Aviso de la SEC para SolarWinds CISO y CFO sacude la industria de ciberseguridad
La Comisión de Bolsa y Valores de EE. UU. molestó a la industria de la seguridad cibernética al alertar a los ejecutivos de SolarWind que pueden enfrentar acciones legales por violaciones de la ley federal en relación con su respuesta. el ataque a la infraestructura de la empresa en 2020 Esto ha afectado a miles de clientes en agencias gubernamentales y empresas de todo el mundo.
Los empleados y ejecutivos actuales y anteriores de la compañía, incluido su director financiero (CFO) y su director de seguridad de la información (CISO), han recibido los llamados avisos de Wells de los funcionarios de la SEC en relación con la investigación del ataque cibernético de 2020, dijo la compañía. en una oracion Presentación ante la SEC.
«En cada una de las presentaciones de Wells proporcionadas a estas personas, los funcionarios de la SEC tomaron una decisión provisional para recomendar que la SEC emprenda una acción de cumplimiento civil contra los destinatarios por presuntas violaciones de ciertas leyes federales de valores de EE. UU.», dijo SolarWinds en su presentación.
Un aviso de Wells no es un cargo formal de irregularidad ni una determinación definitiva de que el destinatario violó una ley, señaló SolarWinds. Sin embargo, si la SEC emprende acciones legales y gana una demanda, podría haber una variedad de consecuencias.
«Si la SEC autorizara una demanda contra cualquiera de estas personas, podría solicitar una orden que prohíba a esas personas futuras violaciones de cualquier disposición de las leyes federales de valores que son objeto de la demanda e imponga sanciones civiles y/o una prohibición. como funcionario o para servir como director de una empresa pública y para proporcionar otro alivio equitativo dentro de la autoridad de la SEC”, dijo Solarwinds en su presentación.
SolarWinds distribuye una plataforma de monitoreo de redes y aplicaciones llamada Orion, que fue atacada por un actor de amenazas que se cree que está relacionado con Rusia y se usó para proliferar. troyano Actualizaciones para Usuarios del Software.
La SEC también presentó una presentación de Wells ante la propia empresa el año pasado. En esa presentación, la SEC alegó «violaciones de ciertas disposiciones de las leyes federales de valores de EE. UU. con respecto a nuestras divulgaciones de seguridad cibernética y declaraciones públicas, así como a nuestros controles internos y controles y procedimientos de divulgación», según el último informe financiero trimestral de SolarWinds. Según SolarWinds, esta notificación está pendiente de procesamiento.
SolarWinds está contraatacando
El CEO de SolarWinds, Sudhakar Ramakrishna, envió un correo electrónico a los empleados indicando que, a pesar de sus extraordinarios esfuerzos para cooperar e informar a la SEC, la agencia continúa tomando posiciones que SolarWinds cree que son inexactas.
“Continuaremos evaluando una posible resolución de este asunto antes de que la SEC tome una decisión final. Y si la SEC finalmente decide emprender acciones legales, tenemos la intención de defendernos enérgicamente”, escribió Ramakrishna en el correo electrónico que la compañía envió a las organizaciones de noticias.
El movimiento de la SEC podría significar más responsabilidad para los CISO
Mientras tanto, los expertos en seguridad cibernética señalaron que es inusual que se envíe un aviso de Wells a personas dentro de una empresa, y que la medida de la SEC podría introducir un conjunto completamente nuevo de responsabilidades potenciales para los CISO.
«Por lo general, un anuncio de Wells nombraría a un director ejecutivo o director financiero en temas como esquemas Ponzi, fraude contable o manipulación del mercado, pero esto probablemente no se aplique a un CISO», dijo Jamil Farshchi, CISO de Equifax, en LinkedIn. correo, Además, una violación que un CISO podría cometer potencialmente es no revelar información importante.
«Cosas como no revelar la gravedad de un incidente… o no hacerlo de manera oportuna podrían entrar en esta categoría», dijo Farshchi en la publicación.
La medida de la SEC hará que las OSC sean más individualmente responsables de la ciberseguridad, dijo Agnidipta Sarkar, ex CISO de la compañía farmacéutica Biocon.
«Si bien esto no significa que el CISO haya sido acusado, es un nuevo hito. A partir de hoy, los CISO serán cada vez más responsables de las decisiones que tomen o dejen de tomar”, dijo Sarkar.
Sin embargo, no siempre es justo y correcto culpar únicamente al CISO o al CFO, dijo Ruby Mishra, CISO de KPMG India.
“Para administrar de manera efectiva la ciberseguridad, la organización adopta un enfoque de múltiples capas que involucra a varias partes interesadas y departamentos. Hacer que el CISO o el CFO sean los únicos responsables de un ataque cibernético puede pasar por alto la responsabilidad colectiva”, dijo Mishra.
Mishra señaló que las técnicas sofisticadas y los panoramas de amenazas que cambian rápidamente dificultan que las personas u organizaciones eviten todos los ataques cibernéticos.
«Antes de emitir el aviso, la SEC puede haber considerado una variedad de factores, incluidas circunstancias específicas y marcos legales, o puede haber mostrado negligencia cuando el CISO no implementó las salvaguardas adecuadas, descuidó las políticas, políticas y prácticas de la SEC o ignoró lo que se sabía. «Vulnerabilidades», dijo Mishra.
Por su parte, SolarWinds dijo en un comunicado enviado a los medios que “Sunburst”, como se denominó la brecha, “fue un ataque sofisticado e impredecible que, según el gobierno de EE. UU., fue llevado a cabo en un año por una superpotencia global usando técnicas novedosas. “un nuevo tipo de amenaza que los profesionales de la ciberseguridad nunca antes habían visto”.
También señaló que las acciones legales contra SolarWinds y sus empleados podrían tener un «efecto disuasorio» sobre la divulgación de violaciones. “La única forma de prevenir ataques sofisticados y generalizados a estados-nación como Sunburst es a través de asociaciones público-privadas con el gobierno”, dijo la compañía.
Derechos de autor © 2023 IDG Communications, Inc.
Nos llegó este contenido de ciberseguridad de: CSO Online
Encontrarás la noticia original en el enlace que sigue: https://www.csoonline.com/article/3700654/sec-notice-to-solarwinds-ciso-and-cfo-roils-cybersecurity-industry.html#tk.rss_news
