SEC предложила новые правила кибербезопасности

Комиссия по ценным бумагам и биржам США (SEC) предлагает ввести новые требования к раскрытию информации советами директоров компаний в отношении управления рисками кибербезопасности, стратегии, политики корпоративного управления, процедур и инцидентов. Это будет поправка к Закону о ценных бумагах и биржах 1934 года.

CyberHoot рассматривает предлагаемые SEC требования к раскрытию информации как ответ на участившиеся кибератаки на американские и международные компании всех размеров. Пока неясно, достигнут ли эти новые правила своей заявленной цели — использования «надлежащим образом разработанной системы отчётности… для содействия отрасли в создании надёжных, устойчивых к атакам систем» в долгосрочной перспективе. Очевидно, что компаниям пора готовиться к этому уже сейчас. Разработайте и/или укрепите свои системы управления рисками, политики и процедуры до вступления в силу этих новых правил, если хотите избежать возможных штрафов за несоблюдение требований к отчётности.

Хронология сообщений о нарушениях

Если SEC примет этот закон, компании будут использовать таймер, отсчитывающий время после обнаружения нарушения. Согласно SEC, будет необходимо «сообщать об инциденте кибербезопасности в течение четырёх дней не с момента инцидента, а с момента обнаружения». Это означает, что ваш процесс управления инцидентами кибербезопасности (CIMP — у вас же он есть, верно?) потребуется обновить, включив в него уведомление SEC в соответствии с правилами, которые ещё не установлены в готовящемся законодательстве.

Дополнительные предлагаемые правила:

Предложение SEC включает правила раскрытия информации о:

• Политики и процедуры регистранта по выявлению и управлению рисками кибербезопасности, а также роль кибербезопасности в бизнес-стратегии, финансовом планировании и распределении капитала.
  • Анализ CyberHoot: Компаниям потребуется надежная, документированная и регулярно обновляемая программа управления рисками..
• Роль руководства в реализации политик и процедур кибербезопасности.
  • Анализ CyberHoot: Компаниям потребуются политики и процессы, одобренные руководством..
• Потребуется экспертиза в области кибербезопасности со стороны Совета директоров, если таковая имеется, и ее роль в оценке и управлении рисками кибербезопасности.
  • Анализ CyberHoot: Виртуальный руководитель информационной безопасности (vCISO) понадобится вам для разработки программы кибербезопасности, информирования и консультирования совета директоров по вопросам рисков.

Никаких уголовных обвинений, только штрафы

Хотя предложение Комиссии по ценным бумагам и биржам США (SEC) не предусматривает предъявления обвинений советам директоров компаний или высшему руководству компаний за несоблюдение требований, они сохранят за собой право налагать штрафы. Печальная правда киберпреступности заключается в том, что она постоянно обходится компаниям дорого. Нарушение безопасности влечет за собой множество расходов, к которым SEC добавит еще один потенциальный – «Что, если?». Расходы, связанные с нарушением безопасности, включают в себя стоимость кражи интеллектуальной собственности, расходы на криминалистические экспертизы, ущерб репутации и бренду, кредитный мониторинг, увеличение страховых взносов за киберстрахование, а теперь к этому могут добавиться и штрафы за несоблюдение законов о раскрытии информации.

МСП играют важную роль

Поставщикам управляемых услуг (MSP) стоит обратить на это внимание. CyberHoot заметил, что у многих MSP очень мало процессов и процедур. В подобных ситуациях это не сработает. Наведите порядок в своей системе MSP. Создайте программу кибербезопасности, используя vCISO (виртуального или частичного директора по информационной безопасности). Эти консультанты, несмотря на ограниченность ресурсов, обладают высокой квалификацией, которая поможет вам разработать повторяемые процессы и процедуры не только для вашего MSP, но и для ваших клиентов. Помните, что Рим не строился за один день, как и ваша программа управления рисками. Чем раньше вы начнете, тем большего снижения рисков сможете добиться, прежде чем хакеры нанесут удар и потребуют выкуп у вас или у одного из ваших клиентов.

Вывод:

CyberHoot хочет, чтобы каждая компания подходила к кибербезопасности с позиции профилактики. Однако необходимо также готовиться к худшему. Разработайте планы управления инцидентами кибербезопасности (CIMP) и запланируйте практическое занятие, известное как настольное учение, чтобы отработать все тонкости. В случае критического инцидента кибербезопасности не стоит полагаться на случай, не имея четкого сценария. Требования к отчетности в конечном итоге либо выявят хорошо продуманные планы, либо недостаточную подготовку, что может легко привести к крупным штрафам.

Защитите свой бизнес с CyberHoot сегодня!!!

Подписаться

Источник:

Комиссия по ценным бумагам и биржам (SEC) предлагает новые правила раскрытия информации о кибербезопасности

Полный информационный бюллетень SEC

Дополнительная литература: 

Отчет SEC по управлению рисками кибербезопасности для Конгресса