Великобритания готовится обязать ит-компании сообщать об атаках вымогателей

Правительство Великобритании представило проект нового закона о кибербезопасности и устойчивости, направленный на обновление текущих нормативных актов в сфере кибербезопасности. Решение было озвучено в речи короля при открытии парламента и стало ответом на увеличивающееся число атак программ-вымогателей на британские компании, пишет Securitylab.

Законопроект включает обязательное требование для компаний сообщать о случаях атак программ-вымогателей. Мера направлена на улучшение осведомленности правительства о кибератаках и своевременное реагирование на них. Представители власти заявляют, что новые нормы помогут закрыть существующие пробелы в защите и предотвратить атаки на критически важные общественные службы.

Однако предложенный законопроект не столь амбициозен, как первоначальные планы Министерства внутренних дел. Ранее предлагалось обязать всех пострадавших от атак программ-вымогателей сообщать об инцидентах и получать разрешение от властей перед выплатой выкупа. Также планировалось запретить компаниям, работающим в сфере критической инфраструктуры, выплачивать выкуп, чтобы лишить хакеров стимулов к атакам на такие объекты.

Текущая версия закона будет распространяться только на «регулируемые субъекты», а не на весь частный сектор. В число таких субъектов могут войти поставщики управляемых услуг (MSP), которые обеспечивают поддержку IT-инфраструктуры для небольших компаний. Пока неясно, будут ли новые правила распространяться на другие сторонние сервисы, участвующие в цепочках поставок услуг критической инфраструктуры.

Критически важные организации в Великобритании неоднократно подвергались кибератакам. Например, в июне атака на компанию Synnovis привела к отмене тысяч медицинских приемов и операций в Лондоне, включая сотни процедур по лечению рака.

Текущие законы о кибербезопасности, известные как Регламент сетевых и информационных систем (NIS Regulations), были приняты в 2018 году на основе директивы Евросоюза. Они устанавливают стандарты безопасности для поставщиков критической инфраструктуры и цифровых услуг, а также предписывают обязательное сообщение о кибератаках.

Однако высокий порог для обязательного уведомления о происшествии оставляет реальное количество таких отчетов низким. Например, отчетный инцидент NIS для распределительной сети электроэнергии должен включать незапланированную потерю поставок с менее 50 000 клиентами в течение более 3-ёх минут. Инцидент, затрагивающий национально значимый DNS-резолвер, приведет к падению пропускной способности сервиса более чем на 25% в течение 15 минут или дольше.

Обновленные законы пересмотрят такие пороги и обяжут компании увеличивать количество сообщений о кибератаках, что даст правительству более полное представление о существующих угрозах и позволит своевременно реагировать на потенциальные атаки. Законопроект также наделит отраслевые регуляторы полномочиями для проверки соблюдения норм кибербезопасности, включая возможности возмещения затрат и проведения расследований потенциальных уязвимостей.

Законопроект разрабатывается Министерством науки, инноваций и технологий. Точные сроки внесения в парламент пока не объявлены.