Peraturan Keselamatan Siber Baharu yang Dicadangkan oleh SEC

29hb November 2022 | Blog

Peraturan Baharu yang Dicadangkan oleh SEC

Suruhanjaya Sekuriti dan Bursa AS (SEC) sedang mencadangkan keperluan pendedahan baharu oleh lembaga pengarah syarikat mengenai pengurusan risiko keselamatan siber, strategi, dasar tadbir urus, prosedur dan insiden. Ini akan menjadi pindaan kepada Akta Bursa Sekuriti 1934.

CyberHoot memandang keperluan pendedahan SEC yang dicadangkan ini sebagai tindak balas kepada serangan siber yang semakin biasa terhadap syarikat AS dan global dalam semua saiz. Sama ada peraturan baharu ini, jika diluluskan mencapai objektif yang dinyatakan untuk menggunakan "sistem pelaporan yang direka bentuk dengan betul... untuk membantu industri dalam mewujudkan sistem yang kuat dan tahan serangan" dari semasa ke semasa masih belum dapat dilihat. Apa yang jelas, masa untuk syarikat membuat persediaan adalah sekarang. Wujudkan dan/atau kuatkan pengurusan risiko, dasar dan prosedur anda sebelum peraturan baharu ini jika anda ingin mengelakkan kemungkinan denda akibat daripada melaporkan kegagalan pematuhan.

Garis Masa Pelaporan Pelanggaran

Jika digubal oleh SEC, syarikat akan menjalankan pemasa selepas penemuan pelanggaran. Menurut SEC "melaporkan insiden keselamatan siber dalam masa empat hari, bukan dari kejadian itu, tetapi mengenai penemuan" akan diperlukan. Ini bermakna Proses Pengurusan Insiden Keselamatan Siber anda (CIMP – anda mempunyai satu, bukan?) perlu dikemas kini untuk memasukkan pemberitahuan kepada SEC di bawah peraturan yang belum diwujudkan dalam perundangan yang belum selesai.

Peraturan Cadangan Tambahan:

Cadangan SEC termasuk peraturan pendedahan untuk:

Dasar dan prosedur pendaftar untuk mengenal pasti dan mengurus risiko keselamatan siber dan cara keselamatan siber memainkan strategi perniagaan, perancangan kewangan dan peruntukan modal.
- Analisis CyberHoot: Syarikat memerlukan Program Pengurusan Risiko yang teguh, didokumenkan dan dikemas kini secara berkala.
Peranan pengurusan dalam melaksanakan dasar dan prosedur keselamatan siber.
- Analisis CyberHoot: Syarikat memerlukan polisi dan proses yang diluluskan oleh Pengurusan.
Kepakaran keselamatan siber Lembaga Pengarah, jika ada, dan peranannya dalam menilai dan mengurus risiko keselamatan siber akan diperlukan.
- Analisis CyberHoot: vCISO diperlukan untuk membina program keselamatan siber anda, memaklumkan dan membimbing lembaga pengarah tentang risiko.

Tiada Tuduhan Jenayah, hanya Denda

Walaupun cadangan SEC tidak akan mengenakan caj kepada Lembaga atau pemimpin kanan syarikat dengan Jenayah kerana kegagalan pematuhan, mereka akan mempunyai hak untuk mengenakan denda. Kebenaran yang menyedihkan jenayah siber ialah ia tidak pernah berhenti membebankan syarikat. Terdapat pelbagai kos untuk pelanggaran keselamatan yang mana SEC akan menambah potensi lain - "Bagaimana jika?" kos. Kos pelanggaran termasuk kos harta intelek yang dicuri, kos penyiasatan forensik, kerosakan jenama dan reputasi, pemantauan kredit, peningkatan premium insurans siber, dan kini, denda yang berpotensi untuk ketidakpatuhan terhadap undang-undang pendedahan boleh ditambah kepada campuran.

MSP memainkan peranan penting

Pembekal Perkhidmatan Terurus (MSP) harus duduk dan mengambil perhatian tentang perkara ini. CyberHoot telah menyedari bahawa banyak MSP mempunyai sedikit tempat melalui proses dan prosedur. Itu tidak akan terbang dalam situasi ini. Dapatkan rumah MSP anda sendiri. Bina program keselamatan siber anda menggunakan vCISO (Ketua Pegawai Keselamatan Maklumat maya atau pecahan). Perunding ini, walaupun sumber yang terhad, sangat berkelayakan untuk membantu anda dalam membina proses dan prosedur yang boleh berulang bukan sahaja untuk MSP anda, tetapi juga untuk pelanggan anda. Ketahui bahawa Rom tidak dibina dalam sehari dan begitu juga program pengurusan risiko anda. Lebih cepat anda memulakan pengurangan risiko yang lebih besar yang anda boleh perolehi sebelum penggodam menyerang dan menahan anda, atau salah seorang pelanggan anda, untuk mendapatkan wang tebusan.

Kesimpulan:

CyberHoot mahu setiap syarikat mendekati keselamatan siber dengan minda pencegahan. Walau bagaimanapun, anda juga mesti merancang untuk yang terburuk. Bina rancangan pengurusan insiden keselamatan siber (CIMP) anda dan jadualkan sesi latihan, yang dikenali sebagai latihan Top Table untuk menyelesaikan masalah. Dalam insiden keselamatan siber yang kritikal, anda tidak mahu meninggalkan apa-apa kepada peluang dengan tidak membuat skrip. Keperluan pelaporan akhirnya akan mendedahkan sama ada rancangan yang disusun dengan baik atau mendedahkan kekurangan persediaan yang boleh membawa kepada denda yang mahal.