¿Cómo deberían los CISO abordar las normas de ciberseguridad de la SEC?

Pregunta: ¿Cómo deberían los líderes de seguridad abordar las reglas de divulgación y ciberseguridad de la SEC? ¿Qué deben hacer para garantizar el cumplimiento?

Michael Gray, director de tecnología de Thrive: Mientras que la Comisión de Bolsa y Valores (SEC) Reglas, estrategia, gobernanza y divulgación de incidentes de gestión de riesgos de ciberseguridad Dado que la ley entrará en vigor a finales de 2023, muchas organizaciones todavía tienen preguntas en lo que respecta a las presentaciones y divulgaciones. Estas reglas exigen que las organizaciones revelen incidentes importantes de ciberseguridad y proporcionen actualizaciones anuales sobre su postura de ciberseguridad. Para distribuir con precisión las actualizaciones de ciberseguridad, a veces en períodos de tiempo cortos, los equipos deben tener un conocimiento profundo de las presentaciones 8-K y 10-K e implementar nuevos procesos que simplifiquen el cumplimiento.

La diferencia entre una presentación 8-K y una 10-K

Las presentaciones 8-K son generalmente informes periódicos que las empresas que cotizan en bolsa utilizan para compartir información sobre eventos importantes que los inversores probablemente quieran saber al tomar decisiones de inversión. Las reglas de ciberseguridad de la SEC ahora requieren específicamente que las empresas revelen incidentes importantes de ciberseguridad a través del Artículo 1.05 del Formulario 8-K.

Las presentaciones 10-K, por otro lado, son informes anuales detallados que resumen el desempeño financiero y operativo de una empresa que cotiza en bolsa durante el año pasado. Parte de la responsabilidad de una empresa es revelar el funcionamiento interno de la empresa a las partes interesadas, y las presentaciones 10-K ayudan a educar a los inversores para que puedan tomar decisiones informadas sobre sus inversiones. Las empresas públicas ahora deben revelar información sobre su estrategia de ciberseguridad, gobernanza, amenazas percibidas y eventos materiales que ocurrieron durante el año en sus presentaciones anuales 10-K.

El 8-K: Definir materialidad

Una pregunta común entre los equipos de ciberseguridad hoy en día es cómo determinar si un incidente de ciberseguridad es “material” (incidentes que tienen un impacto significativo en los resultados financieros, así como impactos en las operaciones, la reputación, el cumplimiento y las relaciones con los clientes o partes interesadas de la empresa) y merece una evaluación. Presentación 8-K. La orientación de la SEC es que un incidente de ciberseguridad es material si un inversionista razonable quisiera saber sobre el incidente, como incidentes que resultan en una pérdida significativa de ingresos, interrupción o tiempo de inactividad del negocio, cobertura mediática negativa, riesgos legales y pérdida de datos de clientes. dirigir. Por ejemplo esto Cambie el ataque de ransomware de atención médica fue material: los datos de los pacientes se vieron comprometidos y afectó negativamente a los hospitales, clínicas y profesionales médicos que dependen de la empresa. Por otro lado, un ataque de phishing dirigido a una persona a través de un correo electrónico del trabajo no se consideraría significativo porque probablemente no resultaría en una pérdida significativa de ingresos para la empresa ni afectaría a las partes interesadas de la empresa, especialmente si solo se revelara información personal.

Las empresas deben presentar un 8-K dentro de los cuatro días hábiles posteriores al descubrimiento de un incidente, pero no dentro de los cuatro días hábiles posteriores a la ocurrencia del incidente. Si se identifica información material adicional que requiere divulgación, las empresas presentarían una enmienda al 8-K original divulgando el incidente. En muchos casos, los equipos de ciberseguridad descubrirán detalles adicionales sobre el incidente, que luego podrán compartir con la SEC en informes posteriores. Las empresas también deben corregir una divulgación previa que resulte ser falsa tan pronto como se descubran hechos adicionales.

El 10-K: Regalar demasiada y muy poca información

En las presentaciones 10-K, los equipos de ciberseguridad comparten detalles sobre el estado actual del programa de ciberseguridad y la estrategia de ciberseguridad de la empresa. Las reglas de divulgación de la SEC requieren que las organizaciones revelen quién supervisa las actividades de ciberseguridad y describan cómo evalúan, detectan y mitigan los riesgos materiales de las amenazas de ciberseguridad. El artículo 106 del 10-K también permite a los equipos revisar eventos importantes del año pasado y proporcionar comentarios adicionales sobre la respuesta y el desempeño de la empresa desde el evento. El artículo 106 también requiere que las organizaciones describan la supervisión de los riesgos por parte de la junta y el papel de la administración en la evaluación de los riesgos materiales. Las presentaciones 10-K no son necesariamente «nuevas» en términos de información sobre un incidente previamente reportado en una presentación 8-K, sino más bien información sobre el impacto resultante en la empresa y cualquier riesgo cibernético identificado que enfrenta la empresa y que podría resultar de incidente anterior.

También en este caso se aplica una regla general sobre cuánta información debe divulgarse: las empresas deben proporcionar suficiente información para que los accionistas puedan tomar decisiones de inversión informadas. Los detalles a considerar incluyen si su empresa tiene un CISO, qué programas de capacitación cibernética se implementan para la junta directiva y el personal en general, y si alguien en la junta tiene conocimientos o experiencia detallados en ciberseguridad. En la mayoría de los casos, esto significa confiar en la transparencia en lugar de ocultar detalles críticos.

Facilite el cumplimiento

Además de las presentaciones 8-K y 10-K, los empleados deben comprender el marco general de ciberseguridad de la empresa. Este marco debe cubrir cómo la organización aborda la ciberseguridad en general, documentar los procedimientos de respuesta a incidentes y resumir cómo la empresa está mejorando con el tiempo.

Las organizaciones modernas deben poder mitigar los riesgos antes y después de los incidentes de ciberseguridad. Los líderes de ciberseguridad deben revisar periódicamente sus capacidades de ciberseguridad a medida que las amenazas continúan evolucionando. Esto incluye identificar vulnerabilidades potenciales e implementar estrategias efectivas de gestión de riesgos, realizar pruebas en tiempo real de su red y puntos finales, y comunicar y educar continuamente a los empleados sobre políticas de ciberseguridad. La SEC ofrece evaluaciones de preparación que pueden resultar útiles en esta área.

Después de un incidente, los líderes deben reflexionar sobre qué tan bien respondió la organización y asegurarse de que los detalles importantes estén documentados exhaustivamente como parte del 8-K. Las empresas también deberían trabajar con expertos legales para revisar periódicamente su postura de cumplimiento. Además, los empleados necesitan capacitación especializada sobre las reglas de divulgación de ciberseguridad de la SEC para que conozcan los requisitos de presentación de informes de la empresa y comprendan sus funciones en la respuesta a incidentes y los informes anuales.