Nouvelles règles de cybersécurité proposées par la SEC

La Securities and Exchange Commission (SEC) américaine propose de nouvelles obligations de transparence pour les conseils d'administration des entreprises concernant la gestion des risques, la stratégie, les politiques et procédures de gouvernance en matière de cybersécurité, ainsi que les incidents survenus. Il s'agirait d'un amendement à la loi de 1934 sur les opérations de bourse.

CyberHoot considère ces exigences de divulgation proposées par la SEC comme une réponse aux cyberattaques de plus en plus fréquentes visant les entreprises américaines et internationales de toutes tailles. Il reste à voir si ces nouvelles règles, si elles sont adoptées, atteindront leur objectif affiché de recourir à « un système de reporting bien conçu… pour aider le secteur à mettre en place des systèmes robustes et résistants aux attaques » au fil du temps. Il est clair que les entreprises doivent se préparer dès maintenant. Établissez et/ou renforcez vos politiques et procédures de gestion des risques en amont de ces nouvelles règles si vous souhaitez éviter d'éventuelles amendes pour manquement à la conformité en matière de reporting.

Chronologie des signalements de violations

Si la SEC adopte cette mesure, les entreprises auront un délai de notification après la découverte d'une violation. Selon la SEC, « le signalement d'un incident de cybersécurité dans les quatre jours, non pas à compter de l'incident, mais de sa découverte » sera obligatoire. Cela signifie que votre processus de gestion des incidents de cybersécurité (CIMP – vous en avez un, n'est-ce pas ?) devra être mis à jour pour inclure la notification à la SEC, conformément aux règles qui restent à établir dans la législation en cours.

Règles supplémentaires proposées :

La proposition de la SEC comprend des règles de divulgation pour :

• Les politiques et procédures d’un déclarant visent à identifier et à gérer les risques de cybersécurité et la manière dont la cybersécurité joue un rôle dans la stratégie commerciale, la planification financière et l’allocation du capital.
  • Analyse de CyberHoot : Les entreprises auront besoin d’un programme de gestion des risques solide, documenté et régulièrement mis à jour.
• Rôle de la direction dans la mise en œuvre des politiques et procédures de cybersécurité.
  • Analyse de CyberHoot : Les entreprises auront besoin de politiques et de processus approuvés par la direction.
• L’expertise des conseils d’administration en matière de cybersécurité, le cas échéant, et leur rôle dans l’évaluation et la gestion des risques de cybersécurité seront requis.
  • Analyse de CyberHoot : Un vCISO sera nécessaire pour construire votre programme de cybersécurité, informer et guider le conseil d'administration sur les risques.

Aucune accusation criminelle, seulement des amendes

Bien que la proposition de la SEC n'aille pas jusqu'à engager des poursuites contre les conseils d'administration ou les dirigeants d'entreprise pour manquement à la conformité, ceux-ci seraient habilités à infliger des amendes. La triste réalité de la cybercriminalité est qu'elle coûte toujours cher aux entreprises. Une faille de sécurité engendre une multitude de coûts, auxquels la SEC va ajouter un autre potentiel : le coût hypothétique. Les coûts d'une faille incluent le vol de propriété intellectuelle, les coûts des enquêtes forensiques, les atteintes à la marque et à la réputation, la surveillance du crédit, l'augmentation des primes d'assurance cyber, et désormais, les amendes potentielles pour non-respect des lois sur la divulgation d'informations.

Les MSP jouent un rôle important

Les fournisseurs de services gérés (MSP) devraient en prendre note. CyberHoot a constaté que beaucoup d'entre eux ont très peu de processus et de procédures en place. Cela ne fonctionnera pas dans ces situations. Mettez de l'ordre dans votre propre organisation. Élaborez votre programme de cybersécurité avec un vCISO (Directeur de la sécurité des systèmes d'information virtuel ou fractionné). Ces consultants, bien que rares, sont hautement qualifiés pour vous aider à mettre en place des processus et des procédures reproductibles, non seulement pour votre MSP, mais aussi pour vos clients. Sachez que Rome ne s'est pas faite en un jour, et votre programme de gestion des risques non plus. Plus tôt vous commencerez, plus vous réduirez les risques avant que des pirates ne vous attaquent et ne vous prennent en otage, vous ou l'un de vos clients.

Conclusion:

CyberHoot souhaite que chaque entreprise aborde la cybersécurité avec une approche préventive. Cependant, il est essentiel de se préparer au pire. Élaborez vos plans de gestion des incidents de cybersécurité (CIMP) et planifiez une séance d'entraînement, appelée exercice sur table, pour identifier les points faibles. En cas d'incident critique de cybersécurité, il est important de ne rien laisser au hasard en n'ayant pas de script. Les exigences de reporting révéleront soit des plans bien conçus, soit un manque de préparation, ce qui pourrait facilement entraîner des amendes coûteuses.

Sécurisez votre entreprise avec CyberHoot dès aujourd'hui !!!

S'inscrire maintenant

Source:

La SEC propose de nouvelles règles de divulgation en matière de cybersécurité

Fiche d'information complète de la SEC

Lectures complémentaires: 

Rapport de la SEC sur la gestion des risques de cybersécurité au Congrès