Amerikas cybersköld bryts när CISA 2015 löper ut

Lagen om delning av cybersäkerhetsinformation från 2015 (CISA 2015) löpte ut den 30 september 2025, vilket avskaffade den juridiska ansvarsskyddsmekanismen som gjorde det möjligt för tusentals privata organisationer att dela cyberhotsdata i realtid med regeringen och varandra. Programmet Automated Indicator Sharing (AIS), som den drev, bearbetade miljontals hotindikatorer varje månad. Utan lagens skydd stoppade företagens juridiska team delningen. Den rekommenderade åtgärden: bygg oberoende krypterings- och detekteringskontroller nu och gå med i hotdelningsgrupper inom den privata sektorn i väntan på en förnyad lagstiftning.

Snabbt svar: Varför spelar CISA 2015:s utgångstid någon roll?

CISA 2015 var den rättsliga grunden för Amerikas automatiserade nätverk för information om cyberhot. Det gav företag immunitet från antitrust-, integritets- och ansvarsrättsliga stämningar i utbyte mot att dela indikatorer på cybersäkerhetshot, inklusive skadliga IP-adresser, signaturer för skadlig kod och attackmönster, med regeringen och varandra genom programmet Automated Indicator Sharing (AIS). När det löpte ut den 30 september 2025 försvann ansvarsskyddet. Utan det blev delning av hotdata en rättslig risk snarare än en skyddad aktivitet, och flödet av information till det kollektiva systemet för tidig varning upphörde i praktiken. Resultatet är att tusentals organisationer nu försvarar sig mot nya hot utan den kollektiva information i realtid som tidigare lät en upptäckt vid en bank automatiskt blockera en attack mot ett sjukhus över hela landet.

Vad var CISA 2015?

Före 2015 var företag som utsattes för cyberattacker juridiskt isolerade. Om en bank upptäckte ett nytt ransomware-program riskerade de att dela de tekniska detaljerna om det skadliga programmet med andra företag att bli utsatta för antitrust (samordning med konkurrenter), integritetsansvar (om indikatorn berörde kunddata) och allmän rättslig osäkerhet. Den rationella företagsresponsen var att hålla informationen intern, vilket innebar att samma angripare kunde slå till mot ett sjukhus härnäst och sedan mot ett kraftverk, utan att någon utfärdade en varning.

Lagen om delning av cybersäkerhetsinformation från 2015 tog bort dessa hinder. Den skapade en uttrycklig federal ansvarsskyddsordning för företag som delar cyberhotindikatorer (CTI:er) och försvarsåtgärder med regeringen och varandra, villkorad av automatisk rensning av privat information som inte är relaterad till hotet. Lagen gav Cybersecurity and Infrastructure Security Agency (CISA) befogenhet att driva AIS-programmet och gav hela ramverket en rättslig grund som compliance- och juridiska avdelningar kunde arbeta inom.

Resultatet blev programmet Automated Indicator Sharing (AIS): ett maskin-till-maskin-nätverk som använder standarderna STIX (Structured Threat Information eXpression) och TAXII (Trusted Automated eXchange of Intelligence Information) för att utbyta hotindikatorer i nästan realtid, utan mänsklig inblandning, mellan tusentals deltagande organisationer som spänner över alla kritiska infrastruktursektorer.

Hur det automatiserade indikatordelningsprogrammet fungerade

AIS-programmet fungerade i maskinhastighet, inte mänsklig hastighet. Här är ett flöde av en hotindikator genom systemet:

1. Upptäckt: En banks säkerhetssystem identifierar en skadlig IP-adress eller en unik hash av en ny skadlig kod. Denna datapunkt kallas en cyberhotsindikator (CTI).
2. Automatisk skrubbning: Organisationens AIS-klient raderar automatiskt all privat kundinformation som inte är direkt relaterad till hotet före överföring. CISA 2015 krävde denna rensning som ett villkor för ansvarsskyddet.
3. Inlämning via TAXII: Den rena CTI:n skickas till AIS-hubben med hjälp av TAXII-protokollet i STIX-format, en standardiserad maskinläsbar struktur som säkerhetsverktyg kan mata in direkt.
4. Hub-sändning: AIS-hubben distribuerar omedelbart indikatorn till alla deltagande organisationer och myndigheter, från sjukhusnätverk till kraftbolag och federala myndigheter.
5. Automatisk blockering: Varje mottagande organisations säkerhetsverktyg, brandväggar, SIEM-plattformar och slutpunktsskydd matar automatiskt in den nya indikatorn och blockerar eller flaggar den i hela nätverket innan angriparen når ett nytt mål.

Som mest bearbetade AIS-programmet miljontals indikatorer varje månad. En enda detektering hos en organisation blev ett automatiskt nätverksomfattande block inom några minuter. Den multiplikatoreffekten eliminerades när CISA 2015 löpte ut.

En dubbel smäll: Utgången lag och minskad statlig kapacitet

CISA-perioden 2015 upphörde inte isolerat. Den sammanföll med en nedstängning inom regeringen som permitterade betydande delar av CISA:s arbetsstyrka. Den kombinerade effekten var en samtidig minskning av både utbudssidan (organisationer slutade dela) och efterfrågesidan (färre myndighetsanalytiker för att ta emot, analysera och agera på delad information).

Förlust av ansvarsskydd: utan CISA 2015:s skydd tolkade företagens juridiska team hotdelning som en oacceptabel juridisk risk. Råden som gavs till säkerhetsteamen var konsekventa i alla branscher: pausa frivillig delning tills lagstiftningens klarhet återställts. Underrättelseflödet sinade från källan.

Minskad responskapacitet hos myndigheter: CISA:s permitterade personal innebar färre hotjägare i myndigheternas nätverk, långsammare analys av nyligen identifierad skadlig kod och längre svarstider på nya sårbarheter. Den återstående viktiga personalen övergick från proaktiv hotjakt till reaktiv incidenthantering, vilket förlängde fönstret inom vilket angripare agerar oupptäckta.

Hotmodell: Vad förändras när kollektiv intelligens försvinner

Att förstå exakt vilka hotvektorer som förvärrar hjälper organisationer att prioritera sina oberoende försvar:

Hotkategori	Påverkan enligt AIS (CISA 2015 aktiv)	Påverkan utan AIS (CISA 2015 löpte ut)	Vad organisationer måste göra självständigt
Nya varianter av skadlig kod	Första detekteringen i en organisation blockerar varianten i hela nätverket inom några minuter	Varje organisation detekterar oberoende; genomsnittlig detekteringstid ökar avsevärt	Investera i beteendedetektering (EDR); prenumerera på kommersiella hotflöden
Ransomware-kampanjer	Indikatorer från tidiga offer varnar senare mål innan krypteringen börjar	Senare mål får ingen förvarning; ransomware körs helt innan det upptäcks	Oföränderliga offline-säkerhetskopior; nätverkssegmentering; kryptera känslig data i vila (AES-256)
Komprometterade inloggningsuppgifter och nätfiskeinfrastruktur	Skadliga domäner och IP-adresser blockerade nätverksomfattande timmar efter första detektering	Varje organisations DNS- och e-postfilter måste oberoende av varandra upptäcka och blockera	DMARC-, DKIM- och SPF-tillämpning; phishing-resistent MFA (FIDO2- eller certifikatbaserad)
Supply chain attacker	Skadliga kodsignaturer delas snabbt mellan programvarukonsumenter	Detektering fördröjd tills varje organisation oberoende observerar avvikande beteende	Spårning av programvaruförteckningar (SBOM); CBOM-säkerhet för inventering av kryptografiska tillgångar; verifiering av kodsignering
Inriktning på kritisk infrastruktur	Sektorsomfattande varningar via AIS ger energibolag, sjukhus och energibolag förvarning	Ingen automatisk varning över sektorer; sektorspecifik ISAC-delning är den enda delvisa ersättningen	Gå omedelbart med i relevant ISAC; öka investeringarna i OT/IT-nätverksövervakning
Nolldagsutnyttjande	Tidiga indikatorer från utnyttjade organisationer accelererar prioritering av patchar	Prioritering av patchar bygger enbart på leverantörsrekommendationer och CISA KEV-katalogen (fortfarande aktiv)	Prenumerera på CISA KEV-flödet; riskbaserad patchhantering med inriktning på KEV-poster först

Kryptering som sista försvarslinjen

När kollektiv hotinformation inte är tillgänglig förändras kryptering från en kryssruta för efterlevnad till en operativ nödvändighet. Den centrala insikten är att upptäcktsfel nu är mer sannolika: om en angripare bryter sig in i ett nätverk innan han eller hon identifieras, är skillnaden mellan ett katastrofalt intrång och en innesluten incident om de data de åtkom var krypterade och om nycklarna kontrollerades av organisationen.

Vilande data: AES-256-GCM är den nuvarande standarden för kryptering av lagrad känslig data. För databaser som innehåller personligt identifierbar information (PII), skyddad hälsoinformation (PHI) eller finansiella register säkerställer kryptering på kolumnnivå eller fältnivå att även om en angripare extraherar databasfiler är innehållet oläsligt utan krypteringsnyckeln. Encryption Consultings krypteringsrådgivningstjänster utvärderar aktuell krypteringstäckning och identifierar datalager som är okrypterade eller använder föråldrade algoritmer.

Data under överföring: all intern och extern nätverkskommunikation som bär känslig data måste använda TLS 1.3 med starka krypteringssviter (TLS_AES_256_GCM_SHA384 eller TLS_CHACHA20_POLY1305_SHA256). Intern kommunikation mellan tjänster bör använda ömsesidig TLS (mTLS) så att en komprometterad autentiseringsuppgift i en tjänst inte kan användas för att utge sig för att vara en annan. Med långsammare extern hotdetektering har angripare som får nätverksåtkomst mer tid för sidledsförflyttning; mTLS begränsar explosionsradien genom att kräva certifikatbaserad autentisering mellan tjänster.

Nyckelhantering: kryptering är bara så stark som nyckelhantering. HSM as a Service tillhandahåller FIPS 140-3-validerad hårdvarunyckellagring så att även om servrar komprometteras kan krypteringsnycklar inte extraheras. Nyckelrotationsscheman, åtkomstkontroller för nyckelanvändning och granskningsloggning av alla nyckeloperationer är de operativa kontroller som säkerställer att krypteringen förblir effektiv över tid. CBOM Secure upptäcker alla kryptografiska tillgångar i en miljö och avslöjar svaga algoritmer, oroterade nycklar och okrypterade datalager som representerar de högst prioriterade saneringsmålen.

Vägledning för val av algoritm och protokoll

Användningsfall	Rekommenderad algoritm eller protokoll	Minimistandard	Vad som ska undvikas
Kryptering av data i vila	AES-256-GCM	AES-128-GCM	DES, 3DES, RC4, AES-ECB-läge
Data under transport	TLS 1.3 med ECDHE + AES-256-GCM	TLS 1.2 med ECDHE (inget RSA-nyckelutbyte)	TLS 1.0, TLS 1.1, SSL, RC4-krypteringssviter, CBC-läge i TLS 1.2
Intern tjänstautentisering	Ömsesidig TLS (mTLS) med certifikatbaserad identitet	TLS 1.2 med klientcertifikatautentisering	API-nycklar utan rotation, delade hemligheter
Nyckelförvaring	FIPS 140-3-validerad HSM	FIPS 140-2 Nivå 2-validerad HSM	Programvarunyckellager, nycklar i miljövariabler, nycklar i kodförråd
Autentisering	FIDO2-lösenord eller certifikatbaserad autentisering (CBA)	TOTP-baserad MFA	Endast lösenord, SMS-engångslösenord
Långlivade känsliga data (kvantrisk)	Hybrid PQC: AES-256 + ML-KEM (FIPS 203) för nyckelinkapsling	AES-256 ensamt (ger kvantresistens för symmetrisk kryptering)	RSA-2048 ensamt för nyckelinpackning av långlivad data (kvantsårbar)

Vägen framåt: Att bygga oberoende cybermotståndskraft

Omedelbara lagstiftningsåtgärder

• Snabbspår för omauktorisering: Kongressen måste anta ett tvåpartilagförslag som återställer CISA 2015 med en långsiktig förlängning för att förhindra framtida upphöranden. Den nya lagstiftningen bör inkludera retroaktivt ansvarsskydd tillbaka till den 30 september 2025, för att täcka all delning som skedde under uppehållet och för att omedelbart återuppta flödet av underrättelser.
• Incitamentstrukturer: Skattelättnader eller utökningar av safe harbor-bestämmelserna för organisationer som upprätthåller kontinuerlig delning under mellanrumsperioden skulle påskynda underrättelseflödet före formell återställande.

Alternativ till hotinformation från den privata sektorn

• Gå med i din sektors ISAC omedelbart: Informationsdelnings- och analyscenter (ISAC) fungerar oberoende av CISA 2015 och status som federal regering. Financial Services ISAC (FS-ISAC), Health ISAC (H-ISAC), Energy ISAC och andra tillhandahåller sektorspecifik hotinformation genom delning mellan medlemmar. Organisationer som inte redan deltar bör ansluta sig omedelbart som det mest direkta alternativet till AIS-information.
• Prenumerera på kommersiella hotflöden: Kommersiella hotinformationstjänster tillhandahåller kontinuerligt uppdaterade indikatorer som inte är beroende av statlig infrastruktur. Dessa flöden kan matas in direkt av SIEM-plattformar och brandväggar i samma maskin-till-maskin-format som AIS använde.
• Deltagande i Cyber ​​Threat Alliance: Cyber ​​Threat Alliance är en ideell organisation som underlättar delning av hotinformation mellan cybersäkerhetsföretag och tillhandahåller en alternativ underrättelsekanal för den privata sektorn.

Organisatoriska säkerhetskontroller

• Gör en kryptografisk inventering: användning CBOM-säkerhet för att upptäcka varje kryptografisk tillgång i din miljö, identifiera okrypterade känsliga datalager och avslöja svaga algoritmer eller ohanterade nycklar som representerar den högsta prioritetsexponeringen för intrång under längre detekteringstider.
• Implementera kontinuerlig övervakning: SIEM-plattformar, endpoint detection and response (EDR) och cloud security posture management (CSPM) måste vara aktiva och generera varningar som granskas i en definierad takt. När extern hotinformation försämras blir intern beteendedetektering den primära mekanismen för tidig varning.
• Planer för respons på testincidenter: anta att detekteringstiderna kommer att vara längre än tidigare upplevt. Uppdatera handböcker för incidenthantering för att återspegla en hotmiljö där en angripare kan ha varit inne i nätverket längre innan upptäckten, och testa planerna med bordsövningar som antar försämrad extern information.
• Implementera nätfiskeresistent MFA: komprometterade inloggningsuppgifter är den vanligaste initiala åtkomstvektorn. FIDO2-hårdvarusäkerhetsnycklar eller certifikatbaserad autentisering eliminera sökvägen för nätfiskeattacker via CertSecure Manager, oavsett om nätfiskeinfrastrukturen är blockerad på nätverksnivå.

Hur krypteringskonsulting kan hjälpa

Med försämrad kollektiv hotinformation måste de kontroller som tidigare fungerade som en backstop nu fungera som frontlinje. Encryption Consultings tjänster åtgärdar direkt de luckor som CISA 2015-utgången skapar:

• Krypteringsrådgivningstjänster: vår Krypteringsrådgivningstjänster utvärdera er nuvarande krypteringstäckning för data i vila, under överföring och i användning; identifiera oskyddade känsliga datalager; utvärdera nyckelhanteringsmetoder; och skapa en prioriterad åtgärdsplan i linje med NIST, GDPR, HIPAA och PCI DSS. Detta är den grundläggande kontrollen som säkerställer att intrångsdata är oläslig även när upptäckten är fördröjd.
• CBOM-säker: CBOM-säkerhet Skannar din miljö för att skapa en komplett kryptografisk materiallista (CBOM), som visar varje algoritm, nyckel och certifikat som används. Den identifierar data som saknar kryptering, flaggar föråldrade algoritmer och tillhandahåller den inventering som behövs för att prioritera åtgärd efter risknivå. Organisationer med försämrad extern hotinformation behöver denna insyn mest akut.
• HSM som en tjänst: HSM som en tjänst Tillhandahåller FIPS 140-3-validerad hårdvarunyckellagring, vilket säkerställer att krypteringsnycklar inte kan extraheras ens vid ett sofistikerat dataintrång. Hårdvarubaserad nyckelhantering är den kontroll som omvandlar ett lyckat intrång från ett dataintrång till att en angripare får värdelös chiffertext.
• Rådgivningstjänster för efterlevnad: vår Rådgivning om efterlevnad hjälpa organisationer att förstå hur CISA 2015-utgången påverkar deras efterlevnadsstatus enligt HIPAA, PCI DSS, GDPR och SEC:s regler för cybersäkerhetsinformation, och bygga den dokumentation och de kontroller som behövs för att visa tillbörlig aktsamhet innan en incident inträffar.
• PQC-rådgivningstjänster: för organisationer som innehar känsliga uppgifter med lång livslängd som förblir konfidentiella under det kommande decenniet, vår PQC-rådgivningstjänster bedöma exponeringen för Harvest Now, Decrypt Later (HNDL) och bygga en migreringsfärdplan till NIST-standardiserade postkvantalgoritmer (FIPS 203, 204, 205).

Begränsningar: Vad enskilda organisationer inte kan ersätta

• Hastighet i stor skala: Privata hotinformationskällor och ISAC-deltagande ger meningsfull täckning men kan inte helt återskapa AIS-programmets hastighet och bredd. En ny attack som drabbar många organisationer samtidigt kommer att spridas snabbare utan AIS:s nästan omedelbara sändning till tusentals deltagare.
• Sektorövergripande synlighet: ISAC:er är sektorspecifika. En attack som börjar inom finansiella tjänster och koncentrerar sig på hälso- och sjukvård eller energiinfrastruktur förlorar synlighet när den korsar sektorgränser. AIS gav en sektorsövergripande synlighet som inget alternativ från den privata sektorn helt replikerar.
• Kryptering förhindrar inte intrång: Stark kryptering gör intrångsdata oanvändbar, men den förhindrar inte själva intrånget. Organisationer måste kombinera krypteringsstyrning med detektering, åtkomstkontroller och incidenthantering för att bygga en komplett defensiv hållning.

Slutsats

Genom att CISA 2015 löpte ut togs den rättsliga grunden som gjorde att Amerikas kollektiva system för tidig cybervarning fungerade bort. Utan ansvarsskydd upphörde den frivilliga delningsprocessen. AIS-programmets miljontals månatliga indikatorer når inte längre de organisationer som var beroende av dem för att blockera nya hot. En samtidig minskning av regeringens cybersäkerhetskapacitet förvärrade skadan.

Den praktiska konsekvensen för företagssäkerhetsteam är att detekteringsfönstren blir längre och nya attacker sprids ytterligare innan de identifieras. Kontrollerna som minskar effekten av fördröjd detektering är väl förstådda: kryptera känsliga data så att intrång ger chiffertext snarare än klartext, tillämpa hårdvarubaserad nyckelhantering så att krypteringsnycklar överlever en serverkompromittering, implementera kontinuerlig beteendeövervakning för att ersätta externa tidiga varningssignaler och gå med i privata hotdelningsgrupper som delvisa ersättningar för AIS-information.

En lagstadgad förnyelse av CISA 2015 är den systemiska lösningen. Fram till dess är de organisationer som mest effektivt kommer att klara denna period de som har byggt sina försvar för att fungera oberoende av kollektiv hotinformation. Om du vill bedöma din nuvarande krypteringssituation, identifiera oskyddade data eller bygga den nyckelhanteringsinfrastruktur som gör ditt försvar självförsörjande, kontakta Encryption Consulting för att diskutera var du ska börja.

Vanliga frågor om partihandel med mat och dryck

Vad var lagen om delning av cybersäkerhetsinformation från 2015 (CISA 2015)?

CISA 2015 skapade en federal ansvarsskyddsordning som gör det möjligt för privata företag att dela indikatorer på cybersäkerhetshot med regeringen och varandra utan rädsla för antitrust-, integritets- eller ansvarsrättsliga åtgärder. Genom CISA 2015 etablerades programmet Automated Indicator Sharing (AIS), som automatiskt utbytte hotindikatorer mellan tusentals organisationer i nästan realtid med hjälp av STIX- och TAXII-standarder.

Vad hände när CISA 2015 löpte ut?

CISA 2015 löpte ut den 30 september 2025 utan förnyelse. Företagsjuristteam rådde organisationer att sluta dela hotinformation eftersom ansvarsskyddet var borta. Det frivilliga flödet av hotindikatorer i realtid till AIS-programmet upphörde, vilket lämnade säkerhetsteamen utan det kollektiva system för tidig varning som de var beroende av för att blockera nya hot.

Vad är programmet Automated Indicator Sharing (AIS)?

AIS är ett maskin-till-maskin-utbyte för hotinformation som drivs av CISA med STIX- och TAXII-standarder. Det delar automatiskt cyberhotsindikatorer, inklusive skadliga IP-adresser, domäner, hashkoder för skadlig kod och attackmönster mellan deltagande organisationer. Vid maximal drift bearbetade det miljontals indikatorer varje månad, vilket förvandlade en enda detektering till ett automatiskt nätverksomfattande block.

Vad bör organisationer göra för att skydda sig själva nu?

Sex omedelbara steg: kryptera all känslig data i vila (AES-256-GCM) och under överföring (TLS 1.3); använd HSM-baserad nyckelhantering; genomför en kryptografisk inventering med CBOM Secure; anslut till din sektors ISAC för privat hotinformation; driftsätt SIEM-baserad kontinuerlig övervakning; och testa incidenthanteringsplaner med längre detekteringsfönster.

Vilka krypteringskontroller minskar risken mest direkt när hotdelning inte är tillgänglig?

AES-256-GCM för data i vila, TLS 1.3 för data under överföring, mTLS för intern tjänstautentisering och FIPS 140-3 HSM-baserad nyckelhantering. Tillsammans säkerställer dessa att ett lyckat intrång producerar oanvändbar chiffertext snarare än läsbar känslig data, oavsett hur länge angriparen var inuti innan upptäckt.

Vad är ISAC:er och hur hjälper de?

Informationsdelnings- och analyscenter (ISAC) är sektorspecifika, medlemsdrivna organisationer som delar information om cyberhot oberoende av statlig infrastruktur. FS-ISAC täcker finansiella tjänster, H-ISAC täcker hälso- och sjukvård och andra ISAC:er täcker energi, vatten, transport och andra sektorer. De fortsätter att verka oavsett CISA 2015:s status och är det mest direkta ersättningssystemet för informationsdelnings- och analyscenter inom den privata sektorn.