Ο Νόμος περί Κοινής Χρήσης Πληροφοριών Κυβερνοασφάλειας (CISA) έχει σχεδιαστεί για να παρέχει ενθάρρυνση και προστασία για την κοινοποίηση πληροφοριών απειλών.
Δείτε επίσης: Η CISA πρόσθεσε ευπάθεια του Sudo στον Κατάλογο KEV
Μια ρήτρα λήξης που ενσωματώνεται στον Νόμο περί Κοινής Χρήσης Πληροφοριών Κυβερνοασφάλειας του 2015 (PDF) σημαίνει ότι θα λήξει στα τέλη Σεπτεμβρίου 2025, εκτός εάν εγκριθεί εκ νέου από το Κογκρέσο των ΗΠΑ. Κατά τη στιγμή της σύνταξης αυτού του κειμένου, δεν έχει εγκριθεί εκ νέου.
Η κυβερνητική υπηρεσία που λαμβάνει τις πληροφορίες απειλής μπορεί να προβεί ή όχι σε κάποια ενέργεια, αλλά θα κοινοποιήσει περαιτέρω αυτά τα δεδομένα σε άλλες υπηρεσίες και θα τα κοινοποιήσει σε άλλες εταιρείες που ενδέχεται να απειληθούν παρόμοια. «Ή η εμπλεκόμενη εταιρεία μπορεί να κοινοποιήσει τις πληροφορίες απειλής απευθείας σε άλλες εταιρείες».
Εν ολίγοις, ενθαρρύνει την ανταλλαγή πληροφοριών σχετικά με απειλές και διευκολύνει την περαιτέρω ανταλλαγή, προστατεύοντας παράλληλα τις ταυτότητες των εμπλεκομένων.
Δείτε ακόμα: CISA: Απαιτεί την επιδιόρθωση zero-day ευπαθειών Cisco
Δεδομένου του προφανούς οφέλους για το οικοσύστημα ασφαλείας που απορρέει από τον CISA, πώς έχει φτάσει σε αυτή την επικίνδυνη θέση – και θα ανανεωθεί ποτέ; Η απάντηση στο πρώτο είναι πιθανώς τίποτα περισσότερο από «πολιτική» και χρονοδιάγραμμα. Η ανάγκη ανανέωσης του CISA συμπίπτει με την ξεχωριστή ανάγκη ανανέωσης του ανώτατου ορίου χρέους της κυβέρνησης – η οποία είναι πιο σημαντική, πιο αμφιλεγόμενη και πιο πιεστική για το Κογκρέσο από την ανανέωση του CISA.
Ταυτόχρονα, η προσπάθεια που θα καταβάλει το Κογκρέσο είναι πιθανό να είναι μεγαλύτερη από την απλή έγκριση της «Ανανέωσης». Ο Rand Paul, για παράδειγμα, επιδιώκει να χρησιμοποιήσει τον Νόμο περί Ελευθερίας της Πληροφόρησης για να επιτρέψει στα άτομα που έχουν αναφερθεί να μάθουν περισσότερα σχετικά με την ένταξή τους στη διαδικασία CISA, δηλαδή να προστατεύσει τις πολιτικές τους ελευθερίες.
Η βεβαιότητά του ότι ο CISA θα ανανεωθεί βασίζεται στην αξία του. Εάν μια εταιρεία εντοπίσει ύποπτη δραστηριότητα στο δίκτυό της, μπορεί να είναι σε θέση να την σταματήσει – αλλά αυτό δεν αποτρέπει απαραίτητα την επανάληψη από την ίδια πηγή. Η μεμονωμένη εταιρεία μπορεί απλώς να δει ένα μέρος του προβλήματος.
Δείτε επίσης: CISA: Ευπάθεια Chrome zero-day στον Κατάλογο KEV
Ο CISA εισέρχεται σε αδιέξοδο. Υπάρχει η πιθανότητα ανανέωσής του με δυνατότητα βελτίωσης, αλλά όχι στα σίγουρα. Εάν ανανεωθεί, πιθανότατα θα έχει αναδρομική ισχύ – αλλά αυτό δεν είναι εγγυημένο. Έτσι, το μεγάλο ερώτημα για τους CISO αυτή τη στιγμή είναι: Πώς θα πρέπει να χειριστούμε την ανταλλαγή πληροφοριών σχετικά με απειλές αμέσως μετά τις 30 Σεπτεμβρίου 2025;
