Cybersecurity Information Sharing Act (CISA) 2015 - สิ่งที่องค์กรควรรู้
Cybersecurity Act of 2015 (มักอ้างอิงว่า CISA - Cybersecurity Information Sharing Act) เป็นกฎหมายสหรัฐอเมริกา ที่ได้รับรองเมื่อวันที่ 18 ธันวาคม 2015 (รวมอยู่ใน Omnibus Appropriations Bill) วัตถุประสงค์หลักคือ ส่งเสริมการแบ่งปันข้อมูลภัยคุกคามไซเบอร์ (Cyber Threat Indicators - CTIs) ระหว่างภาคเอกชนและรัฐบาล
จุดสำคัญ (Key Provisions)
- การแบ่งปันข้อมูลภัยคุกคาม (Threat Information Sharing): อนุญาตให้บริษัทแบ่งปัน "Cyber Threat Indicators" (CTIs) และ "Defensive Measures" ระหว่างกัน และกับหน่วยงานรัฐบาล (DHS, FBI, NSA, ODNI) โดยไม่ละเมิดกฎหมาย antitrust หรือ privacy laws
- การคุ้มครองความรับผิด (Liability Protection): ให้สิทธิ์คุ้มครองทางกฎหมาย (Good Faith Protection) แก่องค์กรที่แบ่งปัน/รับข้อมูลภัยคุกคาม ตราบใดที่ปฏิบัติตามข้อกำหนด (ลบ PII, ทำในนิสัยดี)
- การลบข้อมูลส่วนบุคคล (PII Scrubbing): กำหนดให้ลบ Personal Identifiable Information (PII) ที่ไม่เกี่ยวข้องกับภัยคุกคาม ก่อนแบ่งปัน
- หน่วยงานรับผิดชอบ (DHS/NCCIC): Department of Homeland Security (DHS) ผ่าน National Cybersecurity and Communications Integration Center (NCCIC) เป็นจุดศูนย์กลางรับ-ส่งข้อมูล (Portal)
- การรายงานให้คองเกรส: รายงานประจำปีเกี่ยวกับผลการดำเนินงาน การแบ่งปันข้อมูล ผลกระทบต่อความเป็นส่วนตัว
- การใช้ข้อมูล: รัฐบาลสามารถใช้ข้อมูลที่ได้รับสำหรับ: Cybersecurity purposes, Investigation/Prosecution of cyber crimes, Threat to life/harm, Protection of minors, National security
- ไม่บังคับ (Voluntary): การเข้าร่วมแบ่งปันข้อมูลเป็นสมัครใจ ไม่บังคับ
สิ่งที่ CISA ไม่ได้ทำ
- ไม่บังคับให้ต้องแบ่งปันข้อมูล
- ไม่สร้างมาตรฐานความปลอดภัยใหม่ (ใช้กรอบงานเดิม NIST CSF ฯลฯ)
- ไม่ให้สิทธิ์รัฐบาลตรวจสอบเครือข่ายเอกชนโดยไม่ได้รับอนุญาต
- ไม่ใช่กฎหมาย Data Breach Notification (มีกฎหมายระดับรัฐ/อุตสาหกรรมแยกต่างหาก)
ผลกระทบต่อองค์กร (Implications for Organizations)
| โอกาส | ความท้าทาย/ข้อควรระวัง |
|---|---|
| เข้าถึง Threat Intel จากรัฐบาลและ Peer ได้เร็วขึ้น | ต้องมีกระบวนการลบ PII (Scrubbing) ที่แน่นอน |
| ลดความเสี่ยงทางกฎหมายจากการแบ่งปัน (Liability Shield) | ต้องพิสูจน์ "Good Faith" และปฏิบัติตามขั้นตอน |
| ปรับปรุงการตรวจจับและตอบสนองภัยคุกคาม | ข้อมูลที่ได้รับอาจมี Noise สูง ต้องมีทีมวิเคราะห์ |
| สร้างความเชื่อมั่นกับผู้กำกับดูแล/ลูกค้า | ความกังวลด้าน Privacy จากกลุ่มโอนุญาตสิทธิมนุษยชน |
ความสัมพันธ์กับกรอบงานอื่นๆ
- NIST CSF: CISA สนับสนุนฟังก์ชัน Identify (Threat Intel) และ Detect/Respond
- STIX/TAXII: รูปแบบมาตรฐานสำหรับแลกเปลี่ยน CTIs ภายใต้ CISA
- ISACs (Information Sharing and Analysis Centers): ช่องทางหลักในการแบ่งปันข้อมูลเฉพาะอุตสาหกรรม (Financial FS-ISAC, Health H-ISAC, ฯลฯ)
สรุปสำหรับผู้ปฏิบัติการ
- ประเมินความคุ้มค่า: จะเข้าร่วม ISAC หรือ Automated Indicator Sharing (AIS) ของ DHS หรือไม่
- สร้างกระบวนการ: Collect CTI > Enrich > Scrub PII > Share (STIX/TAXII) > Consume > Detect/Block
- Legal Review: ร่วมมือทีมกฎหมาย ตรวจสอบ Good Faith Compliance, Privacy Laws (CCPA, GDPR หากเกี่ยวข้อง)
- Metrics: วัดจำนวน Indicators ที่รับ/ส่ง, Time to Detect/Block จาก Shared Intel, False Positive Rate
