SEC telah Memperkukuh Keperluan Pelaporan Keselamatan Siber – Perkara yang Anda Perlu Tahu

7hb November 2023 | Blog

SEC Memperkukuh Peraturan Pendedahan

Bagaimanakah SEC telah mengukuhkan Keperluan Pelaporan Keselamatan Siber dan mengapa ia penting?

SEC telah menggubal peraturan pendedahan keselamatan siber baharu untuk syarikat yang didagangkan secara awam, yang berkuat kuasa pada 15 Disember 2023. Peraturan ini mewajibkan syarikat memberikan butiran komprehensif tentang cara mereka menilai, mengenal pasti dan mengurus risiko keselamatan siber yang penting dalam laporan tahunan mereka (Borang 10-K). Ia memerlukan organisasi untuk menggariskan peranan lembaga dalam menyelia risiko keselamatan siber. Akhir sekali, SEC mewajibkan syarikat melaporkan insiden keselamatan siber yang ketara dalam tempoh empat hari (Borang 8-K).

Peraturan ini mempunyai kesan yang besar terhadap kedua-dua syarikat dan Ketua Pegawai Keselamatan Maklumat (CISO). CISO diberi perhatian, ditugaskan untuk memastikan komunikasi yang jelas dan segera mengenai langkah dan insiden keselamatan siber syarikat mereka. Keterlihatan yang lebih tinggi ini memerlukan CISO untuk memupuk saluran komunikasi yang kukuh dengan eksekutif peringkat atasan dan ahli lembaga. CISO juga mesti menyelaraskan strategi keselamatan siber kepada kedua-dua matlamat perniagaan dan keperluan kawal selia.

Bagi Ketua Pegawai Eksekutif syarikat dan ahli Lembaga Pengarah, peraturan itu mengukuhkan tumpuan mereka pada daya tahan keselamatan siber dalam tadbir urus korporat. Mereka ditugaskan dengan penyertaan aktif dalam dan pengawasan strategi keselamatan siber. Lembaga Pengarah kini bertanggungjawab untuk memastikan bukan sahaja pematuhan tetapi juga keberkesanan program keselamatan siber syarikat mereka. Anjakan ini menekankan peranan tadbir urus korporat yang semakin berkembang dalam mengurus risiko siber. Ia menyerlahkan minat pelabur yang semakin meningkat tentang cara syarikat bersedia untuk mengendalikan dan mengurangkan ancaman siber.

Apa yang Pelabur Mahu dan Perlu Tahu?

Para pelabur semakin bimbang tentang implikasi keselamatan siber terhadap pelaburan mereka. Ini didorong oleh peningkatan bilangan insiden siber berprofil tinggi seperti serangan ransomware dan pelanggaran data. Pelabur mengutamakan keselamatan siber di samping isu-isu kritikal alam sekitar, sosial dan tadbir urus (ESG). Ini tercermin dalam Tinjauan Pelaburan Bertanggungjawab Pengurusan Aset Global RBC . Pelabur mencari data keselamatan siber yang jelas, boleh dipercayai dan boleh diambil tindakan untuk memaklumkan keputusan pelaburan mereka. Mereka memerlukan dan mahukan petunjuk yang jelas tentang daya tahan keselamatan siber tanpa perlu memiliki pengetahuan teknikal yang mendalam dalam bidang ini. Keselamatan siber yang baik bukan sahaja dilihat sebagai faktor pengurangan risiko tetapi juga sebagai petunjuk tadbir urus korporat dan kualiti pengurusan yang mantap. Kualiti ini menjadikan syarikat lebih menarik untuk pelaburan. Alat yang menggabungkan metrik keselamatan siber digunakan untuk menilai kesediaan keselamatan siber syarikat. Oleh itu, Ketua Pegawai Keselamatan Maklumat (CISO) yang terbaik menyedari penilaian pelabur ini. CISO yang berjaya memastikan langkah keselamatan siber organisasi mereka disampaikan dengan berkesan. CISO yang berkesan mengetengahkan trend global seperti ketelusan dan akauntabiliti yang lebih tinggi dalam pelaporan keselamatan siber. Ini membantu menenangkan kebimbangan pelabur dan komuniti pelaburan.

Cara Menyediakan Syarikat saya untuk Keperluan Baharu ini

Peraturan keselamatan siber baharu SEC memerlukan penglibatan kepimpinan kanan. Kepimpinan syarikat mesti terlibat untuk merangka strategi pendedahan keselamatan siber mereka. CISO menyatukan kepimpinan untuk bertemu dan menyemak daya tahan siber atau kesediaan siber di firma mereka. Mesyuarat ini mewujudkan pemahaman kritikal tentang bagaimana peraturan ini memberi kesan kepada syarikat anda dan pihak berkepentingannya. Mesyuarat ini selalunya merangkumi CISO, Penasihat Undang-Undang, Ketua Pegawai Risiko (jika ada), CFO dan ketua Perhubungan Pelabur. Perkara perbincangan utama berkisar tentang siapa yang mengetuai usaha pendedahan dan peranan CISO dalam pelaporan risiko dan insiden. Perbincangan mesti merangka dan mengesahkan strategi kerjasama, komunikasi pelabur dan cara mentakrifkan insiden siber " material " berbanding operasi syarikat yang kini memerlukan pelaporan mengenai 8-K.

Perbincangan ini mesti mewujudkan matriks tanggungjawab yang jelas dalam syarikat anda berkaitan dengan pendedahan keselamatan siber. CISO juga mesti memastikan pendekatan mereka terhadap keselamatan siber disampaikan secara berkesan kepada pelabur, memenuhi jangkaan mereka untuk ketelusan dan pemahaman. Pasukan kepimpinan anda juga mesti mempertimbangkan strategi komunikasi sedia ada syarikat mengenai risiko siber. Mereka mesti menentukan sama ada kaedah baharu, seperti laporan keselamatan siber yang berdiri sendiri (audit pihak ketiga tahunan), diperlukan untuk menyampaikan tadbir urus risiko tersebut dengan jelas. Ini bukan sekadar tentang pematuhan; ia adalah tentang merangka naratif luaran dan dalaman yang bermaklumat dan koheren tentang tadbir urus keselamatan siber. CISO memainkan peranan penting tetapi tidak bersendirian dalam proses ini. Hasil mesyuarat ini akan membentuk postur keselamatan siber syarikat dan hubungan pelabur pada masa hadapan.

Apakah maklumat yang perlu didedahkan dan bagaimana ia perlu dikumpul?

Di bawah keperluan baharu SEC, organisasi mesti mendedahkan pelbagai maklumat yang membantu pelabur memahami proses pengurusan risiko keselamatan siber mereka. Maklumat ini merangkumi strategi keselamatan siber organisasi dan pengurusan risiko pihak ketiga. Rangka kerja yang biasa digunakan untuk penilaian risiko sedemikian ialah Rangka Kerja Keselamatan Siber NIST (NSF). Secara alternatif, sesetengah syarikat menggunakan Piawaian Pengurusan Risiko NIST 800-171 untuk strategi pematuhan mereka. Kemudian, pasukan pengurusan, termasuk CIO, CISO, CEO, CFO dan lembaga mesti mencipta program pelaporan yang menggariskan pencapaian dan pengurangan risiko untuk syarikat terhadap kawalan yang digariskan dalam kaedah penilaian ini.

Di samping itu, syarikat dijangka berkongsi butiran tentang dasar utama, kawalan teknikal, penilaian keselamatan bebas seperti pensijilan SOC 2. Metrik program dilaporkan memperincikan keberkesanan program dan protokol pengurusan insiden. Perlindungan insurans siber disahkan membantu mengurangkan risiko kewangan daripada insiden siber, di samping membantu menentukan kepentingan peristiwa dan isu keselamatan siber.

CISO ditugaskan untuk mengumpulkan data ini melalui semakan dokumen dan perundingan dengan pasukan keselamatan siber dan eksekutif kanan mereka. Memandangkan banyak organisasi mungkin tidak mempunyai akses mudah kepada semua maklumat ini, adalah bermanfaat untuk membentuk pasukan pelbagai fungsi bagi membantu dalam proses pengumpulan maklumat. Anda boleh menggunakan CyberHoot dan merakam metrik untuk setiap pekerja yang menandatangani dasar tadbir urus mereka, melengkapkan tugasan video latihan kesedaran dan melengkapkan simulasi dan ujian pancingan data. Matlamat utama adalah untuk melaporkan kembali kepada Lembaga Pengarah, eksekutif Peringkat C dan " pelabur yang munasabah " suatu naratif yang boleh diakses dan difahami oleh semua.

Apakah yang telah didedahkan oleh syarikat tentang program keselamatan siber mereka?

Walaupun syarikat yang membina program mereka mungkin tertanya-tanya apa yang dilakukan oleh orang lain, adalah penting untuk membina program pematuhan dan pelaporan anda sendiri berdasarkan saiz, kapasiti dan jangkaan pelabur anda sendiri. Terdapat sumber maklumat berpusat yang dikumpul yang mungkin anda semak untuk pembangunan program anda sendiri. Contohnya, pada tahun 2022, analisis oleh Pusat EY untuk Perkara Lembaga Pengarah mengenai pendedahan syarikat Fortune 100 mendedahkan peningkatan ketelusan berikut dalam pengurusan risiko keselamatan siber.

9% syarikat menyebut kesediaan melalui simulasi dan latihan.
18% dalam syarikat yang sejajar dengan rangka kerja keselamatan siber luar (NIST CSF)
28% menggunakan penasihat luar (vCISO contohnya), mencerminkan penglibatan yang semakin meningkat dengan kepakaran pihak ketiga.
39% mendedahkan kekerapan mereka melaporkan perkara keselamatan siber
45% menekankan usaha pendidikan untuk mengurangkan risiko
51%, mengekalkan insurans keselamatan siber
61% menyatakan kepakaran keselamatan siber di lembaga mereka.
Kesediaan tindak balas dirujuk oleh 66% syarikat
68% membincangkan kekerapan pengurusan melaporkan kepada lembaga.
Sebanyak 88% menunjukkan sekurang-kurangnya satu jawatankuasa lembaga bertanggungjawab untuk pengawasan keselamatan siber
95% menumpukan pada keselamatan siber dalam pengawasan risiko mereka.
Hampir semua, 99%, menyebut usaha untuk mengurangkan risiko keselamatan siber melalui proses dan sistem yang ditetapkan.

Walaupun pendedahan yang lalu, peraturan keselamatan siber baharu SEC memerlukan amalan pelaporan yang terperinci dan berpotensi transformatif diterima pakai bermula dengan syarikat yang didagangkan secara terbuka. Walaupun peraturan menyasarkan syarikat tersenarai awam, syarikat swasta dan syarikat kecil lain harus membiasakan diri dengan peraturan baharu ini, dan mula menyediakan dan memantau operasi mereka untuk ketahanan dan kesediaan keselamatan siber mereka sendiri.

Pendedahan Insiden dan Persoalan Kebendaan

Syarikat-syarikat mesti bergelut dengan cabaran untuk menentukan apa yang merupakan insiden keselamatan siber " material " untuk tujuan pendedahan, seperti yang dikehendaki oleh SEC. Insiden material ditakrifkan oleh SEC sebagai " insiden yang akan dianggap penting oleh pelabur yang munasabah yang membuat keputusan pelaburan " . Penentuan ini melangkaui ambang kewangan dan mempertimbangkan data kuantitatif dan kualitatif. Ia termasuk insiden yang mengakibatkan kerosakan reputasi atau kecurian maklumat yang, walaupun tidak boleh diukur dari segi kewangan, mempunyai kesan yang ketara terhadap individu atau syarikat.

SEC mencadangkan bahawa walaupun kesan kewangan biasanya dipertimbangkan, skop dan sifat bahaya juga harus dinilai. Untuk pemahaman menyeluruh tentang potensi impak, syarikat digalakkan untuk melaksanakan pengkuantitian kewangan risiko siber. Analisis ini boleh mendedahkan kelemahan program, keperluan pelaburan, dan strategi pengurangan risiko.

CISO, walaupun biasanya bukan penimbang tara kebendaan, harus terlibat secara mendalam dalam proses penilaian dan dalam merangka strategi pemulihan risiko yang proaktif. Materialiti insiden harus ditentukan kes demi kes melalui penasihat undang-undang, Ketua Pegawai Eksekutif, dan Lembaga Pengarah. Keputusan materialiti perlu mengambil kira keadaan khusus dan potensi implikasi kepada syarikat dan pemegang kepentingannya.

Curveball Lain: Pendedahan Risiko Pihak Ketiga

SEC mewajibkan keperluan pendedahan khusus untuk risiko siber pihak ketiga, mengakui potensi penting mereka untuk memperkenalkan insiden keselamatan siber. Dengan lebih banyak syarikat penyumberan luar kepada vendor untuk kecekapan dan keuntungan kompetitif, risiko daripada kelemahan pihak ketiga dan rantaian bekalan telah meningkat. CISO dinasihatkan untuk mewujudkan strategi risiko siber pihak ketiga yang teguh yang termasuk mengenal pasti dan mengutamakan rakan kongsi pihak ketiga (selalunya berdasarkan kritikal data yang mereka ada atau boleh akses), melaksanakan penilaian siber berasaskan risiko dan pemantauan berterusan entiti ini untuk ancaman baharu. Program menyeluruh adalah penting bagi CISO untuk memastikan pihak berkepentingan pengurusan risiko yang berkesan dan pematuhan kepada keperluan pendedahan SEC.

kesimpulan

Perkembangan ini menyerlahkan kepentingan strategik keselamatan siber dalam tadbir urus korporat dan keperluan untuk kepimpinan bermaklumat dan proaktif dalam pengawasan keselamatan siber. Ia juga menunjukkan arah aliran ke arah ketelusan yang lebih tinggi dalam cara syarikat mengurus dan melaporkan keselamatan siber, dengan penekanan untuk mewujudkan budaya keselamatan yang teguh yang sejajar dengan kepentingan pelabur dan jangkaan kawal selia.