La règle de cybersécurité de la SEC soulève des questions

La nouvelle cybersécurité de la SEC exclure est conçu pour protéger les investisseurs et garantir que les entreprises prennent la sécurité au sérieux. Mais cela crée autant de questions qu’il en répond.

Les entreprises publiques doivent signaler les cyberattaques importantes incidents dans les quatre jours. Ils doivent également décrire son impact, notamment si les données ont été divulguées publiquement et les mesures qu'ils ont prises pour atténuer le risque. Les processus de gestion de la cybersécurité doivent être divulgués dans les rapports annuels.

Sphère SEI directeur de la cybersécurité Michel Lefebvre a déclaré que les régulateurs doivent prendre des mesures pour aider les entreprises confrontées à des attaques de plus en plus sophistiquées. C'est un jeu que beaucoup perdront sans aide.

Mesures de cybersécurité utilisées par les criminels

Mais toute réglementation doit être soigneusement réfléchie. Les cybercriminels utilisent les réglementations comme tactiques de menace. L’un d’eux a signalé une victime à la SEC pour non-conformité dans le cadre de sa campagne d’extorsion.

«Ils dénoncent leurs victimes», a déclaré Lefebvre. « Nous élaborons ici une réglementation qui donne aux acteurs de la menace un autre levier de pression. Nous devons trouver comment être intelligents dans ce que nous faisons d'un point de vue réglementaire.

La règle est vague dans sa définition. Qu’est-ce qu’une violation « substantielle » ? Lefebvre a déclaré qu'il s'agissait d'une zone grise. Il se peut que les entreprises ne fassent pas de rapport par pure ignorance ou pour maintenir un déni plausible. Beaucoup seront incapables de définir le terme « matériel ».

Augmenter la vague de cybersécurité pour tous les bateaux

Exiger la divulgation de la stratégie dans les rapports annuels permet aux investisseurs de voir à quel point les organisations prennent la cybersécurité au sérieux. Cela oblige certains à être plus dévoués et transparents dans leur approche.

Cette ouverture augmentera-t-elle le niveau de sécurité pour tous les bateaux, car les entreprises seront obligées de suivre le rythme des Jones ? Lefebvre prévient que la réglementation impose le strict minimum. Ils peuvent maintenir le navire à flot, mais ne garantissent pas grand-chose au-delà. Pourtant, le résultat net est un progrès.

« Je pense que cela provoque une marée montante », a-t-il déclaré. « Cela oblige les organisations à faire preuve d’un certain niveau de maturité dans leur façon d’appréhender le cyber-risque. Ils doivent y remédier et ne pas s’attendre à ce que ce soit une chose ésotérique qui ne pourrait jamais leur arriver.

L’obligation de publier des stratégies de cybersécurité incitera-t-elle les criminels à rechercher le bateau qui fuit ? Lefebvre ne le pense pas. Il a déclaré que les entreprises doivent décrire leur approche globale mais pas les ingrédients de base.

Pourquoi les relations avec des tiers sont importantes

SEI Sphere est une institution financière réglementée et un fournisseur de services gérés. Lefebvre a déclaré que cela donne à son entreprise une perspective unique et un niveau élevé qui lui permet de fournir une sécurité de niveau entreprise à des clients de toutes tailles. Tout comme les entreprises font appel à des avocats et des comptables en raison de l’importance de ces tâches, elles devraient également faire appel à des professionnels tiers.

« J’utilise un comptable pour mes impôts parce que le coût d’une bonne réalisation dépasse de loin le risque de se tromper », a-t-il déclaré. « Ce n'est pas différent avec le cyber ; payons d'avance. Investissons maintenant pour bien faire les choses au lieu de mal faire les choses, car lorsque nous avons un échec, nous devons le réparer, il y a les honoraires d'avocat et la réputation de la marque.

« En fin de compte, ce sont les données qui sont en jeu. C'est personnel. Nous parlons d'organisations du secteur de la santé et de la finance. Quel que soit le secteur auquel vous appartenez, vos données font partie de cet écosystème pris en otage. Tout le monde devrait se sentir obligé de résoudre ce problème car nos données personnelles sont en danger.

Quatre jours ne suffiront peut-être pas

Quatre jours ouvrables sont-ils suffisants pour signaler une violation substantielle ? Lefebvre a dit que c'était la question à 1 million de dollars. Il est difficile de signaler un incendie pendant que vous le combattez. Quels systèmes sont concernés ? Quelles unités commerciales sont impliquées ? Quand est-ce arrivé? Comment le criminel réagit-il à vos efforts ?

«Il y a beaucoup de cuisiniers dans la cuisine lors d'un incident», a déclaré Lefebvre. « Pendant tout ce temps, il y a un adversaire actif à l'autre bout du clavier, qui manipule et travaille en phase avec ce que vous faites. Alors, dans tout ce décor, c'est un peu un cirque. Et nous essayons de déterminer comment nous positionner correctement, pour ne pas nous indemniser, pour ne pas dire à l'attaquant que nous comprenons que nous sommes attaqués ?

Les entreprises qui publient des rapports courent de nombreux risques. Même si le MTTR (temps moyen de réparation) est une statistique souvent citée et utilisée pour comparer l'efficacité des entreprises à remédier aux failles de cybersécurité, le signalement d'une faille permet aux criminels de savoir que vous êtes sur leur piste.

« Les attaquants peuvent se cacher pendant des mois. Vous le dites à la SEC, elle le sait et retirez l’épingle ou changez de tactique », a déclaré Lefebvre. « Nous devons trouver un véritable équilibre entre la compréhension de la nécessité de protéger les investisseurs et la nécessité de protéger l'organisation. Mais nous jouons avec un adversaire qui n’a pas respecté les règles.

IA – le bon et le mauvais

Lefebvre a déclaré que l’IA apporte à la fois de l’enthousiasme et des défis. Sur le plan positif, c'est un bibliothécaire organisé qui peut relier les points de manière nouvelle et passionnante. Sur le plan négatif, il améliore la qualité des cyberattaques en supprimant les mauvaises grammaires et autres signes révélateurs d’infiltration. Pourtant, comme pour toute technologie de rupture, Lefebvre estime que nous devons l’adopter, car si nous ne le faisons pas, l’autre partie le fera et nous prendrons du retard.

Un autre aspect de la cybersécurité qui doit changer est l’état d’esprit que les innovateurs adoptent dès le départ. Les étudiants en informatique sont notés sur le code qui fonctionne, qu'il soit sécurisé ou non. Il a dit que c'est la raison pour laquelle la sécurité a toujours été une préoccupation secondaire.

«Mais nous nous améliorons», a admis Lefebvre. « Cela correspond à l’évolution globale du développement logiciel et à l’implication de la sécurité plus tôt dans le processus de développement. Il a toujours fallu acheter la technologie, la mettre en œuvre, la construire, la connecter, et puis qu'avons-nous fait pour nous exposer sans même y avoir pensé ?

« J'espère qu'il y aura un avenir dans lequel non seulement la technologie et la sécurité seront séparées, mais où la technologie sécurisée ne sera qu'un seul mot et où chaque technologie sera pensée de manière sécurisée, quel que soit le risque encouru par l'organisation.

.pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { font-size: 20px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { font-weight: bold !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { color: #000000 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-avatar img { border-style: none !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-avatar img { border-radius: 5% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { font-size: 24px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { font-weight: bold !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { color: #000000 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-description { font-style: none !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-description { text-align: left !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a span { font-size: 20px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a span { font-weight: normal !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta { text-align: left !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a { color: #ffffff !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a:hover { color: #ffffff !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-user_url-profile-data { color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data span, .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data i { font-size: 16px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { border-radius: 50% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { text-align: center !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data span, .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data i { font-size: 16px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data { border-radius: 50% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-recent-posts-title { border-bottom-style: dotted !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-multiple-authors-boxes-li { border-style: solid !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-multiple-authors-boxes-li { color: #3c434a !important; }

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
• PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
• PlatonESG. Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
• PlatoHealth. Veille biotechnologique et essais cliniques. Accéder ici.
• La source: https://www.fintechnexus.com/sec-cybersecurity-rule-raises-questions/