Come rimanere dalla parte giusta delle ultime regole di divulgazione della sicurezza informatica della SEC in caso di violazione dei dati

Nel luglio 2023, la Securities and Exchange Commission (SEC) ha votato per adottare nuove regole e requisiti di sicurezza informatica per tutte le entità del mercato per affrontare i rischi. Tra le normative approvate figurano i requisiti aggiornati per la rendicontazione del modulo 8-K nonché nuove linee guida per gli emendamenti del modulo 10-K.

Secondo la norma relativa alla segnalazione del modulo 8-K, le aziende pubbliche sono ora tenute a segnalare le violazioni dei dati entro quattro giorni dall’incidente. Cinque domande e risposte documentate devono essere incluse in tutti i rapporti sugli incidenti con risposte contenenti elevati livelli di dettaglio affinché l'”investitore ragionevole” possa ottenere informazioni dettagliate sulla violazione dei dati. Le seguenti domande sono richieste per tutte le segnalazioni di incidenti del modulo 8-K ai sensi delle nuove normative:

1. Quando è stato scoperto l’incidente e se è in corso.
2. Una breve descrizione della natura e della portata dell’incidente.
3. Se i dati sono stati rubati, alterati, consultati o utilizzati per qualsiasi altro scopo non autorizzato.
4. L’effetto dell’incidente sulle operazioni del dichiarante.
5. Se il registrante ha risolto o sta attualmente risolvendo l’incidente.

Le risposte alle domande richieste che evitano dettagli eccessivamente tecnici consentiranno che le conversazioni sui rischi della sicurezza informatica siano più accessibili a tutte le parti coinvolte nell’azienda.

Politiche e procedure di gestione del rischio informatico

Oltre agli aggiornamenti al reporting del Modulo 8-K, il nuovo regolamento SEC richiede l’inclusione di politiche e procedure specifiche per gestire la sicurezza informatica negli emendamenti del Modulo 10-K. Le politiche e le procedure relative ai rischi di sicurezza informatica incluse nel modulo 10-K dovrebbero essere il più comprensibili possibile per consentire il coinvolgimento sia dei dirigenti che del consiglio di amministrazione. Anche questo emendamento aggiuntivo sulla sicurezza informatica al modulo 10-K è importante in quanto farà luce sulla regolamentazione dei protocolli di sicurezza informatica di un’azienda.

Nell’ultimo decennio, le violazioni della sicurezza informatica sono diventate uno dei maggiori rischi per le aziende di tutti i settori e settori verticali. Infatti, il Cost of a Data Breach Report 2023 ha rilevato che il costo medio di una violazione è salito a un nuovo massimo di 4,45 milioni di dollari, con un aumento del 15,3% rispetto al 2020. La SEC ha sviluppato le nuove normative nella speranza di standardizzare le informazioni sulla sicurezza informatica la gestione del rischio e la segnalazione degli incidenti man mano che diventano conversazioni e pratiche comuni in tutte le organizzazioni.

Suggerimenti per costruire una cultura consapevole del rischio

Con l’adozione di queste nuove normative SEC, le aziende devono essere preparate ad avere un processo di risposta agli incidenti altamente completo. Mantenere un’azienda sicura non è solo compito del Chief Information Security Officer (CISO), del team IT e della sicurezza. Tutti i membri di un’azienda devono essere formati e vigilare con attenzione su eventuali minacce potenziali. Sapere quando dare l’allarme per una potenziale violazione, non importa quanto piccola, è importante per tutti i dipendenti per contribuire a mantenere le normative SEC. Diffondere la consapevolezza dei rischi legati alla sicurezza informatica in tutta l’organizzazione può aiutare a mantenere un’azienda al sicuro, poiché quasi tutti i team di un’azienda operano con dati che potrebbero mettere a rischio l’azienda.

Utilizzando una soluzione SOAR (Security Orchestration, Automation and Response) leader nel settore, il SOC di un’organizzazione avrà la possibilità di gestire la risposta alle minacce in modo più efficiente e decisivo. I team di sicurezza possono gestire meglio i rischi sfruttando playbook dinamici, automazioni per indagini e risposte e timestamp delle azioni chiave per esigenze di reporting, legali e di conformità. Una gestione del rischio più rigorosa può aiutare le organizzazioni non solo a evitare incidenti di sicurezza, ma anche a garantire ai propri investitori un efficace processo di risposta agli incidenti in caso di violazione.

QRadar SOAR fornisce una chiara visibilità di un incidente, semplificando la conformità a queste nuove normative SEC. Fornisce inoltre al CISO un quadro chiaro degli incidenti di sicurezza con priorità più elevata da condividere facilmente con gli altri dirigenti. Inoltre, il modulo Breach Response di QRadar SOAR aiuta le organizzazioni a prepararsi e a rispondere alle violazioni della privacy integrando le attività di reporting sulla privacy nei playbook complessivi di risposta agli incidenti. Facilita la collaborazione tra team di privacy, risorse umane e legali per soddisfare i requisiti di oltre 180 normative.

Le nuove normative SEC dovrebbero incoraggiare i leader delle organizzazioni a impegnarsi in conversazioni regolari sulla strategia di sicurezza e sulla risposta agli incidenti, non solo in caso di incidente di sicurezza. Con la nuova scadenza di quattro giorni per segnalare le violazioni e l’inclusione dei processi di risposta agli incidenti nei report annuali, è essenziale che sia il CISO che gli altri leader della sicurezza e dell’IT coinvolgano la leadership dei dirigenti e il consiglio di amministrazione nelle conversazioni sulla sicurezza.

Integra gli strumenti adeguati oggi stesso

Per mantenere viva la conversazione su un argomento così importante, l’integrazione di strumenti adeguati, come il SOAR, può consentire al CISO di articolare in modo efficace la posizione di rischio dell’azienda nei confronti della leadership di alto livello e del consiglio di amministrazione in modo da stabilire un linguaggio comune per aprire la discussione. Aprire il dialogo per includere i leader aziendali ogni trimestre, non solo quando si è verificato un incidente, può aiutare a orientare il budget e la visibilità per colmare le principali lacune, aiutando quindi a prevenire futuri incidenti di sicurezza come le violazioni dei dati. I rischi legati alla sicurezza informatica rappresentano oggi una parte molto reale del business, ma proteggere un’azienda è possibile se rispetta questi requisiti normativi, utilizza i giusti strumenti di automazione e discute regolarmente dei rischi legati alla sicurezza informatica con la leadership aziendale.

Guarda la discussione del nostro team di esperti: “Quattro passaggi di grande impatto per aiutarti ad ampliare il tuo SOC rispettando i requisiti di reporting normativo” – per saperne di più.

Guarda il nostro team di esperti oggi stesso