Νέοι κανόνες κυβερνοασφάλειας που προτείνονται από την Επιτροπή Κεφαλαιαγοράς (SEC)

Η Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (SEC) προτείνει νέες απαιτήσεις γνωστοποίησης από τα διοικητικά συμβούλια των εταιρειών σχετικά με τη διαχείριση κινδύνων στον κυβερνοχώρο, τη στρατηγική, τις πολιτικές διακυβέρνησης, τις διαδικασίες και τα περιστατικά. Πρόκειται για τροποποίηση του Νόμου περί Κεφαλαιαγοράς του 1934.

Το CyberHoot θεωρεί αυτές τις προτεινόμενες απαιτήσεις γνωστοποίησης της Επιτροπής Κεφαλαιαγοράς (SEC) ως απάντηση στις ολοένα και πιο συχνές κυβερνοεπιθέσεις σε αμερικανικές και παγκόσμιες εταιρείες όλων των μεγεθών. Μένει να δούμε αν αυτοί οι νέοι κανόνες, εφόσον ψηφιστούν, επιτυγχάνουν τον δηλωμένο στόχο τους, δηλαδή τη χρήση «ενός σωστά σχεδιασμένου συστήματος αναφοράς... για να βοηθήσουν τον κλάδο στη δημιουργία ισχυρών, ανθεκτικών στις επιθέσεις συστημάτων» με την πάροδο του χρόνου. Αυτό που είναι σαφές είναι ότι η ώρα για τις εταιρείες να προετοιμαστούν είναι τώρα. Καθιερώστε ή/και ενισχύστε τη διαχείριση κινδύνου, τις πολιτικές και τις διαδικασίες σας πριν από αυτούς τους νέους κανόνες, εάν θέλετε να αποφύγετε πιθανά πρόστιμα που προκύπτουν από την αναφορά παραλείψεων συμμόρφωσης.

Χρονολόγιο αναφοράς παραβίασης

Εάν θεσπιστεί από την Επιτροπή Κεφαλαιαγοράς (SEC), οι εταιρείες θα έχουν ένα χρονόμετρο που θα τρέχει μετά την ανακάλυψη μιας παραβίασης. Σύμφωνα με την SEC, θα απαιτείται «αναφορά ενός περιστατικού κυβερνοασφάλειας εντός τεσσάρων ημερών, όχι του περιστατικού, αλλά της ανακάλυψης». Αυτό σημαίνει ότι η Διαδικασία Διαχείρισης Περιστατικών Κυβερνοασφάλειας (CIMP - έχετε μία, σωστά;) θα χρειαστεί ενημέρωση ώστε να περιλαμβάνει την κοινοποίηση στην SEC βάσει κανόνων που δεν έχουν ακόμη θεσπιστεί στην επικείμενη νομοθεσία.

Πρόσθετοι προτεινόμενοι κανόνες:

Η πρόταση της Επιτροπής Κεφαλαιαγοράς (SEC) περιλαμβάνει κανόνες γνωστοποίησης για:

• Οι πολιτικές και οι διαδικασίες των εγγεγραμμένων προσώπων για τον εντοπισμό και τη διαχείριση των κινδύνων στον κυβερνοχώρο και τον τρόπο με τον οποίο η κυβερνοασφάλεια επηρεάζει την επιχειρηματική στρατηγική, τον οικονομικό σχεδιασμό και την κατανομή κεφαλαίων.
  • Ανάλυση του CyberHoot: Οι εταιρείες θα χρειαστούν ένα ισχυρό, τεκμηριωμένο και τακτικά ενημερωμένο Πρόγραμμα Διαχείρισης Κινδύνων..
• Ο ρόλος της διοίκησης στην εφαρμογή πολιτικών και διαδικασιών κυβερνοασφάλειας.
  • Ανάλυση του CyberHoot: Οι εταιρείες θα χρειαστούν πολιτικές και διαδικασίες που έχουν εγκριθεί από τη Διοίκηση,.
• Θα απαιτηθεί η τυχόν ύπαρξη εμπειρογνωμοσύνης των Διοικητικών Συμβουλίων στον τομέα της κυβερνοασφάλειας, καθώς και ο ρόλος τους στην αξιολόγηση και τη διαχείριση του κινδύνου κυβερνοασφάλειας.
  • Ανάλυση του CyberHoot: Θα χρειαστείτε έναν vCISO για να δημιουργήσετε το πρόγραμμα κυβερνοασφάλειας, να ενημερώσετε και να καθοδηγήσετε το διοικητικό συμβούλιο σχετικά με τους κινδύνους.

Δεν υπάρχουν ποινικές κατηγορίες, μόνο πρόστιμα

Ενώ η πρόταση της Επιτροπής Κεφαλαιαγοράς (SEC) δεν θα απαγγέλλει κατηγορίες σε διοικητικά συμβούλια ή ανώτερα στελέχη εταιρειών για αδικήματα λόγω μη συμμόρφωσης, θα έχουν το δικαίωμα να επιβάλλουν πρόστιμα. Η θλιβερή αλήθεια του κυβερνοεγκλήματος είναι ότι δεν σταματά ποτέ να κοστίζει στις εταιρείες. Υπάρχει μια πληθώρα κόστους σε μια παραβίαση ασφάλειας στο οποίο η SEC πρόκειται να προσθέσει ένα ακόμη πιθανό κόστος - το κόστος "Τι θα γινόταν αν;". Το κόστος παραβίασης περιλαμβάνει το κόστος κλεμμένης πνευματικής ιδιοκτησίας, το κόστος των εγκληματολογικών ερευνών, τις ζημίες στην επωνυμία και τη φήμη, την παρακολούθηση της πιστοληπτικής ικανότητας, τις κλιμακώσεις των ασφαλίστρων στον κυβερνοχώρο και, τώρα, ενδεχομένως να προστεθούν στο μείγμα πρόστιμα για μη συμμόρφωση με τους νόμους περί γνωστοποίησης.

Οι MSP παίζουν σημαντικό ρόλο

Οι Πάροχοι Διαχειριζόμενων Υπηρεσιών (MSP) θα πρέπει να το λάβουν αυτό υπόψη. Η CyberHoot έχει παρατηρήσει ότι πολλοί MSP έχουν πολύ λίγες διαδικασίες και διαδικασίες. Αυτό δεν θα λειτουργήσει σε αυτές τις περιπτώσεις. Βάλτε σε τάξη το δικό σας MSP. Δημιουργήστε το πρόγραμμα κυβερνοασφάλειας χρησιμοποιώντας έναν vCISO (εικονικό ή κλασματικό Chief Information Security Officer). Αυτοί οι σύμβουλοι, αν και έχουν περιορισμένους πόρους, είναι άκρως εξειδικευμένοι για να σας βοηθήσουν στη δημιουργία επαναλήψιμων διαδικασιών και διαδικασιών όχι μόνο για τον MSP σας, αλλά και για τους πελάτες σας. Να γνωρίζετε ότι η Ρώμη δεν χτίστηκε σε μια μέρα, όπως και το πρόγραμμα διαχείρισης κινδύνου σας. Όσο πιο γρήγορα ξεκινήσετε, τόσο μεγαλύτερη μείωση κινδύνου μπορείτε να επιτύχετε πριν οι χάκερ επιτεθούν και σας κρατήσουν εσάς ή έναν από τους πελάτες σας για λύτρα.

Συμπέρασμα:

Η CyberHoot θέλει κάθε εταιρεία να προσεγγίζει την κυβερνοασφάλεια με νοοτροπία πρόληψης. Ωστόσο, πρέπει επίσης να σχεδιάζετε για το χειρότερο. Δημιουργήστε τα δικά σας σχέδια διαχείρισης περιστατικών κυβερνοασφάλειας (CIMP) και προγραμματίστε μια πρακτική άσκηση, γνωστή ως άσκηση Table-Top, για να αντιμετωπίσετε τις δυσκολίες. Σε ένα κρίσιμο περιστατικό κυβερνοασφάλειας, δεν θέλετε να αφήσετε τίποτα στην τύχη, μη έχοντας προγραμματίσει κάτι. Οι τελικές απαιτήσεις αναφοράς θα αποκαλύψουν είτε καλά σχεδιασμένα σχέδια είτε έλλειψη προετοιμασιών, κάτι που θα μπορούσε εύκολα να οδηγήσει σε δαπανηρά πρόστιμα.

Ασφαλίστε την επιχείρησή σας με το CyberHoot σήμερα!!!

Εγγραφείτε τώρα

Πηγή:

Η Επιτροπή Κεφαλαιαγοράς (SEC) προτείνει νέους κανόνες γνωστοποίησης για την κυβερνοασφάλεια

Πλήρες ενημερωτικό δελτίο SEC

Πρόσθετες Πληροφορίες: 

Έκθεση Διαχείρισης Κινδύνων Κυβερνοασφάλειας της Επιτροπής Κεφαλαιαγοράς (SEC) προς το Κογκρέσο