SEC Tarafından Önerilen Yeni Siber Güvenlik Kuralları

29 Kasım 2022 | Blog

SEC Tarafından Önerilen Yeni Kurallar

ABD Menkul Kıymetler ve Borsa Komisyonu (SEC) , şirket yönetim kurullarının siber güvenlik risk yönetimi, stratejisi, yönetişim politikaları, prosedürleri ve olaylarına ilişkin yeni açıklama gereklilikleri getirmesini öneriyor. Bu, 1934 tarihli Menkul Kıymetler Borsası Yasası'nda yapılacak bir değişiklik olacaktır.

CyberHoot, SEC'in bu önerilen açıklama gerekliliklerini, her ölçekten ABD ve küresel şirketlere yönelik giderek yaygınlaşan siber saldırılara bir yanıt olarak görüyor. Bu yeni kuralların, kabul edilmesi halinde, "endüstrinin güçlü ve saldırılara dayanıklı sistemler kurmasına yardımcı olmak için doğru şekilde tasarlanmış bir raporlama sistemi kullanma" şeklindeki belirtilen hedeflerine ulaşıp ulaşmayacağı henüz belli değil. Açık olan şu ki, şirketlerin hazırlık zamanı şimdi. Raporlama uyumluluğu ihlallerinden kaynaklanabilecek olası para cezalarından kaçınmak istiyorsanız, bu yeni kurallar öncesinde risk yönetiminizi, politikalarınızı ve prosedürlerinizi oluşturun ve/veya güçlendirin.

İhlal Bildirim Zaman Çizelgesi

SEC tarafından yürürlüğe konulursa, şirketler bir ihlal tespit edildikten sonra bir zamanlayıcı çalıştıracak. SEC'ye göre, "bir siber güvenlik olayını, olayın meydana gelmesinden değil, tespit edilmesinden itibaren dört gün içinde bildirmek" zorunlu olacak. Bu, Siber Güvenlik Olay Yönetim Sürecinizin (CIMP - var, değil mi?) henüz yürürlüğe girmemiş mevzuat kuralları uyarınca SEC'ye bildirimi de içerecek şekilde güncellenmesi gerektiği anlamına geliyor.

Ek Önerilen Kurallar:

SEC teklifi aşağıdakilere ilişkin açıklama kurallarını içermektedir:

Siber güvenlik risklerini belirlemek ve yönetmek için kayıtlı şirketlerin politikaları ve prosedürleri ile siber güvenliğin iş stratejisi, finansal planlama ve sermaye tahsisinde nasıl rol oynadığı.
- CyberHoot'un analizi: Şirketlerin sağlam, belgelenmiş ve düzenli olarak güncellenen bir Risk Yönetimi Programına ihtiyacı olacak.
Siber güvenlik politikalarının ve prosedürlerinin uygulanmasında yönetimin rolü.
- CyberHoot'un analizi: Şirketlerin Yönetim tarafından onaylanan politikalara ve süreçlere ihtiyacı olacak.
Yönetim Kurullarının siber güvenlik konusunda uzmanlığı ve varsa siber güvenlik riskini değerlendirme ve yönetmedeki rolü gerekecektir.
- CyberHoot'un analizi: Siber güvenlik programınızı oluşturmak, yönetim kurulunu riskler konusunda bilgilendirmek ve yönlendirmek için bir vCISO'ya ihtiyaç duyulacaktır.

Cezai Suçlama Yok, Sadece Para Cezası

SEC'nin önerisi, şirket yönetim kurullarını veya üst düzey yöneticilerini uyumsuzluk nedeniyle suçla suçlamaktan kaçınsa da, para cezası kesme hakkına sahip olacaklar. Siber suçun üzücü gerçeği, şirketlere asla maliyet çıkarmamasıdır. Bir güvenlik ihlalinin sayısız maliyeti vardır ve SEC bunlara bir de olası "Ya olursa?" maliyeti ekleyecektir. İhlal maliyetleri arasında çalınan fikri mülkiyetin maliyeti, adli soruşturmaların maliyeti, marka ve itibar zararları, kredi takibi, siber sigorta prim artışları ve şimdi de ifşa yasalarına uyulmaması nedeniyle para cezaları da eklenebilir.

MSP'ler önemli bir rol oynuyor

Yönetilen Hizmet Sağlayıcıları (MSP'ler) bunu dikkate almalı. CyberHoot, birçok MSP'nin süreç ve prosedürler açısından çok az şey uyguladığını fark etti. Bu gibi durumlarda bu işe yaramaz. Kendi MSP'nizi düzene sokun. Siber güvenlik programınızı bir vCISO (sanal veya kısmi Baş Bilgi Güvenliği Sorumlusu) kullanarak oluşturun. Bu danışmanlar, kaynakları kısıtlı olsa da, yalnızca MSP'niz için değil, aynı zamanda müşterileriniz için de tekrarlanabilir süreç ve prosedürler oluşturmanıza yardımcı olmak için son derece niteliklidir. Roma'nın bir günde inşa edilmediğini ve risk yönetimi programınızın da öyle olmadığını unutmayın. Ne kadar erken başlarsanız, bilgisayar korsanları saldırıp sizi veya müşterilerinizden birini fidye için alıkoymadan önce riski o kadar azaltabilirsiniz.

Sonuç:

CyberHoot, her şirketin siber güvenliğe önleyici bir bakış açısıyla yaklaşmasını istiyor. Ancak, en kötüsüne de hazırlıklı olmalısınız. Siber güvenlik olay yönetimi planlarınızı (CIMP) oluşturun ve pürüzleri gidermek için bir uygulama oturumu (Masa Üstü tatbikatı olarak da bilinir) planlayın. Kritik bir siber güvenlik olayında, senaryosuz bir şekilde hiçbir şeyi şansa bırakmak istemezsiniz. Nihai raporlama gereklilikleri, ya iyi hazırlanmış planları ortaya çıkaracak ya da kolayca maliyetli para cezalarına yol açabilecek hazırlık eksikliklerini ortaya çıkaracaktır.