Government Information Security Reform Act

Le Government Information Security Reform Act (anciennement connu sous le nom de Thompson-Liebermann Act) est une loi fédérale qui obligeait les agences gouvernementales américaines à mettre en œuvre un programme de sécurité de l'information comprenant la planification, l'évaluation et la protection. En 2000, elle a été abrogée par le Federal Information Security Management Act. En vertu de la loi sur la réforme de la sécurité de l'information du gouvernement (GISRA), les agences étaient tenues d'effectuer des évaluations des risques des systèmes non classifiés, d'élaborer et de mettre en œuvre des politiques et des procédures de sécurité pour les données, de mettre au point un processus pour corriger les faiblesses en matière de sécurité et de dispenser une formation de sensibilisation à la sécurité à leurs employés. Les responsables des agences devaient s'assurer que le plan de sécurité de l'information de chaque système était suivi tout au long de son cycle de vie. Ils devaient également évaluer la gestion et les contrôles informatiques du programme. Les exigences de la GISRA ne sont pas nouvelles. Cette loi reprenait les exigences de plusieurs réglementations fédérales telles que la loi sur la sécurité informatique de 1986, la loi sur la réduction de la paperasserie de 1994 et la loi Clinger-Cohen de 2016. La GISRA a toutefois responsabilisé les agences en liant les rapports de conformité aux cycles budgétaires, ce qui est différent des autres réglementations. Chaque agence devait soumettre son rapport de conformité à l'Office of Management and Budget (OMB) chaque année. La non-conformité à la GISRA pouvait entraîner la perte de financement des agences. Cependant, la GISRA ne prévoyait pas de fonds pour les évaluations, ce qui a entraîné des problèmes dans les efforts des agences pour se conformer à la loi. La loi ne précise pas non plus le type de contrôles informatiques que les agences doivent mettre en œuvre. Le National Institute of Standards and Technology (NIST) et l'OMB ont simplement conseillé que les mesures de protection soient appropriées au niveau de risque posé aux opérations et aux actifs des agences. Aucun ensemble de contrôles ne serait approprié pour chaque agence ou même pour chaque système, mais des normes plus spécifiques pour des niveaux de risque définis auraient non seulement aidé les agences à assurer leur conformité, mais aussi fourni un cadre standard pour l'évaluation, assuré la protection adéquate des données partagées et réduit les efforts - et les ressources - nécessaires pour atteindre la conformité GISRA. Voir également : Federal Information Security Management Act (FISMA)

En savoir plus :

Le mémo original pour la promulgation de GISRA peut être trouvé en ligne.