تقترح هيئة الأوراق المالية والبورصات الأمريكية (SEC) متطلبات إفصاح جديدة لمجالس إدارات الشركات فيما يتعلق بإدارة مخاطر الأمن السيبراني، واستراتيجياتها، وسياساتها وإجراءاتها، وحوادثها. ويمثل هذا تعديلاً لقانون سوق الأوراق المالية لعام 1934.
ترى شركة CyberHoot أن متطلبات الإفصاح المقترحة من هيئة الأوراق المالية والبورصات الأمريكية (SEC) تأتي استجابةً للهجمات الإلكترونية المتزايدة على الشركات الأمريكية والعالمية بمختلف أحجامها. ويبقى أن نرى ما إذا كانت هذه القواعد الجديدة، في حال إقرارها، ستحقق هدفها المعلن المتمثل في استخدام "نظام إبلاغ مُصمم بشكل جيد... لمساعدة القطاع على إنشاء أنظمة قوية مقاومة للهجمات" مع مرور الوقت. من الواضح أن الوقت قد حان للشركات للاستعداد. لذا، بادروا بوضع و/أو تعزيز إدارة المخاطر والسياسات والإجراءات الخاصة بكم قبل تطبيق هذه القواعد الجديدة إذا كنتم ترغبون في تجنب الغرامات المحتملة الناتجة عن عدم الامتثال للإبلاغ.
إذا أقرت هيئة الأوراق المالية والبورصات الأمريكية (SEC) قانونًا، فسيُفعّل مؤقت عمل الشركات بعد اكتشاف أي خرق. ووفقًا للهيئة، سيُطلب "الإبلاغ عن أي حادثة أمن سيبراني خلال أربعة أيام، ليس من وقوع الحادثة، بل من اكتشافها". هذا يعني أن عملية إدارة حوادث الأمن السيبراني (CIMP - لديك واحدة، أليس كذلك؟) ستحتاج إلى تحديث لتشمل إخطار هيئة الأوراق المالية والبورصات الأمريكية بموجب قواعد لم تُحدد بعد في التشريع المُنتظر.
يتضمن اقتراح هيئة الأوراق المالية والبورصات قواعد الإفصاح لما يلي:
في حين أن اقتراح هيئة الأوراق المالية والبورصات الأمريكية لن يقتصر على توجيه اتهامات جنائية إلى مجالس إدارة الشركات أو كبار قادتها بسبب عدم الامتثال، إلا أنه سيحق لهم فرض غرامات. والحقيقة المحزنة للجرائم الإلكترونية هي أنها لا تكف عن تكبد الشركات تكاليف باهظة. هناك تكاليف لا تُحصى للاختراق الأمني، وستُضيف هيئة الأوراق المالية والبورصات الأمريكية إليها احتمالًا آخر - تكلفة "ماذا لو؟". تشمل تكاليف الاختراق سرقة الملكية الفكرية، وتكلفة التحقيقات الجنائية، والأضرار التي تلحق بالعلامة التجارية والسمعة، ومراقبة الائتمان، وزيادة أقساط التأمين الإلكتروني، والآن، قد تُضاف غرامات محتملة لعدم الامتثال لقوانين الإفصاح إلى هذا المزيج.
ينبغي على مزودي الخدمات المُدارة (MSPs) الانتباه لهذا الأمر. لاحظت CyberHoot أن العديد من مزودي الخدمات المُدارة لديهم إجراءات وعمليات محدودة للغاية. وهذا لن يُجدي نفعًا في هذه الحالات. نظّموا أمور مزودي الخدمات المُدارة لديكم. ابنوا برنامج الأمن السيبراني الخاص بكم بالاستعانة بمسؤول أمن معلومات رئيسي افتراضي أو جزئي (vCISO). هؤلاء الاستشاريون، على الرغم من ندرة مواردهم، مؤهلون تأهيلاً عالياً لمساعدتكم في بناء عمليات وإجراءات قابلة للتكرار، ليس فقط لمزودي الخدمات المُدارة، بل لعملائكم أيضاً. اعلموا أن روما لم تُبنَ في يوم واحد، وكذلك برنامج إدارة المخاطر الخاص بكم. كلما بدأتم مبكراً، زادت فرصكم في تقليل المخاطر قبل أن يهاجمكم المتسللون ويوقعوا بكم أو بأحد عملائكم في فدية.
تريد CyberHoot من كل شركة أن تتعامل مع الأمن السيبراني بعقلية وقائية. ومع ذلك، يجب عليك أيضًا التخطيط للأسوأ. ضع خطط إدارة حوادث الأمن السيبراني (CIMP) وحدد جلسة تدريبية، تُعرف باسم "تمرين الطاولة" (Table-Top) لمعالجة المشكلات. في حالة وقوع حادث أمن سيبراني حرج، لا تُترك أي شيء للصدفة دون تخطيط مسبق. ستكشف متطلبات الإبلاغ النهائية إما عن خطط جيدة الإعداد أو عن نقص في الاستعدادات، مما قد يؤدي بسهولة إلى غرامات باهظة.
المصدر
هيئة الأوراق المالية والبورصات تقترح قواعد جديدة للإفصاح عن الأمن السيبراني
ورقة حقائق كاملة عن هيئة الأوراق المالية والبورصات
قراءة إضافية:
اكتشف وشارك أحدث اتجاهات الأمن السيبراني والنصائح وأفضل الممارسات - إلى جانب التهديدات الجديدة التي يجب الحذر منها.
المؤلفة: كاتي بوكيتي | الافتتاحية: كريج تايلور افتتاحية بقلم كريج تايلور: لقد عرفنا ذلك منذ فترة...
اقراء المزيد
المؤلفة: كاتي بوكيتي | افتتاحية: كريغ تايلور افتتاحية بقلم كريغ تايلور: يجب أن يختبر اختبار CAPTCHA ما إذا...
اقراء المزيد
بقلم: كاتي بوكيتي | افتتاحية: كريغ تايلور | افتتاحية بقلم كريغ تايلور: أنا محظوظ لأن لدي...
اقراء المزيداحصل على نظرة أكثر حدة للمخاطر البشرية، من خلال النهج الإيجابي الذي يتفوق على اختبار التصيد التقليدي.
