قاعدة CIRCIA تواجه مهلة سبتمبر وسط مطالب الصناعة بتضييق نطاق البلاغات
تعمل وكالة الأمن السيبراني وأمن البنية التحتية الأميركية نحو هدف في سبتمبر لاستكمال قاعدة CIRCIA المتأخرة، بينما تطالب مجموعات الصناعة بخفض عدد الجهات المشمولة وتضييق محفزات الإبلاغ وتقليل البيانات المطلوبة. يحدد القانون مهلة 72 ساعة للإبلاغ عن الحوادث و24 ساعة للإبلاغ عن مدفوعات الفدية، وقد يشمل المقترح أكثر من 300 ألف جهة.
تعمل وكالة الأمن السيبراني وأمن البنية التحتية الأميركية نحو هدف في سبتمبر لاستكمال قاعدة الإبلاغ عن الحوادث السيبرانية المتأخرة، في وقت تطالب فيه مجموعات الصناعة بخفض عدد المؤسسات المشمولة وتضييق نطاق الحوادث وتقليل المعلومات المطلوبة في كل بلاغ.
تنفذ القاعدة قانون الإبلاغ عن الحوادث السيبرانية للبنية التحتية الحيوية لعام 2022، المعروف باسم CIRCIA. ويلزم القانون مشغلي البنية التحتية الحيوية المشمولين بإبلاغ الحكومة الاتحادية عن الحوادث السيبرانية الكبرى خلال 72 ساعة، وعن مدفوعات برامج الفدية خلال 24 ساعة.
الخلاف مستمر حول نطاق التغطية
قدرت وكالة CISA في مقترحها لعام 2024 أن أكثر من 300 ألف جهة قد تخضع للقاعدة. وأبلغ ممثلو الصناعة أربع جلسات عامة نظمتها الوكالة في يونيو بأن النطاق المقترح قد يشمل عددا كبيرا من المؤسسات والحوادث.
قال غرانت ماكنتاير من رابطة العناية بالسيارات إن القاعدة تشمل شركات أكثر من اللازم. وسعى ممثلو قطاع التأمين إلى استثناء أجزاء من قطاعهم، بينما أراد معهد الطاقة النووية قصر التغطية على المشغلين الخاضعين بالفعل لمتطلبات الإبلاغ السيبراني لدى لجنة التنظيم النووي.
كما أثارت معاملة الشركات الصغيرة خلافا. وبحسب دوغلاس لي من تحالف توزيع المواد الكيميائية، قد يدرج اختبار الحجم أو القطاع المقترح موزعين صغارا ضمن عدة فئات. ودعت سامانثا بيرش من جمعية التأمين الصحي AHIP الوكالة إلى جمع المعلومات الضرورية فقط لضمان الدقة وسرعة الإبلاغ.
الصناعة تطالب بمحفزات أضيق للإبلاغ
شكك المشاركون أيضا في الأحداث التي ينبغي أن تطلق واجب الإبلاغ. وحذر تيم بوسبيسيل من Nebraska Public Power District من أن الصياغة الواسعة قد تفرض بلاغات عن عمليات فحص اعتيادية لجدار الحماية حتى دون حدوث اختراق.
وعارضت عدة مجموعات إلزام المؤسسات بالكشف عن تفاصيل ضوابطها الأمنية. وتتمثل مسألة التنفيذ الأساسية في حجم المعلومات التي تحتاجها CISA للإنذار الوطني والدفاع من دون تحويل فرق الاستجابة للحوادث إلى أعمال ورقية مفرطة.
هدف سبتمبر يأتي بعد تأخيرات سابقة
فاتت CISA الموعد الأصلي في أكتوبر 2025 وهدفا لاحقا في مايو. وتحدد الأجندة التنظيمية للإدارة الآن سبتمبر موعدا للاستكمال، لكن مصادر صناعية عدة أبلغت CyberScoop بأنها تشك في الالتزام بهذا الجدول.
كما ضغط الكونغرس على الوكالة لإنهاء القاعدة. وقالت لجنة الاعتمادات في مجلس النواب في تقرير وزارة الأمن الداخلي للسنة المالية 2027 إنها قلقة من التأخير وحثت على النشر بعد مراجعة ملاحظات أصحاب المصلحة.
يأتي الجدول بعد مسار بدأ بقانون عام 2022 وانتقل إلى قاعدة مقترحة في 2024. وكان المقترح يهدف إلى تعريف الجهات والحوادث المشمولة والمعلومات المطلوبة في البلاغ قبل بدء سريان الالتزامات.
CISA تؤكد استمرار إعداد القاعدة
قال مدير CISA بالإنابة نيك أندرسن في إحدى الجلسات إن الوكالة لا تنظر إلى CIRCIA باعتباره مجرد إجراء امتثال. وأضاف أن الإبلاغ الأسرع يهدف إلى تحسين الرؤية بشأن التهديدات ودعم التحذيرات والإجراءات الدفاعية للبنية التحتية الحيوية.
وعزا متحدث باسم CISA جزءا من التأخير إلى انقطاعات التمويل، وأكد استمرار العمل على القاعدة النهائية. وقالت الوكالة أيضا إن 1,200 من أصحاب المصلحة في البنية التحتية الحيوية حضروا الجلسات، وأحالت التحديثات المقبلة إلى CISA.gov/CIRCIA والأجندة التنظيمية الاتحادية.
لم تحدد CISA مطالب الصناعة التي ستقبلها، ولم تؤكد الالتزام بهدف سبتمبر. وتشمل المسائل غير المحسومة عتبة التغطية النهائية والحوادث التي تستوجب البلاغ والمعلومات التي يجب على المؤسسات المتضررة تقديمها.
