Nuevas normas de ciberseguridad propuestas por la SEC

La Comisión de Bolsa y Valores de Estados Unidos (SEC) propone nuevos requisitos de divulgación para los consejos de administración de las empresas en relación con la gestión de riesgos de ciberseguridad, la estrategia, las políticas de gobernanza, los procedimientos y los incidentes. Esto supondría una enmienda a la Ley del Mercado de Valores de 1934.

CyberHoot considera que los requisitos de divulgación propuestos por la SEC son una respuesta a los ciberataques cada vez más comunes contra empresas estadounidenses e internacionales de todos los tamaños. Queda por ver si estas nuevas normas, de aprobarse, lograrán su objetivo declarado de utilizar "un sistema de informes adecuadamente diseñado... para ayudar a la industria a establecer sistemas sólidos y resistentes a los ataques" con el tiempo. Lo que está claro es que ahora es el momento de que las empresas se preparen. Establezcan o fortalezcan su gestión de riesgos, políticas y procedimientos con antelación a estas nuevas normas si quieren evitar posibles multas derivadas de incumplimientos en la presentación de informes.

Cronograma de informes de infracciones

Si la SEC lo aprueba, las empresas contarán con un plazo de preaviso tras el descubrimiento de una brecha. Según la SEC, será obligatorio informar de un incidente de ciberseguridad en un plazo de cuatro días, no desde el incidente, sino desde su descubrimiento. Esto significa que su Proceso de Gestión de Incidentes de Ciberseguridad (CIMP, ¿lo tiene?) deberá actualizarse para incluir la notificación a la SEC, según las normas que aún no se han establecido en la legislación pendiente.

Reglas adicionales propuestas:

La propuesta de la SEC incluye reglas de divulgación para:

• Las políticas y procedimientos de un registrante para identificar y gestionar los riesgos de ciberseguridad y cómo la ciberseguridad influye en la estrategia comercial, la planificación financiera y la asignación de capital.
  • Análisis de CyberHoot: Las empresas necesitarán un Programa de Gestión de Riesgos sólido, documentado y actualizado periódicamente.
• El papel de la dirección en la implementación de políticas y procedimientos de ciberseguridad.
  • Análisis de CyberHoot: Las empresas necesitarán políticas y procesos aprobados por la Dirección.
• Se requerirá la experiencia de los directores en materia de ciberseguridad, si la hubiere, y su papel en la evaluación y gestión de los riesgos de ciberseguridad.
  • Análisis de CyberHoot: Se necesitará un vCISO para construir su programa de ciberseguridad, informar y orientar a la junta directiva sobre los riesgos.

Sin cargos criminales, solo multas

Si bien la propuesta de la SEC no llegaría a imputar a las juntas directivas ni a los altos directivos de las empresas por delitos relacionados con incumplimientos, sí tendrían derecho a imponer multas. La triste realidad del cibercrimen es que siempre cuesta caro a las empresas. Una brecha de seguridad conlleva una gran cantidad de costos, a los que la SEC añadirá otro potencial: el coste hipotético. Los costos de las brechas incluyen el robo de propiedad intelectual, las investigaciones forenses, los daños a la marca y la reputación, la monitorización crediticia, el aumento de las primas de los seguros cibernéticos y, ahora, podrían añadirse a la combinación las multas por incumplimiento de las leyes de divulgación.

Los MSP desempeñan un papel importante

Los proveedores de servicios gestionados (MSP) deberían prestar atención a esto. CyberHoot ha observado que muchos MSP tienen muy pocos procesos y procedimientos implementados. Esto no es viable en estas situaciones. Organice su propio MSP. Desarrolle su programa de ciberseguridad con un vCISO (Director de Seguridad de la Información virtual o fraccional). Estos consultores, si bien son recursos escasos, están altamente cualificados para ayudarle a crear procesos y procedimientos repetibles no solo para su MSP, sino también para sus clientes. Tenga en cuenta que Roma no se construyó en un día, ni tampoco su programa de gestión de riesgos. Cuanto antes comience, mayor será la reducción de riesgos que podrá obtener antes de que los hackers ataquen y lo exijan a usted o a uno de sus clientes.

Conclusión:

CyberHoot quiere que todas las empresas aborden la ciberseguridad con una mentalidad preventiva. Sin embargo, también deben prepararse para lo peor. Desarrollen sus planes de gestión de incidentes de ciberseguridad (CIMP) y programen una sesión práctica, conocida como ejercicio de simulación, para resolver los problemas. En un incidente crítico de ciberseguridad, no conviene dejar nada al azar sin un guion. Los requisitos de notificación eventuales revelarán planes bien diseñados o la falta de preparación, lo que fácilmente podría resultar en multas costosas.

¡Asegure su negocio con CyberHoot hoy!

Inscríbase ahora

Fuente:

La SEC propone nuevas normas de divulgación de información sobre ciberseguridad

Hoja informativa completa de la SEC

Lecturas adicionales: 

Informe de la SEC sobre la gestión de riesgos de ciberseguridad al Congreso