Kongre hızlı bir şekilde harekete geçmezse, Amerika Birleşik Devletleri fidye yazılımlarına ve ulus-devlet siber saldırılarına karşı en etkili kalkanlarından birini kaybedebilir. 2015 Siber Güvenlik Bilgi Paylaşımı Yasası (CISA 2015) planlanıyor 30 Eylül 2025'te sona eriyorve bununla birlikte şirketlerin ve hükümetlerin siber tehdit istihbaratını serbestçe paylaşmasına olanak tanıyan yasal çerçeve de ortadan kalkacak.
- CISA 2015 Tam Olarak Nedir?
- CISA'nın Amerika'nın Fidye Yazılımı Savunmasındaki Gizli Rolü
- Sağlık Hizmetleri Sıfır Noktası Olabilir
- KOBİ'ler Savunmasız Kalacak
- CISA 2015 Neden Son Kullanma Tarihine Ermek Üzere Tasarlandı?
- Fidye Yazılımı Saldırganları Yasalardan Daha Hızlı Gelişiyor
- Hükümet ve Özel Sektör Bir Kavşakta
- Siber Yasama Liderliği Zamanı
- Kongre Süresinin Dolmasına İzin Verirse Ne Olur?
- Zaman geçiyor
- Son Düşüncelerimiz
Yayınlanan ayıklatıcı bir köşe yazısında Kısmet, eski FBI Siber Bölümü yardımcı müdürü ve siber güvenlik danışmanı Tonya Ugoretz Yasanın yürürlükten kaldırılmasının ulusal güvenlik, dijital altyapı ve hatta insan hayatı açısından yıkıcı sonuçlar doğurabileceği konusunda uyarıyor.
"Bunlar olmadan," diye yazıyor, "Amerika'yı sessizce daha güvenli hale getiren bir sistemi, her seferinde bir fidye yazılımı göstergesiyle birlikte, ortadan kaldırma riskiyle karşı karşıya kalırız."
CISA 2015 Tam Olarak Nedir?
OPM, Sony ve sağlık ağlarına yönelik yüksek profilli saldırıların ardından yürürlüğe giren 2015 Siber Güvenlik Bilgi Paylaşımı Yasası Tek bir temel ilke etrafında inşa edildi: Siber suçluların ve devlet destekli bilgisayar korsanlarının önünde kalmak için tehdit istihbaratı kamu ve özel sektör arasında serbestçe akmalıdır.
CISA 2015:
- Şirketlerin şunları yapmasına olanak tanır: tehdit göstergelerini DHS ile paylaşın ve diğer firmalar hukuki sorumluluğu olmaksızın.
- sağlayan Otomatik Gösterge Paylaşımı (AIS)Ulusal bir ağ üzerinden kötü amaçlı yazılım karmaları, şüpheli etki alanları ve saldırı vektörleri hakkında gerçek zamanlı uyarılar gönderen bir güvenlik açığı önleme programıdır.
- Şirketleri korur düzenleyici, antitröst veya gizlilik davaları Bilgi alışverişine katılırken.
Bu yasa siber güvenliği bir takım sporuFederal kurumlar ile finans, sağlık, enerji, imalat ve teknoloji gibi sektörler arasında işbirliğini teşvik etmek.
CISA'nın Amerika'nın Fidye Yazılımı Savunmasındaki Gizli Rolü
Ortalama bir kişi CISA 2015'i duymamış olabilir ancak perde arkasında, Amerika'nın fidye yazılımı müdahale yeteneklerinde başrol oynuyor.
Bir hastane LockBit ile karşılaştığında veya bir üretici Black Basta'nın yeni bir çeşidiyle karşılaştığında, tehdit göstergeleri (IP adresleri, dosya karmaları, davranış imzaları) anında paylaşılabilir Bu veriler, kötü amaçlı yazılım yayılmadan önce başkalarını savunmak için silah olarak kullanılabilir.
Ugoretz, "Bilgi paylaşımı, sayısız kuruluşun bir sonraki fidye yazılımı manşetine çıkmasını engelledi," dedi. "Ancak yasal korumalar ortadan kalkarsa, bu kanal da kuruyacak."
Sağlık Hizmetleri Sıfır Noktası Olabilir
CISA'nın sona ermesinden en çok risk altında olan sektör hiç kimse değil sağlık.
Hastaneler, hem eski altyapıları hem de tıbbi kayıtların yüksek değeri nedeniyle fidye yazılımlarının başlıca hedefleridir. UCSF ve Vanderbilt tarafından yapılan bir araştırma, fidye yazılımı saldırıları ölüm oranlarında ölçülebilir artışlara yol açtı, tahmin ederek 42 ila 67 Medicare hastası arasında 2016-2021 yılları arasında gecikmiş bakım nedeniyle hayatını kaybetti.
Ugoretz şunu vurguluyor: CISA olmadanHastaneler, davalardan veya düzenleyici sorunlardan korktukları için, tehlike göstergelerini (IOC'ler) bildirmeyi bırakabilir. Bu, sakat proaktif savunma stratejileri ve bir sonraki hastaneyi kör uçuşla terk edin.
"Bu teorik bir şey değil," diye belirtiyor. "Bu bir ölüm kalım meselesi."
KOBİ'ler Savunmasız Kalacak
Büyük şirketler dahili tehdit istihbaratı ekiplerini karşılayabilirken, çoğu küçük ve orta ölçekli işletmeler (KOBİ'ler)hayatta kalmak için paylaşılan siber içgörülere bağımlıdırlar.
CISA 2015 yenilenmezse:
- KOBİ'ler şunları yapabilir: artık AIS uyarıları almıyorum yönetilen güvenlik sağlayıcıları aracılığıyla.
- Bazıları, izinsiz girişleri bildirmekten çekinebilir, çünkü korkuyor olabilirler. müşteri tepkisi veya yasal risk.
- Kötü amaçlı yazılım kampanyaları, özellikle lojistik ve imalat gibi düşük görünürlüklü sektörlerde daha uzun ömürlü olabilir.
Sonuç? Daha parçalı, tepkisel ve savunmasız bir dijital ekosistem.
CISA 2015 Neden Son Kullanma Tarihine Ermek Üzere Tasarlandı?
CISA 2015'in kalıcı olması amaçlanmamıştı. Gelecekte Kongre incelemesini garanti altına almak için, büyük gözetim veya veri paylaşım yasalarında standart uygulama olan bir son kullanma tarihi maddesi içeriyordu. Şimdi, on yıl sonra, bu maddenin geçerlilik süresi doluyor.
Zorluk mu? Kongre parçalanmış, çıkmaza girmiş ve dikkati dağılmış durumda. Siber tehditlerin iki parti tarafından da kabul edilmesine rağmen, siber güvenlik yasaları, bir felaket tarafından tetiklenmedikçe genellikle radar altında kalıyor.
Ugoretz uyarıyor siber 9 Eylül'ü beklerken Temel güvenlik çerçevelerini yeniden yetkilendirmek göze alamayacağımız bir hatadır.
Fidye Yazılımı Saldırganları Yasalardan Daha Hızlı Gelişiyor
Günümüzün fidye yazılımları 2015'tekilerle aynı değil.
Biz, gasp ve kapkaçtan, gasp ve kapkaççılığa geçtik. “çifte gasp” (şifrele + sızdır) ve hatta "üçlü gasp"(şifreleme + sızıntı + DDoS). Şu gruplar gibi: Clop, LockBit ve BlackCat artık profesyonel yazılım şirketleri gibi çalışıyorlar, iştirakleri, hizmet seviyesi anlaşmaları ve karanlık web destek forumlarıyla birlikte.
Bu arada, ortaya çıkan tehditler Yapay zeka destekli kimlik avı, sıfır gün patlatır, ve deepfake tabanlı sosyal mühendislikpolitikanın uyum sağlayabileceğinden daha hızlı tırmanıyor.
Savunuculara yardımcı olan bir yasanın kaldırılması gerçek zamanlı hareket etmek şu kadara mal olur siber güvenlik suistimali bu ortamda.
Hükümet ve Özel Sektör Bir Kavşakta
Ugoretz bu konuda alarm veren tek kişi değil.
MKS Ulusal CIO İncelemesi ve Bugün Vatan Güvenliği Ayrıca CISA'nın sona ermesinin şu anlama geleceğini belirten acil yorumlar yayınladı:
- NIST ve DHS siber iş birliği programlarını zayıflatın
- CISA'nın kendi kamu-özel sektör ortaklıklarını baltalamak
- Hukuki belirsizliği ortaya çıkarın tehdit paylaşımına katılan her kuruluş için
ABD'nin büyük bir bankasında çalışan siber güvenlik stratejisti, "Şeffaflık ve iş birliği kültürümüzün yerini dava korkusunun alması riski gerçek" diyor.
Bu duygu, bilgi güvenliği topluluğunun genelinde de yankı buluyor: çalışan bir şeyi bozma.
Siber Yasama Liderliği Zamanı
2024 ve 2025 yıllarında rekor sayıda fidye yazılımı saldırısına rağmen, ABD Kongresi net bir yeniden yetkilendirme tasarısı sunmadı CISA 2015 için.
Bazı siber güvenlik uzmanları daha geniş kapsamlı bir “CISA 2.0” öneriyor ve bu öneri şu şekilde:
- Hangi verilerin paylaşılabileceğini sıkılaştırarak gizlilik eleştirilerini giderin
- Bulut platformları ve MSP'lere yönelik sorumluluk korumalarını genişletin
- Oluştur gerçek zamanlı yapay zeka destekli tehdit değişimi LLM'ler ve davranış modellemesi tarafından desteklenmektedir
Ama temel bir mevcut yasanın yeniden yetkilendirilmesi sessizce sona ermesine izin vermekten daha iyi olurdu.
Kongre Süresinin Dolmasına İzin Verirse Ne Olur?
Kongre harekete geçmezse Eylül 30, 2025:
- MKS tehdit paylaşımı için yasal güvenli liman ortadan kalkıyor
- AIS katılımı düşecek
- Büyük firmalar işbirliğini durdur federal siber soruşturmacılarla
- Federal kurumlar görünürlüğü kaybetmek hızlı hareket eden kampanyalara
En kötüsü ise, bu boşluğun ABD'deki yasama ve uygulama eğilimlerini yakından izleyen siber suç gruplarını cesaretlendirebilecek olması.
Zaman geçiyor
Sona ermeye 40 günden az bir süre kala siber güvenlik liderleri şu çağrıyı yapıyor:
- Acil Kongre duruşmaları CISA yenilemesi hakkında
- An geçici uzatma korumalarda bir boşluğu önlemek için
- Geliştirilmiş, modernleştirilmiş bir CISA çerçevesi için yol haritası
Ugoretz'in yazdığı gibi, "Fidye yazılımlarıyla mücadelede zaman en kritik değişkendir. Şu anda onu kaybetmek üzereyiz."
Son Düşüncelerimiz
Amerika'nın dijital altyapısı, fidye yazılımı kartellerinden ulus devlet bilgisayar korsanlarına kadar giderek daha fazla kuşatma altında. Bu düşmanca ortamda, Tehdit istihbaratını paylaşmak isteğe bağlı değil, hayatta kalma mücadelesidir.
CISA 2015, neredeyse on yıldır sessiz ve etkili bir şekilde işliyor. Son kullanma tarihi, siber suçlarla mücadele şeklimizi sekteye uğratmakla kalmayacak, aynı zamanda hastanelerde hasta ölümlerinden ülke genelindeki işletmelerin kapanmasına kadar gerçek dünyada ciddi zararlara da yol açabilir.
Bu varsayımsal bir siber güvenlik tartışması değil; yasa koyucuların saatli bombası. Ve onu etkisiz hale getirmek için hâlâ zaman var.
