Navigeren door het nieuwe tijdperk van handhaving van cyberbeveiliging

Navigeren door het nieuwe tijdperk van handhaving van cyberbeveiliging

Tijdstempel: 4 januari 2024 10:00 uur
Bronknooppunt: 3046344

COMMENTAAR

Op 30 oktober 2023 schudde de Securities and Exchange Commission (SEC) de veronderstellingen van veiligheidsleiders in alle sectoren opzij toen zij heeft een historische rechtszaak aangespannen tegen SolarWinds en zijn Chief Information Security Officer (CISO). Velen stellen deze stap gelijk aan een bom die afgaat voor mensen die in de CISO-rol werken. Het is ook de eerste keer dat een SEC-rechtszaak op deze manier een individu uit een bedrijf roept.

Begrijpt u, nu de zaak zich nu ontvouwt, uw persoonlijke aansprakelijkheid als CISO? Eén ding is duidelijk: deze zaak zendt een boodschap uit. CISO's worden nu geconfronteerd met ongekende potentiële aansprakelijkheidsrisico's, waardoor er behoefte is aan een proactieve benadering van juridische blootstelling voor beveiligingsmanagers. Om licht te werpen op deze complexe kwestie hebben we meer dan zestig CISO's, voormalige SEC-leden en juridische experts bijeengebracht voor een paneldiscussie. Achtergrond en geloofwaardigheid waren van cruciaal belang bij het werven van panelleden om dit belangrijke onderwerp te bespreken. Ons doel was simpel: de CISO-gemeenschap voorzien van gezaghebbende begeleiding en duidelijkheid over aansprakelijkheidsbeheer.

Het panel ontleedde de SolarWinds-zaak en merkte op dat de focus van de SEC lijkt te liggen op nalatigheid in plaats van op flagrante fraude. Hoewel de zaak als agressief wordt afgeschilderd, is de inhoud misschien niet zo robuust. Deskundigen suggereren dat CISO's deze zaak als een wake-up call beschouwen en benadrukken de noodzaak van proactieve maatregelen en een te goeder trouw benadering van cyberbeveiliging.

De inzichten uit deze discussie bieden een routekaart voor CISO's om door dit nieuwe tijdperk van cyberbeveiligingshandhaving te navigeren. Hier volgen enkele van de belangrijkste adviezen die we van het panel hebben geleerd.

Bouw sterke allianties met General Counsel

Een van de eerste – en misschien wel meest kritische – inzichten uit de paneldiscussie is het belang dat CISO's sterke relaties opbouwen met de general counsel (GC). Volgens de deskundigen kan de WG in tijden van crisis een cruciale bondgenoot zijn en waardevolle juridische begeleiding en ondersteuning bieden. In de nasleep van de SolarWinds-zaak wordt CISO's geadviseerd om zich proactief op één lijn te stellen met hun GC, en zo te zorgen voor een collaboratieve en goed voorbereide reactie op mogelijke juridische uitdagingen.

Breng FBI-verbindingen tot stand

Een ander essentieel advies van het panel is om zo snel mogelijk een relatie op te bouwen met het plaatselijke FBI-veldkantoor. Een FBI-vertegenwoordiger in de discussie benadrukte het belang van reeds bestaande relaties met de FBI. Het hebben van een contactpersoon binnen de FBI kan van groot belang zijn bij het navigeren door situaties die vergelijkbaar zijn met de zaak SolarWinds. Volgens de FBI-vertegenwoordiger van het panel draait het allemaal om de vertrouwensfactor. Ze merkten ook op dat de FBI bedrijven in dergelijke situaties als slachtoffers beschouwt. Daarom worden CISO's aangemoedigd om een ​​relatie op te bouwen met hun lokale FBI-veldkantoor, lang voordat er zich een crisis voordoet.

Wees voorzichtig bij het naleven van de normen

Het panel benadrukte ook het belang van het afstemmen van cyberbeveiligingspraktijken op objectieve normen, zoals die van het National Institute of Standards and Technology (NIST). De SEC kan, zoals aangetoond in de zaak SolarWinds, bewijs eisen dat deze normen worden nageleefd. “Elke keer dat u zich aansluit bij een objectieve standaard, zoals NIST, zal de SEC daar bewijs van willen hebben”, merkte een van onze SEC-vertegenwoordigers op. Als u dus publiekelijk bekendmaakt dat u een reeks standaarden gebruikt, zorg er dan ook voor dat u zich houdt aan de standaarden die u kiest. CISO's moeten een grondige documentatie bijhouden om indien nodig bewijs te leveren.

Coördineren van juridisch advies en interne onderzoeken

Als het om juridisch advies gaat, kreeg het panel uiteenlopende meningen over de vraag of een CISO wel of niet een eigen raadsman nodig heeft. Wat moet een CISO doen? Het panel was het erover eens dat een persoonlijke advocaat waarschijnlijk nodig is, vooral wanneer hij wordt geïnterviewd door de SEC of het ministerie van Justitie (DOJ). Het kan ook een slimme zet zijn om juridische vertegenwoordiging te hebben tijdens interne onderzoeken en interacties met de bedrijfsjurist.

Denk eens aan de D&O-verzekering

Een ander cruciaal aspect dat door het panel werd benadrukt, was het begrijpen van en investeren in de verzekeringen voor directeuren en functionarissen (D&O). In het licht van mogelijke juridische stappen kan het hebben van D&O-dekking CISO's financiële bescherming bieden. De experts raden aan om vertrouwd te raken met de dekking, te controleren op eventuele bestaande claims en zelfs een afzonderlijke dekking te overwegen voor extra bescherming.

Omarm de drie pijlers: afstemmen, verduidelijken, escaleren

In dit nieuwe tijdperk van verhoogde cyberbeveiligingshandhaving wordt CISO's geadviseerd zich aan drie belangrijke pijlers te houden: op één lijn brengen, verduidelijken en escaleren. Breng cyberbeveiligingspraktijken in lijn met erkende normen, verduidelijk de communicatie met juridische en FBI-contacten en escaleer zorgen hogerop in de commandostructuur. Deze pijlers vormen de basis van een proactieve en beschermende benadering van de veranderende uitdagingen waarmee leidinggevenden op het gebied van cyberbeveiliging worden geconfronteerd.

CISO's moeten nu proactieve maatregelen nemen

De SolarWinds SEC-rechtszaak heeft de potentiële risico's belicht waarmee leidinggevenden op het gebied van cyberbeveiliging worden geconfronteerd. CISO's worden dringend verzocht proactieve maatregelen te nemen om zichzelf tegen juridische blootstelling te beschermen. Het opbouwen van sterke allianties met de General Counsel, het leggen van verbindingen met de FBI, het naleven van cyberbeveiligingsnormen, het verkrijgen van een D&O-verzekering en het omarmen van de drie pijlers van afstemming, verduidelijking en escalatie zijn belangrijke stappen in het omgaan met de uitdagingen van dit nieuwe tijdperk van cyberbeveiligingshandhaving. Terwijl het landschap zich blijft ontwikkelen, moeten CISO's waakzaam en goed voorbereid blijven om de veiligheid van hun organisaties te waarborgen en hun eigen professionele status veilig te stellen.

Tijdstempel:

Meer van Donkere lezing