美国证券交易委员会提议制定新的网络安全规则

美国证券交易委员会（SEC）提议对公司董事会提出新的信息披露要求，内容涉及网络安全风险管理、战略、治理政策、程序和事件。这将是对1934年《证券交易法》的修订。

CyberHoot 认为，SEC 拟议的这些披露要求是对美国及全球各种规模公司日益常见的网络攻击的回应。这些新规一旦通过，能否实现其既定目标，即“通过一个设计合理的报告系统……帮助行业建立强大的抗攻击系统”，还有待观察。显而易见的是，现在是公司做好准备的时候了。如果您想避免因报告合规性不达标而面临潜在的罚款，请在这些新规出台之前建立和/或加强您的风险管理、政策和程序。

违规报告时间表

如果美国证券交易委员会 (SEC) 颁布该法案，公司在发现违规行为后将有一个计时器。SEC 规定，“必须在四天内报告网络安全事件，不是在事件发生之日，而是在发现之日”。这意味着您的网络安全事件管理流程 (CIMP——您有吧？) 将需要更新，以根据待决立法中尚未确定的规则，将通知 SEC 纳入其中。

附加拟议规则：

SEC 的提案包括以下披露规则：

• 注册人的政策和程序用于识别和管理网络安全风险以及网络安全如何影响商业战略、财务规划和资本配置。
  • CyberHoot的分析： 公司需要一个强大、记录在案且定期更新的风险管理计划.
• 管理层在实施网络安全政策和程序中的作用。
  • CyberHoot的分析： 公司需要管理层批准的政策和流程.
• 董事会需要具备网络安全专业知识（如果有）以及其在评估和管理网络安全风险方面的作用。
  • CyberHoot的分析： 需要 vCISO 来构建您的网络安全计划，并向董事会通报和指导风险。

不涉及刑事指控，仅罚款

虽然SEC的提案并未对公司董事会或高层领导提起违反合规规定的刑事指控，但他们有权处以罚款。网络犯罪的悲哀之处在于，它总是给公司带来损失。安全漏洞的成本多种多样，SEC还将在此基础上增加一项潜在的“万一”成本。漏洞成本包括知识产权被盗成本、法证调查成本、品牌和声誉损失、信用监控成本、网络保险费上涨，以及现在可能因不遵守信息披露法而遭受的罚款。

MSP 发挥重要作用

托管服务提供商 (MSP) 应该对此保持警惕。CyberHoot 注意到，许多 MSP 的流程和程序非常匮乏。在这种情况下，这样做是行不通的。请妥善管理您的 MSP。聘请 vCISO（虚拟或部分首席信息安全官）构建您的网络安全计划。这些顾问虽然稀缺，但却具备丰富的经验，能够帮助您不仅为您的 MSP 构建可重复的流程和程序，也能为您的客户构建。要知道，罗马不是一天建成的，您的风险管理计划也并非一日之功。您越早开始，就能在黑客攻击您或您的客户勒索赎金之前，最大限度地降低风险。

总结

CyberHoot 希望每家公司都以预防为主，做好网络安全工作。然而，您也必须做好最坏的打算。制定网络安全事件管理计划 (CIMP)，并安排一次演练，即所谓的桌面演练，以解决问题。在重大网络安全事件中，您一定不想因为没有事先准备而留下任何意外。最终的报告要求要么暴露出精心制定的计划，要么暴露出准备不足，这很容易导致高昂的罚款。

立即使用 CyberHoot 保护您的业务！！！

注册领取优惠

来源:

SEC 提议制定新的网络安全披露规则

完整的 SEC 事实说明书

延伸阅读： 

SEC向国会提交网络安全风险管理报告