В сряда Комисията по ценните книжа и фондовите борси на САЩ (SEC) одобри нови правила, които изискват от публично търгуваните компании да оповестяват подробности за кибератака в рамките на четири дни след като установят, че тя има „съществено“ въздействие върху финансите им, което представлява значителна промяна в начина на оповестяване на компютърни пробиви.
„Независимо дали една компания губи фабрика при пожар или милиони файлове при инцидент, свързан с киберсигурността, това може да бъде съществено за инвеститорите“, заяви председателят на SEC Гари Генслър. „Понастоящем много публични компании предоставят на инвеститорите информация за киберсигурността. Смятам обаче, че както за компаниите, така и за инвеститорите ще бъде от полза, ако това оповестяване се прави по по-последователен, сравним и полезен за вземане на решения начин.“
За тази цел новите задължения задължават компаниите да разкриват естеството, обхвата и времето на инцидента, както и неговото въздействие. Това оповестяване обаче може да бъде отложено с допълнителен период от до 60 дни, ако се установи, че предоставянето на такава конкретна информация „би представлявало съществен риск за националната сигурност или обществената безопасност“.
Те също така налагат на регистрантите да описват ежегодно методите и стратегиите, използвани за оценка, идентифициране и управление на съществените рискове от заплахите за киберсигурността, да описват подробно съществените последици или рискове, възникнали в резултат на тези събития, и да споделят информация за текущите или приключилите усилия за отстраняване на нередностите.
„Ключовата дума тук е „материал“ и възможността да се определи какво всъщност означава това“, казва главният изпълнителен директор на Safe Security Сакет Моди пред The Hacker News. „Повечето организации не са подготвени да се съобразят с насоките на Комисията по ценните книжа и борсите, тъй като не могат да определят съществеността, която е в основата на защитата на акционерите. Те не разполагат със системи за количествено определяне на риска на широко и детайлно ниво“.
При това правилата не се разпростират върху „специфична, техническа информация за планирания отговор на регистранта на инцидента или за неговите системи за киберсигурност, свързаните с тях мрежи и устройства или потенциалните уязвимости на системата в такива подробности, които биха възпрепятствали реакцията на регистранта или отстраняването на инцидента“.
Политиката, предложена за пръв път през март 2022 г., се разглежда като опит за осигуряване на по-голяма прозрачност на заплахите, пред които са изправени американските компании от киберпрестъпността и националните държави, за преодоляване на пропуските в практиките за защита и разкриване на информация за киберсигурността и за укрепване на системите срещу кражба на данни и проникване в тях.
През последните месеци повече от 500 компании станаха жертви на кибератаки, организирани от банда за събиране на откупи, наречена Cl0p, задвижвана от използването на критични недостатъци в софтуер, широко използван в корпоративните среди, като според Kroll участниците в заплахата използват нови методи за ексфилтрация, за да откраднат данни.
Главният изпълнителен директор и председател на Tenable, Амит Йоран, заяви, че новите правила за управление на киберриска и разкриване на инциденти са „точно на място“ и че те са „драматична стъпка към по-голяма прозрачност и отчетност“.
„Когато кибернетичните нарушения имат реални последици и разходи за репутацията, инвеститорите трябва да имат право да знаят за дейностите на организацията по управление на кибернетичния риск“, добави Йоран.
Въпреки това бяха изразени опасения, че срокът е твърде кратък, което може да доведе до неточни оповестявания, тъй като на компаниите може да им отнеме седмици или дори месеци, за да разследват напълно даден пробив. За да се усложни още повече въпросът, преждевременните уведомления за нарушения могат да насочат други нападатели към уязвима цел и да изострят рисковете за сигурността.
„Новото изискване, поставено от Комисията по ценните книжа и фондовите борси (SEC), според което организациите трябва да съобщават за кибератаки или инциденти в рамките на четири дни, изглежда агресивно, но се намира в по-свободна времева рамка в сравнение с други държави“, казва Джеймс Маккуигън, застъпник за осведоменост по въпросите на сигурността в KnowBe4.
„В рамките на ЕС, Великобритания, Канада, Южна Африка и Австралия компаниите разполагат със 72 часа, за да докладват за киберинцидент. В други държави като Китай и Сингапур този срок е 24 часа. Индия трябва да докладва за пробив в рамките на шест часа.“
„Така или иначе, организациите трябва да разполагат с повтарящи се и добре документирани планове за реакция при инциденти с комуникационни планове, процедури и изисквания за това кой и кога се включва в инцидента“, допълва Маккуиган.
