Le Sénat américain à l’unanimité passé la « Renforcement de la loi américaine sur la cybersécurité » mardi dans le but de renforcer la cybersécurité des propriétaires d’infrastructures critiques dans le pays.
Le nouveau législation bipartiteentre autres, stipule que les entités qui subissent un cyberincident doivent signaler les attaques dans les 72 heures à la US Cybersecurity and Infrastructure Security Agency (CISA), en plus d’alerter l’agence sur les paiements de ransomware dans les 24 heures.
En outre, les organisations concernées sont tenues de conserver les données pertinentes et de partager rapidement les mises à jour « d’un rapport d’incident cybernétique couvert précédemment soumis si des informations substantielles nouvelles ou différentes deviennent disponibles ou si l’entité couverte verse une rançon après avoir soumis un rapport d’incident cybernétique couvert ».
Le Strengthening American Cybersecurity Act de 2022 combine trois projets de loi différents : le Cyber Incident Reporting Act (ACEI), la loi fédérale sur la gestion de la sécurité de l’information (FISMA), et la Federal Secure Cloud Improvement and Jobs Act (FSCIJA).
Alors que FISMA intègre des pratiques de cybersécurité plus efficaces, FSCIJA vise à accélérer le déploiement de produits et services de cloud computing et à favoriser une adoption plus forte des capacités de cloud sécurisé, à créer des emplois et à réduire la dépendance vis-à-vis des technologies de l’information héritées.
La législation, maintenant qu’elle a été approuvée par le Sénat, doit être adoptée par la Chambre avant d’être officiellement promulguée.
« Alors que les cyberattaques et les rançongiciels continuent d’augmenter, le gouvernement fédéral doit être en mesure de coordonner rapidement une réponse et de tenir ces mauvais acteurs responsables », a déclaré le sénateur américain Rob Portman en septembre 2021.
« Ce projet de loi bipartite donnera […] une large visibilité sur les cyberattaques qui se déroulent quotidiennement dans notre pays pour permettre une réponse, une atténuation et un avertissement pangouvernementaux aux infrastructures critiques et autres des attaques en cours et imminentes.
