Nové pravidlá kybernetickej bezpečnosti navrhnuté Komisiou pre cenné papiere a burzy (SEC)

Americká Komisia pre cenné papiere a burzy (SEC) navrhuje nové požiadavky na zverejňovanie informácií zo strany predstavenstva spoločností, pokiaľ ide o riadenie kybernetických rizík, stratégiu, politiky riadenia, postupy a incidenty. Išlo by o zmenu zákona o burzách cenných papierov z roku 1934.

Spoločnosť CyberHoot vníma tieto navrhované požiadavky SEC na zverejňovanie informácií ako reakciu na čoraz častejšie kybernetické útoky na americké a globálne spoločnosti všetkých veľkostí. Či tieto nové pravidlá, ak budú schválené, splnia svoj deklarovaný cieľ, ktorým je používanie „správne navrhnutého systému podávania správ... na pomoc odvetviu pri vytváraní silných systémov odolných voči útokom“, sa ešte len uvidí. Jasné je, že čas na prípravu pre spoločnosti je teraz. Ak sa chcete vyhnúť potenciálnym pokutám vyplývajúcim z nahlasovania nedostatkov v súlade s predpismi, zaveďte a/alebo posilnite svoje riadenie rizík, politiky a postupy ešte pred prijatím týchto nových pravidiel.

Harmonogram hlásenia porušení

Ak SEC prijme tento zákon, spoločnosti budú mať po odhalení narušenia spustený časovač. Podľa SEC bude potrebné „nahlásiť kybernetický incident do štyroch dní, nie od incidentu, ale od jeho odhalenia“. To znamená, že váš proces riadenia kybernetických incidentov (CIMP – máte ho, však?) bude potrebné aktualizovať tak, aby zahŕňal oznamovanie SEC podľa pravidiel, ktoré ešte len budú stanovené v pripravovanej legislatíve.

Ďalšie navrhované pravidlá:

Návrh SEC zahŕňa pravidlá zverejňovania informácií pre:

• Politiky a postupy registrujúceho na identifikáciu a riadenie kybernetických bezpečnostných rizík a to, ako kybernetická bezpečnosť zohráva úlohu v obchodnej stratégii, finančnom plánovaní a alokácii kapitálu.
  • Analýza spoločnosti CyberHoot: Spoločnosti budú potrebovať robustný, zdokumentovaný a pravidelne aktualizovaný program riadenia rizík..
• Úloha manažmentu pri implementácii politík a postupov kybernetickej bezpečnosti.
  • Analýza spoločnosti CyberHoot: Spoločnosti budú potrebovať politiky a procesy schválené vedením.
• Budú sa vyžadovať odborné znalosti predstavenstva v oblasti kybernetickej bezpečnosti, ak nejaké existujú, a jeho úloha pri posudzovaní a riadení kybernetických bezpečnostných rizík.
  • Analýza spoločnosti CyberHoot: Na vybudovanie vášho programu kybernetickej bezpečnosti, informovanie a usmerňovanie predstavenstva v súvislosti s rizikami bude potrebný vCISO.

Žiadne trestné obvinenia, iba pokuty

Hoci návrh SEC by sa vyhol obvineniam predstavenstva spoločností alebo vrcholového manažmentu z trestných činov za nedodržiavanie predpisov, mali by právo ukladať pokuty. Smutnou pravdou o kybernetickej kriminalite je, že spoločnosti nikdy neprestávajú nič stáť. Narušenie bezpečnosti je spojené s nespočetným množstvom nákladov, ku ktorým SEC pridá ďalšie potenciálne náklady – náklady typu „Čo keby?“. Náklady na narušenie zahŕňajú náklady na ukradnuté duševné vlastníctvo, náklady na forenzné vyšetrovania, škody na značke a reputácii, monitorovanie úverovej histórie, zvyšovanie poistného za kybernetické poistenie a teraz by sa k tomu mohli pridať aj potenciálne pokuty za nedodržiavanie zákonov o zverejňovaní informácií.

MSP zohrávajú významnú úlohu

Poskytovatelia spravovaných služieb (MSP) by si to mali všimnúť. CyberHoot si všimol, že mnohí poskytovatelia spravovaných služieb majú veľmi málo zavedených procesov a postupov. V takýchto situáciách to nebude fungovať. Dajte si do poriadku vlastných poskytovateľov spravovaných služieb. Vybudujte si program kybernetickej bezpečnosti pomocou vCISO (virtuálneho alebo čiastočného riaditeľa informačnej bezpečnosti). Títo konzultanti, hoci sú vzácni, sú vysoko kvalifikovaní, aby vám pomohli vybudovať opakovateľné procesy a postupy nielen pre vášho poskytovateľa spravovaných služieb, ale aj pre vašich klientov. Uvedomte si, že Rím nebol postavený za jeden deň a ani váš program riadenia rizík. Čím skôr začnete, tým väčšie riziko môžete dosiahnuť skôr, ako hackeri zaútočia a budú vás alebo jedného z vašich klientov držať za výkupné.

záver:

CyberHoot chce, aby každá spoločnosť pristupovala ku kybernetickej bezpečnosti s preventívnym prístupom. Musíte však plánovať aj na najhoršie. Vypracujte si plány riadenia kybernetických incidentov (CIMP) a naplánujte si cvičenie, známe ako Table-Top cvičenie, na odstránenie nedostatkov. Pri kritickom kybernetickom incidente nechcete nechať nič na náhodu tým, že ho nebudete mať napísaný. Konečné požiadavky na hlásenie odhalia buď dobre premyslené plány, alebo nedostatok príprav, čo by mohlo ľahko viesť k nákladným pokutám.

Zabezpečte si svoje podnikanie s CyberHoot ešte dnes!!!

Zaregistrujte sa

zdroj:

SEC navrhuje nové pravidlá zverejňovania informácií o kybernetickej bezpečnosti

Úplný informačný list SEC

Ďalšie čítanie: 

Správa SEC o riadení kybernetických rizík pre Kongres