shí)說：“作為國家的網(wǎng)絡(luò)防御機(jī)構(gòu)，CISA 對網(wǎng)絡(luò)事件報(bào)告立法的通過表示贊賞,。由于我們在國會(huì)的許多合作伙伴的支持,，CISA 將擁有我們需要的數(shù)據(jù)和可見性，以幫助更好地保護(hù)全國的關(guān)鍵基礎(chǔ)設(shè)施和企業(yè)免受網(wǎng)絡(luò)攻擊的破壞性影響,。
”CISA 將利用我們私營部門合作伙伴的這些報(bào)告,，就我們的對手如何針對美國網(wǎng)絡(luò)和關(guān)鍵基礎(chǔ)設(shè)施建立共識(shí)。這些信息將填補(bǔ)關(guān)鍵信息空白，使我們能夠快速部署資源并向遭受攻擊的受害者提供援助,，分析跨部門傳入的報(bào)告以發(fā)現(xiàn)趨勢,，并快速與網(wǎng)絡(luò)防御者共享該信息以警告其他潛在受害者。CISA 致力于與我們的行業(yè)和聯(lián)邦政府合作伙伴以透明的方式合作,，以提高我們國家網(wǎng)絡(luò)和關(guān)鍵基礎(chǔ)設(shè)施的安全性和彈性,。
“坦率地說，這項(xiàng)立法改變了游戲規(guī)則,。今天標(biāo)志著我們國家的集體網(wǎng)絡(luò)安全向前邁出了關(guān)鍵一步,。”
該法案是拜登政府發(fā)布的最新聯(lián)邦網(wǎng)絡(luò)安全倡議,，于 2021 年初上任,。其他包括旨在提高供應(yīng)鏈安全、事件檢測和響應(yīng)以及對威脅的整體彈性的行政命令,，以及創(chuàng)建勒索軟件任務(wù) 由司法部強(qiáng)制執(zhí)行,。
