CIRCIA؛ گزارش هک تا ۷۲ ساعت اجباری میشه
خلاصهٔ کامل‌تر
تو این گزارش Nextgov اومده که آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) انتظار داره یکی از پایه‌ای‌ترین مقررات سایبری‌اش رو تا سپتامبر نهایی کنه. مبنای این خبر یه سند مقرراتیه که هفتهٔ گذشته منتشر شده. موضوع، قانونیه که اپراتورهای زیرساخت حیاتی رو موظف می‌کنه هک‌های مهم رو مستقیماً به همین آژانس گزارش بدن.
خود قانون CIRCIA دو تا مهلت مشخص می‌ذاره: حادثه‌های قابل‌توجه باید ظرف ۷۲ ساعت گزارش بشن و پرداخت باج به باج‌افزار ظرف ۲۴ ساعت. یعنی سازمان‌های مشمول باید از قبل فرایند داخلی تشخیص و اعلام رو طوری بچینن که تو این پنجرهٔ کوتاه جا بشه.
مسیر رسیدن به اینجا طولانی بوده. مصوبهٔ اصلی سال ۲۰۲۲ تو کنگره تصویب شد، CISA اولین اطلاعیهٔ رویه‌ای رو آوریل ۲۰۲۴ منتشر کرد، ولی مهلت قانونی اکتبر ۲۰۲۵ برای نسخهٔ نهایی از دست رفت. ماه گذشته هم آژانس چند نشست عمومی اضافه با ذی‌نفع‌ها برگزار کرد؛ نشست‌هایی که تعطیلی بودجه‌ای وزارت امنیت داخلی تو بهار عقبشون انداخته بود و حالا اون مشکل حل شده.
نویسنده توضیح می‌ده چرا این قانون مهمه: CISA تا امروز عمدتاً به همکاری داوطلبانهٔ اپراتورهای زیرساخت حیاتی تکیه کرده. CIRCIA بخش بزرگی از این رابطه رو از حالت اختیاری به یه رژیم گزارش‌دهی اجباری می‌بره — تغییری بنیادی تو نسبت دولت و بخش خصوصی در حوزهٔ سایبری.
ریشهٔ ماجرا هم به نگرانی‌های بعد از SolarWinds و Colonial Pipeline برمی‌گرده: گزارش داوطلبانه باعث شده بود دولت از حادثه‌های بزرگ عملاً بی‌خبر بمونه. حملهٔ روسیه به اوکراین هم فوریت رو بیشتر کرد، چون این ترس جدی شد که درگیری ژئوپلیتیک به حمله به زیرساخت حیاتی آمریکا سرریز کنه.
نکات کلیدی:
- CISA انتظار داره نسخهٔ نهایی CIRCIA تا سپتامبر ابلاغ بشه
- گزارش حادثهٔ قابل‌توجه ظرف ۷۲ ساعت و پرداخت باج‌افزار ظرف ۲۴ ساعت اجباری میشه
- مصوبه از ۲۰۲۲ وجود داشته ولی نسخهٔ نهایی مهلت قانونی اکتبر ۲۰۲۵ رو رد کرده
- گذار از همکاری داوطلبانه به رژیم گزارش‌دهی اجباری، مهم‌ترین تغییر این قانونه
- انگیزهٔ اصلی، تجربهٔ SolarWinds و Colonial Pipeline و نگرانی از سرریز جنگ اوکراین بود
