Loi sur la résilience des données de la défense nationale

Résumé#

Cette loi exige que le secrétaire à la Défense établisse des règles et construise des systèmes afin que le ministère de la Défense (DoD) puisse récupérer des données importantes en cas de perte, de dommage ou de destruction. La loi définit trois types de données : critiques, importantes et nécessaires. Elle fixe des délais pour les objectifs de temps de récupération et pour la mise en place des capacités de récupération. Elle exige également des rapports, des audits et une stratégie de récupération écrite pour le ministère.

Délais et tâches clés dans la loi :

• Dans les 90 jours : Le secrétaire doit soumettre une stratégie de récupération des données à l'échelle du ministère aux comités de défense du Congrès. La stratégie doit être non classifiée avec une annexe classifiée optionnelle et doit inclure des objectifs de temps de récupération, la technologie nécessaire, les processus de supervision et les fonds requis.
• Dans les 180 jours : Le secrétaire doit établir des objectifs de temps de récupération (OTR) obligatoires pour les données étiquetées "critiques" et mettre en place des capacités de récupération des données pour les données critiques.
• Dans les 270 jours : Le secrétaire doit établir des OTR obligatoires pour les données étiquetées "importantes" ou "nécessaires" et mettre en place des capacités de récupération pour ces catégories.
• Dans 1 an et ensuite annuellement : Le secrétaire doit soumettre un rapport de certification de récupération vérifiable pour chaque élément du DoD, énumérant chaque OTR et indiquant si chacun respecte les normes requises.

Les capacités de récupération et les vérifications requises incluent des sauvegardes immuables, des copies de données logiquement séparées et segmentées, une isolation des réseaux externes, une surveillance continue des environnements de sauvegarde, des exercices de récupération annuels simulant des cyberattaques d'États-nations, et des audits par des groupes indépendants imitant les tactiques de cyberattaque. La loi exige également que le DoD n'adopte que des technologies de récupération figurant dans un inventaire du DoD pour des technologies de cybersécurité et de protection des données certifiées, et précise les caractéristiques des technologies de récupération (stockage immuable, récupération robuste, pistes d'audit complètes, surveillance continue de l'intégrité).

La loi ajoute ces exigences au titre 10, chapitre 19 du Code des États-Unis et définit des termes clés tels que "données critiques", "données importantes", "données nécessaires", "capacité de récupération des données" et "objectif de temps de récupération."

Ce que cela signifie pour vous#

• Si vous êtes un fonctionnaire ou un entrepreneur du DoD travaillant avec des données du DoD : vous devrez suivre de nouvelles règles pour étiqueter les données (critiques, importantes, nécessaires), respecter les objectifs de temps de récupération fixés et utiliser des technologies de récupération approuvées qui répondent aux normes immuables et de surveillance.
• Les organisations du DoD doivent réaliser des exercices de récupération annuels et permettre des audits qui testent leur capacité à récupérer après de graves cyberattaques.
• Le secrétaire doit rendre compte des progrès et des certifications aux comités de défense du Congrès selon un calendrier établi.

Dépenses#

Aucune information publique disponible sur les coûts totaux. La loi exige que le secrétaire inclue les fonds nécessaires pour mettre en œuvre la stratégie de récupération des données dans la soumission de la stratégie, mais elle ne précise pas les montants en dollars.

Point de vue des partisans#

La loi vise à garantir une récupération rapide, sécurisée et vérifiable des données du DoD après des cyberattaques destructrices en fixant des objectifs de temps de récupération clairs, en exigeant des systèmes de sauvegarde renforcés (y compris des sauvegardes immuables), une surveillance continue, des exercices réalistes et des audits indépendants. Elle crée également des exigences pour des technologies approuvées et un reporting régulier au Congrès.

Point de vue des opposants#

Aucune information publique disponible.