Exclusivo: los proveedores de software tendrían que divulgar las infracciones a los usuarios del gobierno de EE. UU. En virtud de una nueva orden: borrador

SAN FRANCISCO (Mundo Informático) - Una orden ejecutiva planificada de la administración de Biden requerirá que muchos proveedores de software notifiquen a sus clientes del gobierno federal cuando las empresas tengan una violación de seguridad cibernética, según un borrador visto por Mundo Informático.

Una portavoz del Consejo de Seguridad Nacional dijo que no se ha tomado una decisión sobre el contenido final de la orden ejecutiva.

El hack de SolarWinds, que salió a la luz en diciembre, mostró que “el gobierno federal necesita poder investigar y remediar las amenazas a los servicios que brinda al pueblo estadounidense de manera temprana y rápida. En pocas palabras, no se puede arreglar lo que no se conoce ”, dijo la portavoz.

La orden propuesta describe varias recomendaciones de seguridad digital, incluidos los requisitos de notificación para los proveedores de servicios, según cuatro personas familiarizadas con el plan.

La orden también requerirá que los proveedores conserven más registros digitales para investigar ataques y trabajar con el FBI y la Agencia de Seguridad de Infraestructura de Ciberseguridad del Departamento de Seguridad Nacional, conocida como CISA, al responder a incidentes.

En la práctica, el cambio ocurrirá a través de actualizaciones a las reglas de adquisiciones federales. Las principales empresas de software que venden al gobierno, como Microsoft o SalesForce, se verían afectadas por el cambio, dijeron dos de las personas familiarizadas con los planes.

En el pasado, el Congreso ha intentado establecer una ley nacional de notificación de violaciones de datos, pero ha fracasado debido a la resistencia de la industria. Un proyecto de ley de este tipo habría obligado a las empresas que experimentan ataques a revelarlos públicamente a través de agencias gubernamentales, en lugar de mantenerlos en secreto.

El software de la empresa de tecnología estadounidense SolarWinds se utilizó como trampolín para comprometer a una serie de agencias gubernamentales estadounidenses. La operación, que fue identificada en diciembre y que, según el gobierno de Estados Unidos, probablemente fue orquestada por Rusia, dio a los piratas informáticos acceso a miles de empresas y oficinas gubernamentales que usaban sus productos.