Las divulgaciones de la SEC están disponibles, pero no se proporcionan suficientes detalles.

Las nuevas reglas de divulgación de ciberseguridad introducidas el año pasado por la Comisión de Bolsa y Valores de EE. UU. han provocado un aumento significativo en los informes de incidentes de las empresas públicas, pero la mayoría de los informes no tienen en cuenta el impacto material de estos incidentes, según un análisis de la ley. revela una empresa especializada en actividades financieras y de fusiones y adquisiciones.

Análisis de Paul Hastings LLP descubrió que los informes de incidentes de ciberseguridad han aumentado un 60% desde que la regla de divulgación entró en vigor en 2023. La regulación de la SEC exige que las empresas públicas revelen incidentes importantes de ciberseguridad dentro de los cuatro días hábiles posteriores a la determinación de la materialidad. Material en este caso significa que el incidente puede influir en la decisión de una persona de invertir o no en esa empresa. Al determinar la materialidad, se deben tener en cuenta las consecuencias inmediatas y cualquier impacto a largo plazo en las operaciones. relaciones con los clientes; impacto financiero; reputación o percepción de marca; y el potencial de litigio o acción regulatoria.

Como muestra el gráfico anterior, el impacto de la regulación se extendió a todas las industrias. Si bien el sector de servicios financieros representó la mayoría de los informes de divulgación, los sectores industrial y sanitario también se vieron fuertemente afectados. Los concesionarios de automóviles y las empresas minoristas también se vieron afectados por los ciberataques y tuvieron que denunciar estos incidentes.

Menos del 10% de las divulgaciones detallaron el impacto material de los incidentes, lo que sugiere que las empresas están luchando por equilibrar la presentación de informes detallados con la protección de los detalles de las operaciones internas. El informe citó ejemplos que se consideraron materiales, como la determinación de Basset Furniture Industries de que las operaciones se vieron afectadas materialmente en espera de que se completen los esfuerzos de recuperación y la divulgación de ganancias ajustadas por acción de First American para sus resultados financieros del cuarto trimestre y la cuantificación de las pérdidas de la compañía en las presentaciones ante la SEC.

Algunas empresas (13%) optaron por proporcionar un comunicado de prensa o un enlace a una publicación de blog para brindar más detalles sobre el incidente.

Efectos de las infracciones de terceros

Uno de cada cuatro incidentes del informe involucró violaciones de terceros, lo que representa uno de cada cuatro incidentes. Las empresas luchan por decidir si deben revelar las infracciones de terceros, especialmente si otras víctimas han revelado los incidentes. El sector minorista de automóviles se vio especialmente afectado por el ataque de ransomware Proveedor de software automotriz CDK Global en junio. La empresa pagó un rescate de 25 millones de dólares. La empresa matriz de CDK, Brookfield Business Partners, dijo en su divulgación de julio que la empresa «no anticipó ningún impacto material de este incidente». Muchas de las empresas automovilísticas más pequeñas afirmaron que el incidente del CDK tuvo un impacto significativo.

La SEC anunció recientemente acuerdos con cuatro clientes de SolarWinds por supuestamente hacer declaraciones engañosas sobre cómo se vieron afectados por el ciberataque. Dos de los cuatro revelaron públicamente los incidentes, pero no revelaron todos los hechos materiales conocidos en ese momento, tales como: B. el nombre del actor de la amenaza, el tipo de información robada y la cantidad de cuentas a las que se accedió. Los otros dos no revelaron los incidentes y la SEC dijo que deberían haber revelado el impacto.

¿Velocidad o más detalles?

Más de las tres cuartas partes (78%) de las revelaciones ocurrieron dentro de los ocho días posteriores al descubrimiento del incidente. La SEC dijo que la fecha límite de divulgación ha pasado. no Cuatro días hábiles después de que se descubrió el incidente (pero después de que se determinó la materialidad), la mayoría de las empresas decidieron actuar rápidamente. Un tercio (32%) presentó un reclamo dentro de los cuatro días posteriores al descubrimiento. Esto sugiere que las empresas están informando rápidamente para evitar ser multadas por la SEC por revelar información tardíamente, pero demasiado rápido para que aún no hayan determinado el impacto total del incidente. Esta podría ser la razón por la que el 42% de las empresas terminaron presentando múltiples informes por el mismo incidente, proporcionando cada vez más detalles, como: B. pérdida cuantificable, impacto en los datos personales de los clientes y notificación a individuos y reguladores.

«Las empresas deben continuar evaluando los controles de divulgación y participar en ejercicios prácticos para practicar la toma de decisiones necesarias para tomar decisiones de materialidad en caso de un incidente cibernético», dijeron los autores del informe.