آژانس امنیت سایبری و زیرساخت‌های حیاتی ایالات متحده (CISA)، نسخه نهایی مقررات مربوط به قانون گزارش‌دهی حوادث سایبری برای زیرساخت‌های حیاتی (CIRCIA) را جهت بررسی به کاخ سفید ارسال کرد. این مقررات سازمان‌های فعال در زیرساخت‌های حیاتی را ملزم می‌کند تا حملات سایبری را به دولت فدرال گزارش دهند.
جزئیات زمان‌بندی و الزامات گزارش‌دهی
بر اساس سوابق نظارتی، CISA این مقررات را پس از تأخیر در ضرب‌الاجل سپتامبر، به دفتر مدیریت و بودجه (OMB) ارائه کرد. طبق پیشنهاد سال ۲۰۲۴، سازمان‌های تحت پوشش در ۱۶ بخش زیرساختی حیاتی باید موارد زیر را رعایت کنند:
- گزارش حوادث سایبری «قابل توجه» (Substantial) ظرف ۷۲ ساعت.
- گزارش پرداخت‌های مربوط به باج‌افزار (Ransomware) ظرف ۲۴ ساعت.
چالش‌های اجرایی و هم‌پوشانی مقررات
یکی از نقاط بحث‌برانگیز این قانون، هم‌پوشانی آن با الزامات گزارش‌دهی موجود است. گزارش اداره حسابرسی دولت (GAO) نشان می‌دهد که حدود ۷۰ درصد از ۱۱۷ مقررات امنیت سایبری فدرال، دارای الزامات گزارش‌دهی مشابهی هستند که منجر به ایجاد بار اضافی برای سازمان‌ها می‌شود.
به طور خاص، پیمانکاران دفاعی که پیش از این موظف به گزارش حوادث به پنتاگون در بازه ۷۲ ساعته بودند، اکنون با احتمال ایجاد یک الزام گزارش‌دهی ثانویه مواجه‌اند. اگرچه CISA اعلام کرده است که سازمان‌ها می‌توانند با ارائه گزارش به یک آژانس فدرال دیگر، الزامات CIRCIA را برآورده کنند، اما این امر مستلزم توافق رسمی بین CISA و آن آژانس است؛ موضوعی که تحلیل‌گران را نسبت به عملیاتی شدن آن تردیدمند کرده است.
تأثیر بر سازمان‌ها
پیش‌بینی می‌شود این مقررات نزدیک به ۳۰۰,۰۰۰ سازمان در سراسر ایالات متحده را تحت تأثیر قرار دهد. علاوه بر گزارش اولیه، CIRCIA سازمان‌ها را به ارسال گزارش‌های تکمیلی با ظهور جزئیات جدید و نگهداری داده‌های مربوط به حوادث به مدت دو سال ملزم می‌کند (در حالی که در برخی استانداردهای دفاعی مانند DFARS، این بازه تنها ۹۰ روز است).
