EE.UU.: avanzan dos frentes en ciberseguridad

El Common-Sense Cloud Security Act quedó identificado como H.R. 10915 en el 119.º Congreso, 2.ª sesión, mientras en paralelo una coalición de 35 grupos de la industria pidió a los líderes de los comités de Servicios Armados de la Cámara y el Senado que mantengan en el proyecto anual de política de defensa una disposición para extender la Cybersecurity Information Sharing Act de 2015 hasta 2035. La extensión vigente expira el 11 de diciembre, según la cobertura citada.

¿Qué propone el proyecto sobre cloud?

El proyecto, presentado por el representante Rich McCormick, busca que NIST actualice protocolos de ciberseguridad para entornos cloud y contempla un programa voluntario de certificación para servicios en la nube. Security Today también lo describió con medidas sobre detección de amenazas, identidad digital, cadena de suministro y evaluación de brechas.

InsideCyberSec agregó, todavía sin confirmación oficial en el material disponible, que NIST tendría plazos específicos para trabajar sobre la propuesta: solicitar comentarios públicos dentro de 180 días de la promulgación, publicar un prototipo 50 días después y una versión final 135 días después del prototipo. La misma cobertura señaló que el alcance incluiría identidad vinculada al dispositivo, monitoreo de alertas y actividad maliciosa, evaluación de integraciones de terceros, detección de comportamiento sospechoso mediante IA y una metodología para determinar el blast radius de proveedores.

Industrial Cyber, también de forma no confirmada oficialmente en el material provisto, detalló elementos operativos del programa: una base pública de certificaciones, niveles escalonados, laboratorios privados independientes acreditados y un plazo de 90 días para que esos laboratorios decidan sobre una solicitud.

¿Qué busca la industria en materia de intercambio de amenazas?

La coalición quiere que el Congreso conserve la protección legal para compartir información de ciberamenazas durante una década más, hasta 2035, en lugar de dejar que venza la continuidad vigente el 11 de diciembre. GovExec informó sobre esa petición y CyberScoop indicó que la versión de la ley de defensa para el año fiscal 2027 de la Cámara incluye una extensión de diez años de la Cybersecurity Information Sharing Act de 2015.

En ambos casos, el punto central es la misma prórroga legal, aunque las coberturas ubican el trámite en instancias legislativas distintas. GovExec presentó la solicitud de la industria ante los comités de Servicios Armados de ambas cámaras, mientras CyberScoop reportó que la versión de la Cámara para el NDAA ya incorpora esa extensión.