Yönetişim ve Risk Yönetimi, Devlet, Sektöre Özel
NSTAC Raporu, Federal Siber Güvenlik Vergi Kesintileri ve Mali Hibeler Çağrısında Bulundu
Chris Riotta (@chrisriotta) •
8 Mart 2024
Beyaz Saray danışma kurulu Perşembe günü yaptığı öneride, federal hükümetin gelişmiş siber güvenliği artırma çabasının bir parçası olarak kritik altyapı sahiplerine ve operatörlerine vergi teşviklerini genişletmesi gerektiğini önerdi.
Ayrıca bakınız: Belirsiz Zamanlarda Bankalar için 5 Siber Güvenlik Temeli
Başkanın Ulusal Güvenlik Telekomünikasyon Danışma Komitesi, yönetime “uygun siber güvenlik en iyi uygulamalarını benimseyen kuruluşlar için vergi indirimleri ve federal bağışlar gibi etkili mali teşvikler konusunda önerilerde bulunmaya” çağrıda bulunan bir raporu onayladı.
Rapor ayrıca, kritik altyapı sektörlerinde “önemli siber olayların devam eden davul sesi” ile kanıtlandığı gibi, mevcut piyasa güçlerinin siber güvenlik en iyi uygulamalarının ve standartlarının benimsenmesini teşvik etme konusunda “yetersiz” olduğu konusunda da uyarıyor.
Raporda, “Piyasa güçleri, yönetimin ve NSTAC'ın ulusal güvenlik ve acil durum hazırlıklarına ilişkin hedeflerine uygun bir siber güvenlik düzeyine ulaşacak şekilde tasarlanmamıştır” deniyor. “Piyasaların doğal olarak sağladığı şeyler ile ulusal güvenlik ve acil durum hazırlığının gerektirdiği şeyler arasındaki uçurum giderek daha sorunlu hale geliyor.”
Teknoloji ticareti grupları ve siber güvenlik uzmanları, uzun süredir yeni siber güvenlik standartlarının uygulanmasını teşvik etmek için mali teşvikler talep ediyor, ancak endüstrileri siber güvenlik yatırımlarına öncelik vermeye en iyi şekilde nasıl teşvik edebilecekleri konusunda öneriler farklılık gösteriyor. ABD Ticaret Odası, Demokrasi ve Teknoloji Merkezi ve diğer sektör grupları tarafından 2011 yılında yayınlanan bir teknik rapor, federal hükümeti yetkiler yerine siber güvenlik teşviklerine odaklanmaya çağırıyor ve “daha hükümet merkezli bir dizi yetkinin siber güvenlik önlemlerinin ters etki yaratacağı” uyarısında bulunuyordu. Hem ekonomik hem de ulusal güvenliğimiz.”
Nisan 2023'te Federal Enerji Düzenleme Komisyonu, kamu hizmeti şirketlerinin ödeme oranları hesaplamalarının bir parçası olarak siber güvenlik harcamalarını dahil etmelerine izin veren bir kuralı onayladı. FERC Başkan Vekili Willie Phillips, o dönemde “kamu hizmet şirketlerini kendi sistemlerine proaktif olarak ek siber güvenlik yatırımları yapmaya teşvik etmek için” federal talimatlara mali teşviklerin eşlik etmesi gerektiğini söylemişti.
FERC kuralı, kamu hizmetlerinin siber güvenlik masraflarını müşteri oranları üzerinden karşılamasına izin verirken, NSTAC modeli, kritik altyapı operatörlerinin gelişmiş siber güvenlik standartlarına para harcadıklarında daha az ödeme yapmaları için vergi teşviklerinin önceden sağlanmasını öneriyor.
NSTAC, hangi siber güvenlik harcamalarının indirilebilir harcama olarak sayılacağı veya kritik altyapı sahiplerinin ve operatörlerinin bu ödemeleri nasıl belgeleyip gerekçelendirecekleri hakkındaki sorulara yanıt vermedi. Raporda ayrıca, küçük ve orta ölçekli kritik altyapı kuruluşları gibi belirli kuruluşların, NSTAC çerçevesi kapsamında iyileştirilmiş siber güvenlik standartlarını uygulamaya yönelik ek mali teşvikler alıp almayacağı belirtilmedi.
Raporda, Ulusal Siber Direktör Ofisinin, kaynak açısından fakir küçük ve orta ölçekli kritik altyapı sağlayıcılarını hedef alan ülke çapında bir eğitim ve sosyal yardım programı geliştirmek için Siber Güvenlik ve Altyapı Güvenliği Ajansı ve diğer federal siber yetkililerle koordinasyon kurması tavsiye edildi. NSTAC'a göre sosyal yardım programının amacı CISA ve diğer kurumlar tarafından sunulan “birçok ücretsiz hizmetin kullanımını önemli ölçüde artırmak”.
NSTAC ayrıca yönetimi, hizmetler karşılığında ücretsiz eğitim sunan sanal ulusal siber akademileri kurmaya ve küçük işletmelere yönelik bir “siber birlik”i desteklemek üzere emekli bilgisayar güvenliği uzmanlarını işe almak için bir seferberlik kampanyası başlatmaya teşvik etti. Rapor ayrıca başkana, kuruluşların bulut altyapılarını kullanarak bu araçları dağıtmalarına yardımcı olmak amacıyla yapay zeka ve makine öğrenimi sistemleri için “son derece etkili güvenlik kullanım senaryolarını” belirlemesi için CISA'yı yönlendirmesi yönünde çağrıda bulunuyor.