¿Qué define a un 'contratista de defensa' y qué se requiere que se informe en la nueva ley de los EE. [cerrado]

0

Según los artículos de noticias (por ejemplo, aquí ) 2013 National Defense Authorization Act , que se firmó en la ley de EE. UU. el 2 de enero de 2012, aparentemente requiere que los contratistas de defensa informen sobre las intrusiones. ¿Qué define a un contratista de defensa? ¿Qué define una intrusión (o penetración como la llaman)? ¿Qué se requiere para informar a quién?

Estaba preguntando porque tenía curiosidad y me preguntaba cómo afectaría a la comunidad en general. En general, soy partidario de compartir más entre los buenos y me pregunto qué tan lejos sería esto. Según mi experiencia, a la mayoría de las empresas no les gusta confesar las intrusiones, sin embargo, me sorprendería que cualquier compañía que no haya tenido una intrusión de algún tipo (o al menos un intento).

Si la definición de contratista es restringida (por ejemplo, compañías definidas como miembros de la Base Industrial de Defensa y la penetración se define como el acceso a documentos de alto secreto) tendrá un impacto menor que si fuera más amplio (por ejemplo, las empresas son empresas con contratos gubernamentales y las penetraciones son acceso externo a cualquier sistema).

El acto en sí es vago y estoy preguntando si alguien sabe más sobre lo que se pretende. Supongo que la ley no salió de este aire y hay una historia de fondo sobre qué la causó y qué se pretende.

    
pregunta Duncan 09.01.2013 - 05:09
fuente

1 respuesta

6

Para obtener una respuesta definitiva, querrá ver tres fuentes.

  • Todo esto está establecido en el acto mismo.
  • El Departamento de Defensa se pondrá en contacto con los contratistas de defensa autorizados para proporcionar sus requisitos detallados.
  • Como siempre, si necesita saber si algo es legal o no, no pregunte a personas al azar en Internet: pregunte a un abogado debidamente calificado que se especialice en esa área.

Su pregunta actualizada pregunta cuál es el efecto de esto en la comunidad InfoSec más amplia. Probablemente mínimo para aquellos a quienes la ley no se aplica. Mi empresa no tiene que ser compatible con PCI, por lo que la regulación de PCI no me preocupa en absoluto. Tenemos que ser compatibles con SOX, y eso me preocupa mucho. Ya existen requisitos de divulgación de incumplimiento escritos en varias leyes (en su mayoría centradas en la información de identificación personal).

    
respondido por el Graham Hill 09.01.2013 - 13:13
fuente

Lea otras preguntas en las etiquetas