拜登總統(tǒng)于本周簽署“改變游戲規(guī)則”的立法，要求關鍵基礎設施實體和聯(lián)邦機構必須在72 小時內(nèi)向網(wǎng)絡安全和基礎設施安全局（CISA）報告重大網(wǎng)絡事件，并在 24 小時內(nèi)向 CISA 報告勒索軟件攻擊。

　　美國眾議院通過了 2022 年關鍵基礎設施網(wǎng)絡事件報告法案的關鍵條款，該法案要求關鍵基礎設施運營部門在遭到黑客攻擊或向威脅行為者支付贖金時向政府發(fā)出警報。這是眾議院周三通過的 1.5 萬億美元綜合支出法案的一部分，該法案為聯(lián)邦政府提供了今年剩余時間的資金。該法案中包含的事件報告條款是更廣泛的加強美國網(wǎng)絡安全法案的一部分，去年未能成為法律，但于 3 月1 日在參議院一致通過。拜登總統(tǒng)于本周簽署。

　　該立法是在勒索軟件攻擊和其他關鍵基礎設施組織面臨的網(wǎng)絡威脅激增的情況下起草的，而當前的俄羅斯-烏克蘭沖突加劇了這一威脅。

　　除了阻止組織進行勒索軟件付款外，這些措施還旨在為網(wǎng)絡攻擊和威脅參與者計劃提供更多情報。反過來，這將有助于司法部（DoJ） 和 FBI 等聯(lián)邦機構之間的信息共享，幫助確保有一種標準化的方法來處理關鍵基礎設施網(wǎng)絡攻擊。

　　新的報告要求將適用于屬于 CISA 定義的 16 個美國關鍵基礎設施部門的組織。這些公司必須報告“重大”網(wǎng)絡事件，例如對操作系統(tǒng)或流程的安全性和彈性造成危險或擾亂商業(yè)或工業(yè)運營的事件。

　　72 小時報告事件，24 小時報告贖金支付

　　法案中包含的事件報告要求要求關鍵基礎設施實體和聯(lián)邦機構在涵蓋實體合理認為涵蓋的網(wǎng)絡事件發(fā)生后 72 小時內(nèi)向 DHS 的網(wǎng)絡安全和基礎設施安全局 （CISA） 報告重大網(wǎng)絡事件和勒索軟件付款。如果他們進行勒索軟件付款，則在 24 小時內(nèi)發(fā)生。值得注意的是，綜合法案中的勒索軟件支付報告要求“即使勒索軟件攻擊不是符合報告要求的涵蓋網(wǎng)絡事件，也應適用?！蔽磮蟾媸录蚶账鬈浖犊畹年P鍵基礎設施組織和聯(lián)邦機構將收到 CISA 主任的傳票，CISA 主任將能夠?qū)⒋耸绿峤唤o司法部長，以便在美國地方法院提起民事訴訟 執(zhí)行傳票。法院可以懲罰不遵守作為藐視法庭發(fā)出的傳票的行為。

　　CISA 還可以以匿名方式提供事件報告，并采取防御措施將其傳播給適當?shù)睦嫦嚓P者，包括部門協(xié)調(diào)委員會、信息共享和分析組織、州、地方、部落和地區(qū)政府、技術提供商、網(wǎng)絡安全和網(wǎng)絡事件響應公司和安全研究人員，視情況而定。

　　勒索軟件試點計劃

　　CISA 還需要建立一個勒索軟件漏洞警告試點計劃，“以利用現(xiàn)有的權威和技術來開發(fā)流程和程序，并投入資源來識別包含與常見勒索軟件攻擊相關的安全漏洞的信息系統(tǒng)，并通知 那些易受攻擊系統(tǒng)的安全漏洞的所有者。” 該試點計劃將識別勒索軟件攻擊和緩解技術中最常見的安全漏洞，并使用現(xiàn)有權限來識別包含安全漏洞的信息系統(tǒng)。該試點計劃定于頒布之日起四年后終止。

　　協(xié)調(diào)打擊勒索軟件攻擊活動的工作組

　　在頒布后的 180 天內(nèi)，該法案還要求 CISA 局長與國家網(wǎng)絡局長、司法部長和聯(lián)邦調(diào)查局 （FBI） 局長協(xié)商，建立并主持一個聯(lián)合勒索軟件工作組，包括聯(lián)邦機構參與者，以協(xié)調(diào)正在進行的針對勒索軟件攻擊的全國性運動，并確定和尋求國際合作的機會。

　　該工作組將優(yōu)先考慮情報驅(qū)動的行動，以破壞特定的勒索軟件參與者，與私人、地方政府和國際利益相關者協(xié)商以確定需求，并建立向聯(lián)合勒索軟件工作組提供意見的機制。

　　CISA主導，但 FBI 被排除在外

　　毫不奇怪，CISA 主任 Jen Easterly 稱贊報告任務是保護國家免受網(wǎng)絡威脅的過期手段。  Easterly 和 CISA 長期以來一直抱怨缺乏事件報告要求使聯(lián)邦政府對網(wǎng)絡威脅和事件一無所知。

　　然而，副總檢察長麗莎摩納哥最近表示，該立法將使該國“不那么安全”，聯(lián)邦調(diào)查局局長克里斯托弗雷表示，它存在“嚴重缺陷”，因為它將聯(lián)邦調(diào)查局從事件報告鏈中剔除，使該局失去能力 打擊網(wǎng)絡犯罪團伙。

　　在本月早些時候的眾議院情報委員會聽證會上，Wray 說：“我們在現(xiàn)場有特工，他們通常在一個小時左右的時間內(nèi)對一家受到打擊且每年發(fā)生數(shù)千次的企業(yè)做出回應，所以我們需要以確保信息流受到保護?！?拜登政府站在 CISA 一邊，白宮國家網(wǎng)絡主管 Chris Inglis 支持該法案，但沒有做出任何反映 FBI 擔憂的改變。1.5 萬億美元的支出計劃為 CISA 撥款 25.9 億美元，比拜登政府在其預算提案中要求的多 3 億美元。

　　官員們的普遍反應積極

　　其他政府官員對眾議院通過該法案的反應是積極的。眾議院國土安全委員會的兩黨領導人在一份新聞稿中表示：“要求所有者和運營商向 CISA 報告重大網(wǎng)絡事件和勒索軟件攻擊將意味著聯(lián)邦政府的可見性更高，惡意網(wǎng)絡活動的更早中斷，以及更好的信息和威脅 情報返回到私營部門，因此他們可以防御未來的攻擊。該法案中提供的權限和資源不能很快到來，因為 CISA 致力于在不斷變化的地緣政治環(huán)境中應對迅速演變的網(wǎng)絡威脅?！?美國參議員馬克·華納（Mark Warner）和蒂姆·凱恩（Tim Kaine）（均為 D-VA）贊揚了綜合法案的通過，并指出華納是 2022 年加強美國網(wǎng)絡安全法案的發(fā)起人之一，該法案包含了事件報告措施。22 年 3 月 11 日參議院批準了綜合法案，拜登總統(tǒng)已經(jīng)簽署。

　　CISA 主任 Jen Easterly 在評論新法律時說：“作為國家的網(wǎng)絡防御機構，CISA 對網(wǎng)絡事件報告立法的通過表示贊賞。由于我們在國會的許多合作伙伴的支持，CISA 將擁有我們需要的數(shù)據(jù)和可見性，以幫助更好地保護全國的關鍵基礎設施和企業(yè)免受網(wǎng)絡攻擊的破壞性影響。

　　”CISA 將利用我們私營部門合作伙伴的這些報告，就我們的對手如何針對美國網(wǎng)絡和關鍵基礎設施建立共識。這些信息將填補關鍵信息空白，使我們能夠快速部署資源并向遭受攻擊的受害者提供援助，分析跨部門傳入的報告以發(fā)現(xiàn)趨勢，并快速與網(wǎng)絡防御者共享該信息以警告其他潛在受害者。CISA 致力于與我們的行業(yè)和聯(lián)邦政府合作伙伴以透明的方式合作，以提高我們國家網(wǎng)絡和關鍵基礎設施的安全性和彈性。

　　“坦率地說，這項立法改變了游戲規(guī)則。今天標志著我們國家的集體網(wǎng)絡安全向前邁出了關鍵一步?！?/p>

　　該法案是拜登政府發(fā)布的最新聯(lián)邦網(wǎng)絡安全倡議，于 2021 年初上任。其他包括旨在提高供應鏈安全、事件檢測和響應以及對威脅的整體彈性的行政命令，以及創(chuàng)建勒索軟件任務 由司法部強制執(zhí)行。