Odsouzen k expiraci? CISA a boj o kybernetickou spolupráci
Jeden z nejdůležitějších amerických zákonů o kyberbezpečnosti za poslední dekádu – tzv. Cybersecurity Information Sharing Act z roku 2015 (CISA) – brzy vyprší. A odborníci i firmy už teď začínají tlačit na jeho obnovení. Proč? Protože právě tento zákon vytvořil právní základ pro sdílení informací o kybernetických hrozbách mezi soukromým a veřejným sektorem.
Co zákon umožňuje?
Zákon CISA poskytuje firmám právní ochranu, pokud dobrovolně sdílejí informace o kyberhrozbách – ať už s vládou, nebo mezi sebou. Chrání je před žalobami, únikem dat podle zákonů o otevřenosti nebo porušením antimonopolních pravidel.
Proč je jeho budoucnost nejistá?
Obnovení zákona naráží na několik překážek:
-
není jasné, kdo povede jeho projednávání v Kongresu,
-
část zákonodárců má obavy o soukromí občanů,
-
konkurence jiných legislativních priorit,
-
a někteří tvrdí, že zákon potřebuje modernizaci, aby reflektoval hrozby roku 2025, jako byly útoky typu SolarWinds nebo výpadek CrowdStrike.
Přesto existuje naděje – zákon má podporu napříč stranami i v technologické komunitě.
Co zákon přinesl?
Díky zákonu vznikl například program AIS (Automated Indicator Sharing), který umožňuje automatizované sdílení technických indikátorů hrozeb – třeba škodlivých IP adres nebo hashe malwaru. Přesto jeho účinnost byla zpochybňována – účast v programu klesla a firmy hlásí, že výměna dat není vždy kvalitní.
Experti ale tvrdí, že největší hodnota zákona nespočívá jen v samotném AIS, ale v právních základech, které umožňují důvěryhodné sdílení dat napříč sektory – třeba v energetice, dopravě nebo bankovnictví.
Co bude dál?
Organizace jako US Chamber of Commerce, CISA a experti z bezpečnostních center (např. ISACs) tlačí na to, aby Kongres zákon nejen obnovil, ale také aktualizoval. Navrhují například:
-
lepší ochranu osobních údajů,
-
právní ochranu pro firmy, které spolupracují s vládou při reakci na velké incidenty,
-
nebo nové pobídky pro sdílení kvalitních hrozbových dat.
