Nová pravidla kybernetické bezpečnosti navržená SEC

29. listopadu 2022 | Blog

Nová pravidla navržená SEC

Americká Komise pro cenné papíry a burzy (SEC) navrhuje nové požadavky na zveřejňování informací ze strany představenstev společností týkajících se řízení rizik v oblasti kybernetické bezpečnosti, strategie, politik správy a řízení, postupů a incidentů. Jednalo by se o novelu zákona o burzách cenných papírů z roku 1934.

Společnost CyberHoot vnímá tyto navrhované požadavky SEC na zveřejňování informací jako reakci na stále častější kybernetické útoky na americké a globální společnosti všech velikostí. Zda tato nová pravidla, pokud budou schválena, splní svůj deklarovaný cíl, kterým je používat „řádně navržený systém hlášení… na pomoc odvětví při zavádění silných systémů odolných vůči útokům“, se teprve uvidí. Jasné je, že čas na přípravu pro společnosti je nyní. Pokud se chcete vyhnout potenciálním pokutám vyplývajícím z hlášení nedodržování předpisů, zaveďte a/nebo posílte své řízení rizik, zásady a postupy ještě před těmito novými pravidly.

Harmonogram hlášení porušení

Pokud Komise pro cenné papíry (SEC) toto nařízení schválí, firmy budou mít po odhalení narušení systémů spuštěný časovač. Podle SEC bude vyžadováno „nahlášení kybernetického incidentu do čtyř dnů, nikoli od incidentu, ale od jeho odhalení“. To znamená, že váš proces řízení kybernetických incidentů (CIMP – máte ho, že?) bude nutné aktualizovat tak, aby zahrnoval oznamování SEC podle pravidel, která budou dosud stanovena v připravované legislativě.

Další navrhovaná pravidla:

Návrh SEC zahrnuje pravidla pro zveřejňování informací o:

Zásady a postupy registrovaných subjektů pro identifikaci a řízení rizik kybernetické bezpečnosti a pro to, jak kybernetická bezpečnost zohledňuje obchodní strategii, finanční plánování a alokaci kapitálu.
- Analýza CyberHootu: Společnosti budou potřebovat robustní, zdokumentovaný a pravidelně aktualizovaný program řízení rizik..
Role managementu při implementaci politik a postupů kybernetické bezpečnosti.
- Analýza CyberHootu: Společnosti budou potřebovat zásady a procesy schválené vedením.
Budou vyžadovány případné odborné znalosti představenstva v oblasti kybernetické bezpečnosti a jeho role při posuzování a řízení kybernetických bezpečnostních rizik.
- Analýza CyberHootu: Pro vytvoření vašeho programu kybernetické bezpečnosti, informování a vedení představenstva ohledně rizik bude potřeba vCISO.

Žádná trestní stíhání, pouze pokuty

Ačkoli by návrh SEC neuvaloval trestné činy na představenstva společností nebo na vrcholové vedení za nedodržování předpisů, měli by právo ukládat pokuty. Smutnou pravdou o kybernetické kriminalitě je, že společnosti nikdy nepřestane stát peníze. Narušení bezpečnosti s sebou nese nespočet nákladů, ke kterým SEC přidá další potenciální náklady – náklady typu „Co kdyby?“. Mezi náklady na narušení patří náklady na odcizené duševní vlastnictví, náklady na forenzní vyšetřování, poškození značky a reputace, monitorování úvěrů, zvyšování pojistného za kybernetické pojištění a nyní by se k nim mohly přidat i pokuty za nedodržování zákonů o zveřejňování informací.

Poskytovatelé spravovaných služeb hrají významnou roli

Poskytovatelé spravovaných služeb (MSP) by si to měli všimnout. CyberHoot si všiml, že mnoho MSP má jen velmi málo zavedených procesů a postupů. V těchto situacích to nebude fungovat. Udělejte si pořádek ve svém vlastním MSP. Vybudujte si program kybernetické bezpečnosti pomocí vCISO (virtuálního nebo částečného ředitele pro informační bezpečnost). Tito konzultanti, i když jsou zdroje omezené, jsou vysoce kvalifikovaní, aby vám pomohli s vytvořením opakovatelných procesů a postupů nejen pro vašeho MSP, ale i pro vaše klienty. Uvědomte si, že Řím nebyl postaven za den a stejně tak ani váš program řízení rizik. Čím dříve začnete, tím většího rizika můžete dosáhnout, než hackeři zaútočí a budou vás nebo jednoho z vašich klientů nutit k výkupnému.

Závěr:

CyberHoot chce, aby každá společnost přistupovala ke kybernetické bezpečnosti s preventivním přístupem. Musíte se však také připravit na nejhorší. Vytvořte si plány pro řízení kybernetických incidentů (CIMP) a naplánujte si cvičné cvičení, známé jako Table-Top cvičení, abyste si promysleli nedostatky. V případě kritického kybernetického incidentu nechcete nechat nic náhodě tím, že jej nebudete mít napsaný. Případné požadavky na hlášení odhalí buď dobře promyšlené plány, nebo nedostatek příprav, což by mohlo snadno vést k nákladným pokutám.