Novas regras de segurança cibernética propostas pela SEC

A Comissão de Valores Mobiliários dos EUA (SEC) está propondo novas exigências de divulgação por parte dos conselhos de administração das empresas em relação à gestão de riscos de segurança cibernética, estratégia, políticas de governança, procedimentos e incidentes. Isso representaria uma alteração na Lei de Valores Mobiliários de 1934.

A CyberHoot considera que as exigências de divulgação propostas pela SEC são uma resposta aos ataques cibernéticos cada vez mais comuns contra empresas americanas e globais de todos os portes. Resta saber se essas novas regras, caso aprovadas, atingirão seu objetivo declarado de usar "um sistema de relatórios adequadamente projetado... para auxiliar a indústria a estabelecer sistemas robustos e resistentes a ataques" ao longo do tempo. O que está claro é que o momento para as empresas se prepararem é agora. Estabeleça e/ou fortaleça sua gestão de riscos, políticas e procedimentos antes dessas novas regras se quiser evitar potenciais multas resultantes de falhas na conformidade de relatórios.

Cronograma de relatórios de violação

Se promulgado pela SEC, as empresas terão um cronômetro em execução após a descoberta de uma violação. De acordo com a SEC, será necessário "relatar um incidente de segurança cibernética dentro de quatro dias, não do incidente, mas da descoberta". Isso significa que seu Processo de Gerenciamento de Incidentes de Segurança Cibernética (CIMP – você tem um, certo?) precisará ser atualizado para incluir a notificação à SEC de acordo com regras ainda a serem estabelecidas na legislação pendente.

Regras adicionais propostas:

A proposta da SEC inclui regras de divulgação para:

• Políticas e procedimentos de registrantes para identificar e gerenciar riscos de segurança cibernética e como a segurança cibernética influencia a estratégia de negócios, o planejamento financeiro e a alocação de capital.
  • Análise da CyberHoot: As empresas precisarão de um Programa de Gestão de Riscos robusto, documentado e atualizado regularmente.
• Papel da gerência na implementação de políticas e procedimentos de segurança cibernética.
  • Análise da CyberHoot: As empresas precisarão de políticas e processos aprovados pela Administração.
• Será necessária a experiência dos conselhos de administração em segurança cibernética, se houver, e seu papel na avaliação e gestão de riscos de segurança cibernética.
  • Análise da CyberHoot: Um vCISO será necessário para criar seu programa de segurança cibernética, informar e orientar o conselho de administração sobre os riscos.

Sem acusações criminais, apenas multas

Embora a proposta da SEC não imputasse crimes aos conselhos de administração ou à alta administração das empresas por falhas de conformidade, eles teriam o direito de aplicar multas. A triste verdade sobre o crime cibernético é que ele nunca para de custar às empresas. Há uma miríade de custos associados a uma violação de segurança, aos quais a SEC adicionará outro potencial – o custo do "E se?". Os custos da violação incluem o custo da propriedade intelectual roubada, o custo de investigações forenses, danos à marca e à reputação, monitoramento de crédito, aumentos nos prêmios de seguro cibernético e, agora, multas por descumprimento das leis de divulgação podem ser adicionadas à equação.

Os MSPs desempenham um papel significativo

Provedores de Serviços Gerenciados (MSPs) devem ficar atentos a isso. A CyberHoot notou que muitos MSPs têm muito pouco em termos de processos e procedimentos. Isso não funcionará nessas situações. Organize seu próprio MSP. Crie seu programa de segurança cibernética usando um vCISO (Diretor de Segurança da Informação virtual ou fracionário). Esses consultores, embora sejam recursos escassos, são altamente qualificados para ajudá-lo a construir processos e procedimentos repetíveis não apenas para o seu MSP, mas também para seus clientes. Saiba que Roma não foi construída em um dia, assim como seu programa de gerenciamento de riscos. Quanto mais cedo você começar, maior será a redução de riscos antes que hackers ataquem e mantenham você, ou um de seus clientes, em busca de resgate.

Conclusão:

A CyberHoot quer que todas as empresas abordem a segurança cibernética com uma mentalidade preventiva. No entanto, você também deve se preparar para o pior. Elabore seus planos de gerenciamento de incidentes de segurança cibernética (CIMP) e agende uma sessão prática, conhecida como exercício de mesa, para resolver os problemas. Em um incidente crítico de segurança cibernética, você não quer deixar nada ao acaso sem um roteiro definido. Os eventuais requisitos de relatórios revelarão planos bem elaborados ou a falta de preparação, o que pode facilmente levar a multas caras.

Proteja seu negócio com a CyberHoot hoje mesmo!!!

Inscreva-se para assistir

Fonte:

SEC propõe novas regras de divulgação de segurança cibernética

Ficha informativa completa da SEC

Leitura Adicional: 

Relatório de Gestão de Riscos de Segurança Cibernética da SEC para o Congresso