미국 증권거래위원회(SEC) 는 기업 이사회가 사이버 보안 위험 관리, 전략, 지배구조 정책, 절차 및 사건과 관련하여 새로운 공시 의무를 이행하도록 하는 방안을 제안하고 있습니다. 이는 1934년 증권거래법을 개정하는 것입니다.
CyberHoot은 SEC가 제안한 이번 정보 공개 요건을 규모에 관계없이 모든 미국 및 글로벌 기업을 대상으로 하는 사이버 공격이 점차 빈번해지는 데 대한 대응책으로 보고 있습니다. 이 새로운 규칙이 통과될 경우, "업계의 강력하고 공격에 강한 시스템을 구축하는 데 도움이 되는 적절하게 설계된 보고 시스템을 활용한다"는 당초 목표가 달성될지는 아직 불확실합니다. 분명한 것은 기업들이 지금 바로 준비해야 할 때라는 것입니다. 보고 규정 위반으로 인한 벌금 부과를 피하려면 새로운 규칙 시행 전에 위험 관리, 정책 및 절차를 수립 및/또는 강화해야 합니다.
SEC가 이 법안을 시행하면, 기업들은 침해 발견 후 타이머를 작동시켜야 합니다. SEC에 따르면, "사이버보안 사고는 사고 발생 후가 아니라 발견 후 4일 이내에 보고해야 합니다." 즉, 사이버보안 사고 관리 프로세스(CIMP, 혹시 가지고 계신가요?)는 계류 중인 법안에 아직 규정되지 않은 규칙에 따라 SEC에 통보하는 내용을 포함하도록 업데이트해야 합니다.
SEC 제안에는 다음에 대한 공개 규칙이 포함되어 있습니다.
SEC의 제안은 기업 이사회나 고위 경영진에게 규정 준수 위반에 대한 형사 처벌을 부과하는 데 그치지 않지만, 벌금을 부과할 권리는 부여합니다. 사이버 범죄의 안타까운 진실은 기업에 끊임없이 비용을 발생시킨다는 것입니다. 보안 침해로 인해 발생하는 수많은 비용에 SEC는 또 다른 잠재적 비용, 즉 "만약" 비용을 추가하려 합니다. 침해 비용에는 지적 재산권 침해 비용, 포렌식 조사 비용, 브랜드 및 평판 손상 비용, 신용 감시 비용, 사이버 보험료 인상 비용, 그리고 이제는 정보공개법 위반에 대한 벌금까지 포함될 가능성이 있습니다.
관리 서비스 제공업체(MSP)는 이 점을 명심해야 합니다. CyberHoot은 많은 MSP가 제대로 된 프로세스와 절차를 갖추지 못했다는 점을 발견했습니다. 이러한 상황에서는 이러한 관행이 통하지 않습니다. 자체 MSP 시스템을 정비하고, vCISO(가상 또는 부분 최고정보보안책임자)를 활용하여 사이버 보안 프로그램을 구축하십시오. 이러한 컨설턴트는 부족한 자원이지만, MSP뿐만 아니라 고객을 위해 반복 가능한 프로세스와 절차를 구축하는 데 도움을 줄 수 있는 자격을 갖추고 있습니다. 로마는 하루아침에 건설되지 않았듯이 위험 관리 프로그램도 마찬가지입니다. 일찍 시작할수록 해커의 공격을 받아 자신이나 고객이 몸값을 요구하기 전에 위험을 더 많이 줄일 수 있습니다.
CyberHoot은 모든 기업이 예방적 사고를 바탕으로 사이버 보안에 접근하기를 바랍니다. 하지만 최악의 상황에 대비해야 합니다. 사이버 보안 사고 관리 계획(CIMP)을 수립하고, 테이블탑 연습(Table-Top Exercise)이라고 불리는 연습 세션을 예약하여 문제점을 해결하십시오. 중대한 사이버 보안 사고 발생 시, 스크립트 없이 모든 것을 운에 맡기는 것은 바람직하지 않습니다. 최종 보고 요건은 잘 짜인 계획의 허점을 드러내거나, 준비 부족을 드러낼 수 있으며, 이는 쉽게 고액의 벌금으로 이어질 수 있습니다.
출처:
추가 독서 과제 :
최신 사이버 보안 동향, 팁, 모범 사례를 알아보고 공유하세요. 또한 주의해야 할 새로운 위협도 알려드립니다.
저자: 케이티 보케티 | 편집: 크레이그 테일러 크레이그 테일러 편집글: 우리는 이미 오래전부터 알고 있었죠...
더보기
저자: Katie Boquetti | 편집: Craig Taylor Craig Taylor의 편집: CAPTCHA는 다음 사항을 테스트해야 합니다...
더보기
저자: 케이티 보케티 | 편집: 크레이그 테일러 크레이그 테일러의 편집글: 저는 다음과 같은 축복을 받았습니다...
더보기
