“Beaucoup de vrais détails vont devoir être réglés dans le cadre du processus d’élaboration des règles”, a déclaré Christopher D. Roberti, vice-président senior de la cybersécurité, du renseignement et de la politique de sécurité de la chaîne d’approvisionnement à la Chambre de commerce des États-Unis.
La loi oblige l’agence de cybersécurité à travailler avec les entreprises lorsqu’elle détermine les règles, afin que les chefs d’entreprise aient leur mot à dire sur la manière dont la loi doit être appliquée.
L’année dernière, des cyberattaques ont perturbé les opérations de grandes entreprises américaines, notamment JDS Foods, un fournisseur de viande, et Colonial Pipeline, qui fournit du carburant sur la côte Est. Les deux attaques ont entravé la capacité des Américains à obtenir des fournitures essentielles et ont créé une urgence pour les législateurs d’agir.
Les sénateurs Gary Peters, démocrate du Michigan, et Rob Portman, républicain de l’Ohio, les auteurs de la législation sur les rapports d’incidents, ont déclaré que la loi aiderait des entreprises comme JDS Foods et Colonial à se remettre plus rapidement après ce type d’attaques. L’agence de cybersécurité serait en mesure de leur fournir des conseils et une assistance pendant le processus de récupération.
Les déclarations tardives ont coûté cher aux entreprises. En 2018, Yahoo a payé une amende de 35 millions de dollars pour avoir omis de divulguer rapidement un piratage de 2014. Et les dirigeants peuvent se retrouver face à des accusations criminelles, comme dans le cas d’un ancien cadre d’Uber qui a été accusé d’entrave et de fraude pour sa gestion d’une violation de données en 2016 au sein de la société de covoiturage.
Ce qu’il faut savoir sur les attaques de ransomwares
« Au cours de la dernière année ou plus, des entreprises nous ont dit à quel point le paysage des rapports d’incidents est incohérent et non rationalisé », a déclaré Courtney Lang, directeur principal des politiques au Conseil de l’industrie des technologies de l’information. « Compte tenu de l’évolution du paysage de la cybersécurité, certaines menaces doivent être traitées. Dans une certaine mesure, nous pensons que les rapports d’incidents peuvent fournir des informations utiles qui peuvent aider à façonner des réponses spécifiques. »
Alors que des règles similaires sont à l’étude en Europe et dans d’autres agences fédérales aux États-Unis, les chefs d’entreprise espèrent que la nouvelle loi fédérale deviendra un modèle pour d’autres législateurs et responsables gouvernementaux, permettant aux entreprises d’éviter une confusion d’exigences de déclaration d’incident qui se chevauchent.
0 Commentaires