フロリダ州サイバーセキュリティセーフハーバー法案が前進

フロリダ州下院商業委員会は、 サイバーセキュリティインシデント責任法 (HB 473)、先週、国家行政および技術支出小委員会に提出しました。

同州のエネルギー・通信・サイバーセキュリティ小委員会の委員長であるマイク・ジャロンバルド氏（共和党コーラル・ゲイブルズ氏）によって11月に導入されたこの法律は、政府機関とサイバーインシデントの責任において個人情報を取得、管理、使用する団体のリストに安全な避難場所を提供するものである。事業体がサイバー保護フレームワークおよび個々の事業体を管理する規制に「実質的に」準拠している場合。

個人事業主やパートナーシップから企業、協同組合、協会、第三者代理店に至るまでのこれらの事業体は、提案されている法律に基づいて以下のいずれかを実施できます。

• 重要インフラのサイバーセキュリティを改善するための国立標準技術研究所のフレームワーク。

• NIST 特別出版物 800-171。

• NIST 特別出版物 800-53 および 800-53A。

• 連邦リスクおよび認可管理プログラムのセキュリティ評価フレームワーク。

• インターネット セキュリティ クリティカル センター。

• 国際標準化機構/国際電気標準会議 27000 シリーズ (ISO/IEC 27000) 規格ファミリー。

州および連邦レベルで、1996 年健康保険の相互運用性と説明責任法 54 のような法律、CFR 45 パート 160 およびパート 164 のセキュリティ要件、55 のサブパート A および C、またはグラム・リーチ・ブライリー規則のタイトル V に「実質的に整合」することによって1999 年法、Pub. L. 57 No. 106-102。

提案された法律の責任推定を得るには、最新の公布日から 1 年以内に「企業が準拠する 2 つ以上の枠組みまたは基準」の改訂を採択する必要もあります。

サイバー攻撃訴訟が急増

フロリダ州でも他の州と同様、タンパ・ジェネラルに対する明らかなランサムウェア攻撃がファイルが暗号化される前に阻止されるなど、サイバー攻撃が多発している。

その病院は完全なロックアウトと恐喝を阻止したが、少なくとも120万人の患者とスタッフが、サイバー犯罪者がネットワークに侵入した後に盗んだファイル内の個人特定情報と保護された医療データの暴露に苦しんだという。 WFLA 7月の話。

大規模なデータ盗難事件に続いて訴訟が起こることがよくあります。 HCAヘルスケアが訴えられた 同月には、170 の病院で医療に携わる 1,100 万人に影響を与えた可能性のあるデータ侵害についても同様の報告があった。

テネシー州ミドル地区の連邦地方裁判所によると、フロリダ州に住む2人のHCA患者、原告のゲイリー・シルバーズ氏とリチャード・マルース氏は、HCAが「保守している機密情報の性質に適した合理的なセキュリティ手順と慣行を採用していなかった」と主張した。

いくつかの モーション は9月に提起され、訴訟は進行中である。

州レベルでの責任

フロリダ州は、サイバー衛生的でセキュリティに準拠した組織のためのセーフハーバーの整備を進めており、データ責任保護法を制定したオハイオ州、ユタ州、コネチカット州とともに、同様の法案を提案した他のいくつかの州に加わることになる。

弁護士のデビッド・オバーリー氏によると、オハイオ州は2018年に全米初のデータ保護法を成文化し、企業に「データ侵害の際に企業が合理的なセキュリティ対策を講じている場合には、ある種のデータ侵害の申し立てに対する積極的抗弁」を提供した。彼は現在、Baker Donelson の学際的な生体認証チームを率い、プライバシーとセキュリティに関するさまざまな問題について法律顧問を提供しています。

同氏は2019年、事業体が枠組みの「実質的」充足性をどのように満たしているかに基づいて、オハイオ州の当時の新法はフロリダ州でのジャロンバルド氏の現在の提案と同様に素っ気ないと指摘した。

「DPAは、企業が積極的抗弁の対象となるのに十分なサイバーセキュリティ対策を講じていることをどのようにして立証できるかについて、これ以上の議論や説明を一切行っていない」と同氏はオハイオ州の弁護士に宛てて書いた。 記事 オハイオ州バーによって投稿されました。

「さらに、この法律は、企業が自社のサイバーセキュリティ計画がフレームワークに『合理的に適合』していることをどのようにして確立できるかについて、追加情報を提供していない。」