Échange d'informations sur la cybersécurité K-12

Résumé#

Cette loi obligerait l'Agence de cybersécurité et de sécurité des infrastructures (CISA) à mettre en place un Échange d'informations sur la cybersécurité scolaire, un registre volontaire des incidents cybernétiques, et un Programme d'amélioration de la technologie de cybersécurité K–12. L'objectif est d'aider les écoles élémentaires et secondaires, les agences éducatives locales et étatiques, ainsi que les agences de services éducatifs à améliorer leur cybersécurité, à partager des leçons et à obtenir de l'aide face à des menaces telles que les ransomwares. La loi autorise un financement fédéral limité pour deux ans afin de réaliser ces activités.

• Principales modifications : créer un site web public avec des meilleures pratiques et des outils pour la cybersécurité K–12 ; créer un registre volontaire des incidents cybernétiques scolaires et publier un rapport agrégé annuel anonymisé ; créer un programme pour déployer des outils, des services et des formations en cybersécurité pour les écoles K–12.
• Qui doit agir : CISA (l'agence) doit gérer les programmes, en partenariat avec des organisations de partage d'informations et en consultant d'autres agences fédérales et des dirigeants éducatifs étatiques/locales.
• Règle de confidentialité : les données sur les incidents publiées doivent être anonymisées et agrégées et doivent respecter les lois fédérales et étatiques sur la confidentialité.
• Financement : la loi autorise 10 millions de dollars pour chacune des années fiscales 2027 et 2028.

Ce que cela signifie pour vous#

• Écoles, districts scolaires et agences éducatives étatiques

  • Pourraient utiliser un site web public avec des conseils, des formations et des leçons apprises spécifiques à la cybersécurité K–12.
  • Pourraient rechercher une base de données répertoriant les outils et services de cybersécurité financés par le gouvernement fédéral et ceux recommandés pour un achat étatique/local.
  • Pourraient rechercher et postuler pour des opportunités de financement visant à améliorer la cybersécurité des écoles.
  • Pourraient recevoir des services, des outils et des formations en cybersécurité par le biais du Programme d'amélioration de la technologie.

• Personnel informatique des écoles et administrateurs

  • Pourraient avoir accès à des stratégies et des outils adaptés pour prévenir et répondre aux ransomwares et autres menaces.
  • Pourraient être invités à signaler des incidents cybernétiques à un registre volontaire, ce qui pourrait aider à l'apprentissage partagé mais ne serait pas obligatoire.

• Étudiants et parents

  • La loi vise à améliorer la protection des systèmes informatiques scolaires et la confidentialité en ligne des étudiants grâce à de meilleures pratiques et défenses techniques.
  • Les rapports publics annuels sur les incidents seront anonymisés et agrégés, ce qui est destiné à protéger la vie privée personnelle.

• Fournisseurs et organisations de cybersécurité

  • Pourraient être engagés en tant que partenaires, consultés en tant qu'experts en la matière, ou répertoriés dans des bases de données d'outils et de services.

• Agences fédérales et étatiques

  • CISA consultera le Département de l'Éducation, le NIST, la FCC, la NSF, le FBI et les dirigeants éducatifs étatiques/locales pour construire les programmes.

Dépenses#

Coût public estimé : La loi autorise 10 000 000 $ pour chacune des années fiscales 2027 et 2028.

• Financement direct : 10 millions de dollars disponibles pour l'exercice 2027 et 10 millions de dollars pour l'exercice 2028 pour mettre en œuvre la loi.
• Autres coûts : La loi ne fournit pas de note fiscale détaillée montrant comment les fonds seront dépensés, combien ira aux subventions ou services, ou si des fonds fédéraux ou étatiques supplémentaires seront nécessaires.
• Coûts administratifs : CISA aura besoin de temps de personnel et de ressources partenaires pour construire et gérer le site web, le registre, les bases de données, les rapports et le Programme d'amélioration de la technologie ; la loi ne détaille pas ces coûts de personnel ou de technologie.
• Aucune information n'est donnée sur les subventions aux écoles individuelles, les exigences de correspondance, ou le financement continu après 2028.

Point de vue des partisans#

• La loi semble destinée à améliorer la cybersécurité dans les écoles K–12 en fournissant aux écoles des conseils adaptés, des leçons partagées et un accès à des outils et services.
• Elle pourrait accroître la sensibilisation et la préparation parmi les écoles en collectant et en analysant des données sur les incidents et en publiant des résultats annuels anonymisés.
• Le Programme d'amélioration de la technologie pourrait rendre les outils, services et formations en cybersécurité plus accessibles aux écoles, les aidant à prévenir ou à répondre à des menaces telles que les ransomwares.
• Un site web public central et des bases de données consultables pourraient faciliter la recherche d'outils recommandés et d'opportunités de financement pour les dirigeants scolaires.

Point de vue des opposants#

• Une préoccupation est que le financement est limité à 10 millions de dollars par an pendant deux ans ; il n'est pas clair si ce montant est suffisant pour répondre aux besoins en cybersécurité de toutes les écoles K–12 aux États-Unis.
• Le registre des incidents est volontaire et la loi permet au Directeur de décider quels incidents sont inclus ; cela pourrait limiter la complétude ou la représentativité des données collectées.
• Bien que la loi exige l'anonymisation et la publication de rapports agrégés, elle ne fournit pas de règles détaillées sur la manière dont la confidentialité sera protégée dans les rapports d'incidents collectés, ce qui pourrait soulever des questions d'implémentation.
• La loi laisse de nombreux détails opérationnels non spécifiés : comment le financement ou les services seront alloués, qui est éligible à une assistance directe, si les écoles doivent postuler ou répondre à des critères, et comment les partenariats avec des fournisseurs privés seront gérés. Ces lacunes rendent l'effet pratique sur les écoles individuelles incertain.