Nye cybersikkerhedsregler foreslået af SEC

Det amerikanske børstilsyn (SEC) foreslår nye oplysningskrav fra virksomhedsbestyrelser vedrørende risikostyring, strategi, ledelsespolitikker, procedurer og hændelser inden for cybersikkerhed. Dette ville være en ændring af Securities Exchange Act fra 1934.

CyberHoot ser disse foreslåede oplysningskrav fra SEC som en reaktion på de stadig mere almindelige cyberangreb på amerikanske og globale virksomheder af alle størrelser. Om disse nye regler, hvis de vedtages, opfylder deres erklærede mål om at bruge "et korrekt designet rapporteringssystem ... til at hjælpe industrien med at etablere stærke, angrebssikre systemer" over tid, er endnu uvist. Det er klart, at det er nu, virksomhederne skal forberede sig. Etabler og/eller styrk din risikostyring, politikker og procedurer forud for disse nye regler, hvis du vil undgå potentielle bøder som følge af rapportering af manglende overholdelse af regler.

Tidslinje for rapportering af brud

Hvis det vedtages af SEC, vil virksomheder have en timer, der kører efter en opdagelse af et brud. Ifølge SEC vil det være påkrævet at "rapportere en cybersikkerhedshændelse inden for fire dage, ikke efter hændelsen, men efter opdagelsen". Det betyder, at din proces til håndtering af cybersikkerhedshændelser (CIMP – du har en, ikke?) skal opdateres for at inkludere underretning til SEC i henhold til regler, der endnu ikke er fastsat i den kommende lovgivning.

Yderligere foreslåede regler:

SEC-forslaget indeholder regler for offentliggørelse af:

• En registrerets politikker og procedurer til at identificere og håndtere cybersikkerhedsrisici og hvordan cybersikkerhed spiller ind i forretningsstrategi, økonomisk planlægning og kapitalallokering.
  • CyberHoots analyse: Virksomheder vil have brug for et robust, dokumenteret og regelmæssigt opdateret risikostyringsprogram..
• Ledelsens rolle i implementeringen af cybersikkerhedspolitikker og -procedurer.
  • CyberHoots analyse: Virksomheder skal have ledelsesgodkendte politikker og processer.
• Bestyrelsernes ekspertise inden for cybersikkerhed, hvis nogen, og deres rolle i vurdering og styring af cybersikkerhedsrisici vil være påkrævet.
  • CyberHoots analyse: En vCISO vil være nødvendig for at opbygge dit cybersikkerhedsprogram, informere og vejlede bestyrelsen om risici.

Ingen strafferetlige anklager, kun bøder

Selvom SEC's forslag ikke ville stoppe med at anklage virksomhedsbestyrelser eller ledende medarbejdere for manglende compliance, ville de have ret til at pålægge bøder. Den triste sandhed om cyberkriminalitet er, at det aldrig holder op med at koste virksomheder. Der er et utal af omkostninger forbundet med et sikkerhedsbrud, som SEC vil tilføje en anden potentiel omkostning til – "Hvad nu hvis?"-omkostninger. Omkostninger ved brud omfatter omkostningerne ved stjålet intellektuel ejendom, omkostningerne ved retsmedicinske undersøgelser, brand- og omdømmeskader, kreditovervågning, stigninger i cyberforsikringspræmier og nu potentielt bøder for manglende overholdelse af oplysningslovgivningen kan blive tilføjet til blandingen.

MSP'er spiller en betydelig rolle

Managed Service Providers (MSP'er) bør være opmærksomme på dette. CyberHoot har bemærket, at mange MSP'er har meget få processer og procedurer på plads. Det virker ikke i disse situationer. Få styr på dit eget MSP-hus. Byg dit cybersikkerhedsprogram ved hjælp af en vCISO (virtuel eller fraktioneret Chief Information Security Officer). Disse konsulenter, selvom de har knappe ressourcer, er yderst kvalificerede til at hjælpe dig med at opbygge gentagelige processer og procedurer, ikke kun for din MSP, men også for dine kunder. Husk, at Rom ikke blev bygget på én dag, og det er dit risikostyringsprogram heller ikke. Jo før du starter, jo større risikoreduktion kan du opnå, før hackere slår til og kræver dig eller en af dine kunder for løsepenge.

konklusion:

CyberHoot ønsker, at alle virksomheder griber cybersikkerhed an med en forebyggende tankegang. Du skal dog også planlægge for det værste. Lav dine planer for håndtering af cybersikkerhedshændelser (CIMP) og planlæg en øvelse, kendt som en "table-top"-øvelse, for at løse problemerne. I en kritisk cybersikkerhedshændelse ønsker du ikke at overlade noget til tilfældighederne ved ikke at have det skrevet ned. De endelige rapporteringskrav vil enten afsløre veludformede planer eller manglende forberedelser, hvilket nemt kan føre til dyre bøder.

Sikr din virksomhed med CyberHoot i dag!!!

Tilmeld dig nu

Kilde:

SEC foreslår nye regler for cybersikkerhedsoffentliggørelse

Fuld SEC-faktaark

Yderligere læsning: 

SEC's rapport om cybersikkerhedsrisikostyring til Kongressen