Résumé#
La Loi sur la sécurisation de notre infrastructure critique modifierait la Loi de 2022 sur le signalement des incidents cybernétiques pour les infrastructures critiques ; elle n'est pas encore en vigueur. Elle transformerait un projet pilote d'avertissement de vulnérabilité de la CISA axé sur les ransomwares en un programme d'avertissement de vulnérabilité de sécurité plus large et ajouterait des services pour les services publics couverts. L'objectif déclaré est de renforcer le soutien à la cybersécurité pour ces services publics.
- Le Directeur de la CISA inscrirait automatiquement chaque service public couvert aux services de cybersécurité de la CISA ; un service public pourrait se désinscrire en notifiant le Directeur.
- Si le Directeur détermine qu'un service public couvert a été affecté par un incident cybernétique, le Directeur doit utiliser les capacités de réponse aux incidents de la CISA pour répondre en son nom, si approprié.
- La CISA devrait coordonner avec l'Agence de protection de l'environnement.
- « Service public couvert » inclut un service d'eau ou d'eaux usées desservant pas plus de 100 000 personnes, certaines entités définies dans une autre loi, et les opérateurs de systèmes d'eau publics ou d'installations de traitement.
- Les informations partagées par un service public couvert seraient exemptées des lois de divulgation publique fédérales, étatiques, locales et tribales spécifiées. Le Directeur pourrait les divulguer, les conserver ou les utiliser uniquement à des fins autorisées par une loi de référence croisée, et doit protéger les informations personnelles et identifiantes contre une utilisation ou une divulgation non autorisée.
- Le programme prendrait fin cinq ans après l'adoption de ce projet de loi. Le projet de loi a été renvoyé au Comité de la sécurité intérieure de la Chambre ; il est incertain s'il sera adopté.
Ce que cela signifie pour vous#
- Services publics couverts : S'il est adopté, ils seraient automatiquement inscrits aux services de cybersécurité de la CISA, mais pourraient se désinscrire en donnant un préavis. Si le Directeur détermine qu'un service public a été affecté par un incident cybernétique, la CISA doit fournir une réponse appropriée en son nom.
- CISA : Le Directeur devrait gérer le programme, organiser l'inscription automatique, fournir une réponse aux incidents lorsque la condition énoncée est remplie, et coordonner avec l'EPA.
- Personnes desservies par les services publics : Le projet de loi ne modifie pas directement le service public, les droits des clients ou les factures des clients. Il vise à fournir un soutien en cybersécurité aux services publics couverts.
- Personnes dont les informations sont partagées : Le projet de loi limiterait l'utilisation, la conservation et la divulgation des informations des services publics couverts par le Directeur et exigerait la protection des informations personnelles et identifiantes. Il ne décrit pas comment une personne pourrait contester une divulgation ou demander un recours.
- Le public : Certaines informations partagées avec le programme seraient exemptées des lois de divulgation des dossiers publics.
Finances#
Aucune information sur les coûts n'est disponible dans le matériel fourni.
- Le projet de loi exige que la CISA inscrive les services publics couverts et, dans les cas qualifiés, utilise ses capacités de réponse aux incidents. Il ne donne aucune estimation pour le personnel, le service ou d'autres coûts.
- Il ne prévoit pas d'affectation, de frais ou d'amende spécifiques.
Ce qui n'est pas clair#
- La Loi sur le signalement des incidents cybernétiques pour les infrastructures critiques de 2022 n'a pas été fournie, donc je n'ai pas pu vérifier les règles, les devoirs ou comment le texte modifié interagirait avec la loi actuelle.
- Le projet de loi n'explique pas quels services de cybersécurité sont « applicables », ni ce que ces services incluent.
- Il ne précise pas comment le Directeur détermine qu'un service public a été affecté, la rapidité avec laquelle la CISA doit répondre, ou ce que « si approprié » exige.
- La signification de « entité éligible » dépend d'une autre loi non fournie ici. Le projet de loi n'explique pas non plus comment les catégories de services publics couverts se chevauchant seraient traitées.
- Les fins autorisées pour l'utilisation, la conservation ou la divulgation d'informations sont définies par une référence croisée à une autre loi non fournie ici.
Arguments en faveur#
- Le projet de loi semble destiné à étendre les avertissements de vulnérabilité au-delà des ransomwares et à offrir un soutien en cybersécurité aux services d'eau et d'eaux usées.
- L'inscription automatique pourrait connecter les services publics couverts aux services de la CISA sans exiger que chacun postule d'abord ; les services publics pourraient toujours choisir de ne pas participer.
- Exiger que la CISA réponde lorsqu'elle détermine qu'un service public couvert a été affecté pourrait fournir une aide directe lors d'un incident cybernétique.
- Les limites sur l'utilisation et la divulgation des informations, ainsi que les protections de la vie privée, pourraient rendre le partage d'informations plus sécurisé.
Arguments contre#
- L'inscription automatique peut créer du travail pour les services publics et la CISA, mais le projet de loi ne précise pas les niveaux de service, le personnel ou le financement.
- Le projet de loi laisse des détails clés de réponse au Directeur, y compris comment un service public affecté est identifié et quelle réponse est appropriée.
- Exempter les informations partagées des lois de divulgation publique peut réduire l'accès du public aux informations sur le programme ; le projet de loi ne décrit pas d'autres rapports publics ou de surveillance.
- Le programme prend fin après cinq ans, et le projet de loi n'explique pas ce qui arrive aux services ou aux arrangements de partage d'informations après cela.