Nuove regole sulla sicurezza informatica proposte dalla SEC

La Securities and Exchange Commission (SEC) statunitense sta proponendo nuovi obblighi di informativa per i consigli di amministrazione delle società in merito alla gestione del rischio informatico, alla strategia, alle politiche di governance, alle procedure e agli incidenti. Si tratterebbe di un emendamento al Securities Exchange Act del 1934.

CyberHoot ritiene che questi requisiti di informativa proposti dalla SEC siano una risposta ai sempre più comuni attacchi informatici contro aziende statunitensi e globali di tutte le dimensioni. Resta da vedere se queste nuove regole, se approvate, raggiungeranno nel tempo l'obiettivo dichiarato di utilizzare "un sistema di reporting adeguatamente progettato... per aiutare il settore a stabilire sistemi solidi e resistenti agli attacchi". Ciò che è chiaro è che è giunto il momento per le aziende di prepararsi. È necessario stabilire e/o rafforzare la gestione del rischio, le policy e le procedure prima di queste nuove regole se si desidera evitare potenziali sanzioni derivanti da inadempienze nella segnalazione delle violazioni.

Cronologia della segnalazione delle violazioni

Se emanato dalla SEC, le aziende avranno un timer che decorrerà dopo la scoperta di una violazione. Secondo la SEC, sarà obbligatorio "segnalare un incidente di sicurezza informatica entro quattro giorni, non dall'incidente, ma dalla scoperta". Ciò significa che il vostro Cybersecurity Incident Management Process (CIMP – ne avete uno, vero?) dovrà essere aggiornato per includere la notifica alla SEC, secondo le norme ancora da definire nella legislazione in sospeso.

Ulteriori regole proposte:

La proposta della SEC include regole di informativa per:

• Le politiche e le procedure dei registranti servono a identificare e gestire i rischi per la sicurezza informatica e a stabilire il ruolo della sicurezza informatica nella strategia aziendale, nella pianificazione finanziaria e nell'allocazione dei capitali.
  • Analisi di CyberHoot: Le aziende avranno bisogno di un programma di gestione del rischio solido, documentato e regolarmente aggiornato.
• Il ruolo del management nell'implementazione di politiche e procedure di sicurezza informatica.
  • Analisi di CyberHoot: Le aziende avranno bisogno di politiche e processi approvati dalla direzione.
• Saranno richieste, se presenti, competenze in materia di sicurezza informatica da parte dei consigli di amministrazione e il loro ruolo nella valutazione e gestione del rischio per la sicurezza informatica.
  • Analisi di CyberHoot: Sarà necessario un vCISO per sviluppare il tuo programma di sicurezza informatica, informare e guidare il consiglio di amministrazione sui rischi.

Nessuna accusa penale, solo multe

Sebbene la proposta della SEC non incrimini i consigli di amministrazione o i dirigenti aziendali per reati in caso di inadempienza, questi ultimi avrebbero il diritto di imporre sanzioni. La triste verità della criminalità informatica è che non smette mai di avere costi per le aziende. Una violazione della sicurezza comporta una miriade di costi, a cui la SEC aggiungerà un ulteriore potenziale costo, un "cosa succederebbe se...". I costi della violazione includono il costo della proprietà intellettuale rubata, il costo delle indagini forensi, i danni all'immagine e alla reputazione, il monitoraggio del credito, l'aumento dei premi assicurativi informatici e, ora, potrebbero aggiungersi al mix anche le sanzioni per il mancato rispetto delle leggi sulla trasparenza.

Gli MSP svolgono un ruolo significativo

I Managed Service Provider (MSP) dovrebbero prestare attenzione a questo aspetto. CyberHoot ha notato che molti MSP dispongono di pochissimi processi e procedure. Questo non è un buon metodo in queste situazioni. Mettete ordine nel vostro MSP. Create il vostro programma di sicurezza informatica utilizzando un vCISO (Chief Information Security Officer virtuale o frazionario). Questi consulenti, pur disponendo di risorse limitate, sono altamente qualificati per assistervi nella creazione di processi e procedure ripetibili non solo per il vostro MSP, ma anche per i vostri clienti. Sappiate che Roma non fu costruita in un giorno, e nemmeno il vostro programma di gestione del rischio lo è. Prima iniziate, maggiore sarà la riduzione del rischio che otterrete prima che gli hacker colpiscano e chiedano un riscatto a voi o a uno dei vostri clienti.

Conclusione:

CyberHoot desidera che ogni azienda affronti la sicurezza informatica con un approccio preventivo. Tuttavia, è necessario anche prepararsi al peggio. Create piani di gestione degli incidenti di sicurezza informatica (CIMP) e pianificate una sessione pratica, nota come "esercitazione da tavolo", per risolvere i problemi. In caso di un incidente di sicurezza informatica critico, non si vuole lasciare nulla al caso senza un piano prestabilito. Gli eventuali obblighi di reporting metteranno a nudo piani ben strutturati o lacune nella preparazione, il che potrebbe facilmente portare a sanzioni costose.

Proteggi il tuo business con CyberHoot oggi stesso!!!

Iscriviti ora

Fonte:

La SEC propone nuove regole sulla divulgazione della sicurezza informatica

Scheda informativa completa della SEC

Letture aggiuntive: 

Rapporto della SEC sulla gestione dei rischi per la sicurezza informatica al Congresso