Nieuwe cybersecurityregels voorgesteld door SEC

29 november 2022 | Blog

Nieuwe regels voorgesteld door SEC

De Amerikaanse Securities and Exchange Commission (SEC) stelt nieuwe openbaarmakingsvereisten voor bedrijven voor met betrekking tot cybersecurityrisicobeheer, -strategie, -bestuursbeleid, -procedures en -incidenten. Dit zou een wijziging zijn van de Securities Exchange Act van 1934.

CyberHoot beschouwt deze voorgestelde openbaarmakingsvereisten van de SEC als een reactie op de steeds vaker voorkomende cyberaanvallen op Amerikaanse en wereldwijde bedrijven van elke omvang. Of deze nieuwe regels, indien aangenomen, hun beoogde doel bereiken, namelijk "een goed ontworpen rapportagesysteem... om de industrie te helpen bij het opzetten van sterke, aanvalsbestendige systemen", valt nog te bezien. Wat wel duidelijk is, is dat het nu tijd is voor bedrijven om zich voor te bereiden. Stel uw risicomanagement, beleid en procedures vast en/of versterk ze vóór de invoering van deze nieuwe regels als u mogelijke boetes als gevolg van het niet naleven van de rapportageverplichtingen wilt voorkomen.

Tijdlijn voor het melden van inbreuken

Indien de SEC dit invoert, zal er een timer lopen na de ontdekking van een inbreuk. Volgens de SEC is het verplicht om "een cybersecurityincident binnen vier dagen te melden, niet na het incident zelf, maar na de ontdekking". Dit betekent dat uw Cybersecurity Incident Management Process (CIMP – u hebt er toch al een?) moet worden bijgewerkt met een melding aan de SEC, conform de regels die nog moeten worden vastgesteld in de aanstaande wetgeving.

Aanvullende voorgestelde regels:

Het voorstel van de SEC omvat openbaarmakingsregels voor:

Het beleid en de procedures van een geregistreerde om cyberbeveiligingsrisico's te identificeren en beheren en hoe cyberbeveiliging een rol speelt in de bedrijfsstrategie, financiële planning en kapitaalallocatie.
- Analyse van CyberHoot: Bedrijven hebben een robuust, gedocumenteerd en regelmatig bijgewerkt risicomanagementprogramma nodig.
De rol van het management bij de implementatie van cyberbeveiligingsbeleid en -procedures.
- Analyse van CyberHoot: Bedrijven hebben door het management goedgekeurde beleidslijnen en processen nodig.
Er is expertise op het gebied van cyberbeveiliging vereist bij raden van bestuur (indien aanwezig) en de rol die zij spelen bij het beoordelen en beheren van cyberbeveiligingsrisico's.
- Analyse van CyberHoot: Een vCISO is nodig om uw cybersecurityprogramma op te zetten en de raad van bestuur te informeren en begeleiden over risico's.

Geen strafrechtelijke aanklachten, alleen boetes

Hoewel het voorstel van de SEC niet zou inhouden dat raden van bestuur of senior managers van bedrijven worden aangeklaagd voor misdrijven bij het niet naleven van de regels, zouden ze wel het recht hebben om boetes op te leggen. De trieste waarheid van cybercriminaliteit is dat het bedrijven voortdurend geld kost. Er zijn talloze kosten verbonden aan een beveiligingsinbreuk, waaraan de SEC nog een potentiële "Wat als?"-kost toevoegt. De kosten van een inbreuk omvatten onder meer de kosten van gestolen intellectueel eigendom, de kosten van forensisch onderzoek, merk- en reputatieschade, kredietbewaking, verhoogde cyberverzekeringspremies en nu zouden daar mogelijk ook boetes voor het niet naleven van de openbaarmakingswetgeving aan kunnen worden toegevoegd.

MSP's spelen een belangrijke rol

Managed Service Providers (MSP's) zouden hier aandacht aan moeten besteden. CyberHoot heeft gemerkt dat veel MSP's nauwelijks processen en procedures hebben. Dat is in deze situaties niet haalbaar. Breng uw eigen MSP-huis op orde. Bouw uw cybersecurityprogramma met behulp van een vCISO (virtuele of fractionele Chief Information Security Officer). Deze consultants, hoewel schaars in aantal, zijn hooggekwalificeerd om u te helpen bij het ontwikkelen van herhaalbare processen en procedures, niet alleen voor uw MSP, maar ook voor uw klanten. Weet dat Rome niet in één dag is gebouwd en uw risicomanagementprogramma evenmin. Hoe eerder u begint, hoe groter de risicobeperking die u kunt bereiken voordat hackers toeslaan en u of een van uw klanten gijzelen.

Conclusie:

CyberHoot wil dat elk bedrijf cybersecurity benadert met een preventieve mindset. U moet zich echter ook voorbereiden op het ergste. Stel uw plannen voor cybersecurity incident management (CIMP) op en plan een oefensessie, een zogenaamde Table-Top oefening, om de problemen op te lossen. Bij een kritiek cybersecurity incident wilt u niets aan het toeval overlaten door het niet te laten vastleggen. De uiteindelijke rapportage-eisen zullen ofwel goed uitgewerkte plannen blootleggen, ofwel een gebrek aan voorbereiding, wat gemakkelijk kan leiden tot kostbare boetes.