Nye cybersikkerhetsregler foreslått av SEC

29. november 2022 | Blogg

Nye regler foreslått av SEC

Det amerikanske finanstilsynet (SEC) foreslår nye krav til offentliggjøring fra selskapsstyrer angående risikostyring, strategi, styringspolicyer, prosedyrer og hendelser innen cybersikkerhet. Dette ville være en endring av verdipapirbørsloven av 1934.

CyberHoot ser på disse foreslåtte SECs krav til offentliggjøring som et svar på de stadig vanligere cyberangrepene på amerikanske og globale selskaper av alle størrelser. Hvorvidt disse nye reglene, hvis de blir vedtatt, oppnår det uttalte målet om å bruke «et riktig utformet rapporteringssystem ... for å hjelpe industrien med å etablere sterke, angrepssikre systemer» over tid, gjenstår å se. Det som er klart, er at tiden er inne for selskaper å forberede seg. Etabler og/eller styrk risikostyringen, retningslinjene og prosedyrene dine i forkant av disse nye reglene hvis du vil unngå potensielle bøter som følge av rapportering av manglende samsvar.

Tidslinje for rapportering av brudd

Hvis SEC vedtar dette, vil selskaper ha en timer som går etter at et sikkerhetsbrudd oppdages. Ifølge SEC vil det være påkrevd å «rapportere en cybersikkerhetshendelse innen fire dager, ikke etter hendelsen, men etter oppdagelsen». Dette betyr at prosessen for håndtering av cybersikkerhetshendelser (CIMP – dere har en, ikke sant?) må oppdateres for å inkludere varsling til SEC i henhold til regler som ennå ikke er fastsatt i den pågående lovgivningen.

Ytterligere foreslåtte regler:

SEC-forslaget inkluderer regler for offentliggjøring av:

En registrerts retningslinjer og prosedyrer for å identifisere og håndtere cybersikkerhetsrisikoer og hvordan cybersikkerhet spiller inn i forretningsstrategi, økonomisk planlegging og kapitalallokering.
- CyberHoots analyse: Bedrifter vil trenge et robust, dokumentert og regelmessig oppdatert risikostyringsprogram..
Ledelsens rolle i implementering av retningslinjer og prosedyrer for cybersikkerhet.
- CyberHoots analyse: Bedrifter vil trenge ledelsesgodkjente retningslinjer og prosesser.
Styrenes ekspertise innen cybersikkerhet, hvis noen, og deres rolle i å vurdere og håndtere cybersikkerhetsrisiko vil være nødvendig.
- CyberHoots analyse: En vCISO vil være nødvendig for å bygge opp cybersikkerhetsprogrammet ditt, informere og veilede styret om risikoer.

Ingen strafferettslige anklager, kun bøter

Selv om SECs forslag ikke ville stoppe med å tiltale selskapsstyrer eller toppledere for brudd på regelverket, ville de ha rett til å ilegge bøter. Den triste sannheten om nettkriminalitet er at det aldri slutter å koste selskaper. Det er en mengde kostnader forbundet med et sikkerhetsbrudd, som SEC vil legge til en annen potensiell «Hva om?»-kostnad. Bruddkostnader inkluderer kostnaden for stjålet immateriell eiendom, kostnadene for rettsmedisinske undersøkelser, merkevare- og omdømmeskader, kredittovervåking, økning av nettforsikringspremier, og nå kan potensielt bøter for manglende overholdelse av offentlighetslover bli lagt til.

MSP-er spiller en betydelig rolle

Managed Service Providers (MSP-er) bør være oppmerksomme på dette. CyberHoot har lagt merke til at mange MSP-er har svært lite på plass når det gjelder prosesser og prosedyrer. Det vil ikke fungere i disse situasjonene. Få orden på ditt eget MSP-hus. Bygg ditt cybersikkerhetsprogram ved hjelp av en vCISO (virtuell eller fraksjonell Chief Information Security Officer). Disse konsulentene, selv om de har knappe ressurser, er høyt kvalifiserte til å hjelpe deg med å bygge repeterbare prosesser og prosedyrer, ikke bare for din MSP, men også for dine kunder. Vit at Roma ikke ble bygget på én dag, og det er heller ikke risikostyringsprogrammet ditt. Jo før du starter, desto større risikoreduksjon kan du oppnå før hackere slår til og krever deg, eller en av dine kunder, for løsepenger.

Konklusjon:

CyberHoot ønsker at alle selskaper skal tilnærme seg cybersikkerhet med en forebyggende tankegang. Du må imidlertid også planlegge for det verste. Lag dine egne planer for håndtering av cybersikkerhetshendelser (CIMP) og planlegg en øving, kjent som en bordøvelse, for å finne ut av problemene. I en kritisk cybersikkerhetshendelse ønsker du ikke å overlate noe til tilfeldighetene ved å ikke ha det skrevet i manus. De endelige rapporteringskravene vil avdekke enten velutviklede planer eller manglende forberedelser, noe som lett kan føre til kostbare bøter.