В течение многих лет доступ федеральных властей к информации о крупномасштабных кибер-инцидентах зависел от добровольного раскрытия информации, связанного с нормативными актами. Результатом стали задержки в координации реагирования и непостоянное качество данных. Кибер-инцидент Закон об отчетности по критически важной инфраструктуре 2022 года (CIRCIA) Изменения в этой модели заключаются в создании единой системы отчетности, которая позволит CISA получать информацию о крупных киберсобытиях, затрагивающих критическую инфраструктуру, практически в режиме реального времени.

Для лиц, принимающих решения в сфере безопасности, это должно стать долгожданным шагом в сторону непрерывной, интегрированной в государственное управление системы отчетности об инцидентах, которая изменит систему управления и управления рисками.

CIRCIA в контексте развивающейся федеральной кибер-повестки дня

CIRCIA является частью более широкой федеральной программы модернизации киберзащиты за счет улучшения обмена информацией, согласования нормативных актов и укрепления сотрудничества между государственным и частным секторами.

Недавняя политика Это указывает на то, что стандартизация отчетности об инцидентах остается одним из главных приоритетов в рамках федеральной программы кибербезопасности. Усилия по согласованию требований к отчетности, сокращению дублирования между ведомствами и улучшению аналитических возможностей указывают на будущее, в котором кибер-инциденты будут рассматриваться как разведывательные данные национального уровня, а не как отдельные корпоративные кризисы.

Для руководителей служб безопасности это означает, что цель CIRCIA вряд ли ослабнет со временем. Напротив, экосистема отчетности расширится, обеспечив более тесную интеграцию между регулирующими органами, правоохранительными органами и отраслевыми агентствами по управлению рисками.

Что такое CIRCIA?

Окончательное решение еще не принято. (Ожидается, что в мае 2026 года) данная рамочная программа налагает ряд основных обязательств на «подпадающие под действие закона организации» (организации, которыеподвергнуться кибератаке, подпадающей под юрисдикцию CIRCIA.) в секторах критической инфраструктуры.

Организациям следует ожидать требований в таких областях, как:

• Сообщение о кибер-инцидентах в CISA в установленные сроки после подтверждения факта инцидента.
• Учет платежей за выкуп, произведенный с помощью программ-вымогателей, осуществляется в более короткие сроки и в рамках отдельного отчетного периода.
• По мере поступления дополнительной информации будет направляться отчет о дальнейших действиях или дополнительные отчеты.
• Ответы на запросы информации (RFI) от CISA, когда требуется уточнение или более подробная техническая информация.
• Ведение документации и сбор доказательств, подтверждающих точность представленных отчетов.

Соответственно, изменится и способ сообщения организациями об инцидентах:

• Компаниям потребуются более четкие границы для классификации страховых случаев.
• Стандарты документирования будут ужесточаться, что подтолкнет команды к созданию структурированных графиков, показателей и оценок воздействия, пригодных для внешней отчетности.
• Ожидания в отношении координации изменятся, поскольку отчетность может привести к постоянному взаимодействию с федеральными агентствами в ходе урегулирования инцидентов.
• Будет усилен контроль за соблюдением принципов корпоративного управления, а вопросы отчетности об инцидентах будут подняты до уровня обсуждения рисков на уровне совета директоров.

Одним из наиболее важных аспектов CIRCIA является момент, когда организация «обоснованно полагает», что произошел инцидент, подпадающий под действие закона. Руководителям служб безопасности потребуются внутренние критерии, пороговые значения для подтверждения информации и рабочие процессы утверждения, способные выдержать проверку регулирующих органов, что потребует согласованности действий между юридическим отделом, отделом управления рисками и отделом безопасности.

Готовность к CIRCIA станет не только политической, но и технологической проблемой. Ключевые возможности, которые, вероятно, приобретут большее значение, включают управление инцидентами с возможностью аудита хронологии, централизованное ведение журналов и хранение данных, автоматизированный сбор доказательств и защищенные механизмы передачи данных об инцидентах.

Для многих организаций это будет тесно связано с более широкими инициативами по модернизации SOC и непрерывному мониторингу.

Сроки реализации проекта CIRCIA 2026

Влияние CIRCIA зависит от процесса нормотворчества. До тех пор, пока окончательный вариант правил не будет опубликован и вступит в силу, организации пока не обязаны отчитываться, но время для подготовки уже открыто.

1. Закон 2022 года принят (2022): Конгресс принимает закон CIRCIA, обязывающий CISA создать обязательную систему отчетности.
2. Предложенные правила опубликованы (2024 год): CISA публикует проект требований, в которых изложены объем работ, сроки и процедуры отчетности.
3. Обзор и отзывы отрасли (2025): Ведомства анализируют комментарии общественности и уточняют детали реализации.
4. Окончательные правила и период их внедрения (ожидается в 2026 году): Правило окончательно утверждено, и начинается обратный отсчет до обязательного соблюдения.

Что могут сделать руководители в сфере безопасности и соответствия нормативным требованиям?

Подготовка должна быть сосредоточена на создании повторяемых возможностей, а не на статичных политиках. Поскольку отчетность об инцидентах по своей сути является оперативной, успех будет зависеть от способности организаций последовательно действовать в условиях ограниченного времени.

• Проведите оценку пробелов в готовности к внедрению CIRCIA в соответствии с предлагаемыми требованиями: Проведите оценку существующих процессов реагирования на инциденты, регистрации и отчетности на соответствие вероятным элементам правил, чтобы выявить, где рабочие процессы, документация или полномочия по принятию решений могут быть недостаточными.
• Определите критерии классификации инцидентов, соответствующие вероятным пороговым значениям для сообщения о них: Разработайте четкие внутренние определения и схемы принятия решений, чтобы команды могли быстро определить, может ли событие подпадать под действие страхового случая, тем самым уменьшая неопределенность во время активных расследований.
• Обновите руководства по реагированию на инциденты, включив в них федеральные процедуры отчетности: Встройте в руководства по действиям механизмы запуска отчетности, сроки и этапы утверждения непосредственно в руководства, чтобы федеральное уведомление стало стандартным этапом реагирования, а не спонтанной деятельностью.
• Включите в процессы эскалации заинтересованные стороны из юридического, нормативного и административного отделов: Создайте заранее определенные каналы связи и контрольные точки принятия решений для обеспечения своевременных, скоординированных и юридически обоснованных решений по отчетности.
• Оцените, поддерживают ли инструменты обеспечения безопасности структурированную отчетность и хранение доказательств: Убедитесь, что системы управления делами, регистрации событий и телеметрии могут создавать проверяемые хронологии и экспортируемые данные без ручного восстановления.
• Сопоставьте обязательства CIRCIA с существующими нормативными актами, чтобы выявить пересечения: Создайте матрицу отчетности, которая согласует триггеры и сроки в разных режимах, чтобы предотвратить дублирование усилий и обеспечить единообразное раскрытие информации всеми регулирующими органами.
• Проводить обучение членов совета директоров и высшего руководства по вопросам рисков, связанных с отчетностью, и последствий для корпоративного управления: Подготовьте информационные материалы, разъясняющие, как CIRCIA влияет на стратегию раскрытия информации, регуляторную нагрузку и оперативную готовность, чтобы руководство могло поддержать необходимые инвестиции.

Будьте готовы к федеральной отчетности в соответствии с законом CIRCIA вместе с Lazarus Alliance.

Самое важное изменение в мышлении — это рассматривать CIRCIA как инициативу по развитию потенциала. При наличии предварительного планирования можно интегрировать отчетность в культуру реагирования на инциденты, систему управления и технологии, а не добавлять ее как нечто второстепенное.

Чтобы узнать больше о том, как Lazarus Alliance может помочь, Свяжитесь с нами. 

• FedRAMP
• GovRAMP
• НИСТ 800-53
• DFARS NIST 800-171
• КММК
• СОЦ 1 и СОЦ 2
• ENS
• C5
• HIPAA, HITECH и осмысленное использование
• PCI DSS RoC и SAQ
• Налоговое управление США 1075 и 4812
• ЦЖИС
• Лос-Анджелес ДМФ
• ISO 27001, ISO 27002, ISO 27005, ISO 27017, ISO 27018, ISO 27701, ISO 22301, ISO 17020, ISO 17021, ISO 17025, ISO 17065, ISO 9001 и ISO 90003.
• Общие критерии NIAP – Лаборатории Lazarus Alliance
• И еще десятки!