A regra de segurança cibernética da SEC levanta questões

A nova segurança cibernética da SEC governar foi projetado para proteger os investidores e garantir que as empresas levem a segurança a sério. Mas cria tantas perguntas quanto responde.

As empresas públicas devem relatar material cibernético incidentes dentro de quatro dias. Devem também descrever o seu impacto, incluindo se os dados foram divulgados publicamente e as medidas que tomaram para mitigar o risco. Os processos de gestão da cibersegurança devem ser divulgados em relatórios anuais.

Esfera SEI diretor de segurança cibernética Mike Lefebvre disse que os reguladores precisam tomar medidas para ajudar as empresas à medida que enfrentam ataques cada vez mais sofisticados. É um jogo que muitos perderão sem ajuda.

Etapas de segurança cibernética transformadas em armas por criminosos

Mas qualquer regulamentação precisa ser cuidadosamente pensada. Os cibercriminosos usam as regulamentações como táticas de ameaça. Um denunciou uma vítima à SEC por não conformidade como parte de sua campanha de extorsão.

“Eles estão denunciando suas vítimas”, disse Lefebvre. “Aqui estamos elaborando uma regulamentação que dá aos atores de ameaças outro ponto de vantagem. Temos que descobrir como ser inteligentes sobre o que estamos fazendo do ponto de vista regulatório.”

A regra é vaga em definição. O que é uma violação “material”? Lefebvre disse que é uma área cinzenta. As empresas podem não reportar por pura ignorância ou para manter uma negação plausível. Muitos não conseguirão definir “material”.

Aumentando a maré da segurança cibernética para todos os barcos

Exigir a divulgação da estratégia nos relatórios anuais permite que os investidores vejam até que ponto as organizações levam a sério a segurança cibernética. Está forçando alguns a serem mais dedicados e transparentes em sua abordagem.

Será que essa abertura aumentará o nível de segurança para todos os barcos, uma vez que as empresas serão forçadas a acompanhar os Joneses? Lefebvre adverte que os regulamentos exigem o mínimo. Eles podem manter o navio flutuando, mas garantem pouco além disso. Ainda assim, o resultado líquido é um progresso.

“Acredito que isso esteja forçando uma maré crescente”, disse ele. “Isso está forçando um nível de maturidade (das) organizações na forma como elas pensam sobre o risco cibernético. Eles devem abordar isso e não esperar que seja algo esotérico que nunca poderia acontecer com eles.”

A exigência de publicar estratégias de segurança cibernética fará com que os criminosos procurem o barco furado? Lefebvre não pensa assim. Ele disse que as empresas devem descrever sua abordagem geral, mas não os ingredientes básicos.

Por que os relacionamentos com terceiros são importantes

SEI Sphere é uma instituição financeira regulamentada e um provedor de serviços gerenciados. Lefebvre disse que isso dá à sua empresa uma perspectiva única e um alto padrão que lhes permite fornecer segurança de nível empresarial a clientes de todos os tamanhos. Assim como as empresas recorrem a advogados e contadores devido à importância dessas tarefas, também devem recorrer a profissionais terceirizados.

“Eu uso um contador para meus impostos porque o custo de fazer tudo certo supera em muito o risco de fazer errado”, disse ele. “Não é diferente com o ciberespaço; vamos pagar adiantado. Vamos investir agora para fazer tudo certo, em vez de fazer errado, porque quando temos uma falha, temos que consertar, há os honorários advocatícios e a reputação da marca.”

“No final das contas, os dados estão em jogo. É pessoal. Estamos falando de organizações de saúde e finanças. Seja qual for o setor do qual você faz parte, seus dados fazem parte desse ecossistema que está sendo mantido como refém. Todos deveriam se sentir obrigados a resolver isso porque nossos dados pessoais estão em risco.”

Quatro dias podem não ser tempo suficiente

Quatro dias úteis são tempo suficiente para denunciar uma violação material? Lefebvre disse que essa é a pergunta de US$ 1 milhão. É difícil relatar um incêndio enquanto você o combate. Quais sistemas são impactados? Quais unidades de negócios estão envolvidas? Quando isso aconteceu? Como o criminoso está reagindo aos seus esforços?

“Há muitos cozinheiros na cozinha durante um incidente”, disse Lefebvre. “O tempo todo, há um adversário ativo do outro lado do teclado, manipulando e trabalhando em sincronia com o que você está fazendo. Então, em meio a todo esse cenário, é meio que um circo. E estamos tentando descobrir como nos posicionarmos adequadamente, para não nos indenizarmos, para não dizermos ao atacante que entendemos que estamos sendo atacados?”

Há muito risco para as empresas que reportam. Embora o MTTR (tempo médio para reparo) seja uma estatística frequentemente citada, usada para comparar a eficácia das empresas no tratamento de violações de segurança cibernética, relatar uma violação permite que os criminosos saibam que você está atrás deles.

“Os invasores podem ficar à espreita por meses. Você diz à SEC, eles sabem e puxam a alavanca ou mudam de tática”, disse Lefebvre. “Há um verdadeiro equilíbrio que precisamos fazer aqui entre a compreensão da necessidade de proteger os investidores e a necessidade de proteger a organização. Mas estamos jogando com um adversário que não cumpriu as regras.”

IA – o bom e o ruim

Lefebvre disse que a IA traz entusiasmo e desafios. Do lado positivo, é um bibliotecário curador que pode ligar os pontos de maneiras novas e emocionantes. Do lado negativo, melhora a qualidade do ataque cibernético, removendo erros gramaticais e outros sinais reveladores de infiltração. Ainda assim, como acontece com qualquer tecnologia disruptiva, Lefebvre acredita que devemos adotá-la porque, se não o fizermos, o outro lado o fará e ficaremos para trás.

Outro aspecto da segurança cibernética que deve mudar é a mentalidade que os inovadores trazem desde o início. Os estudantes de ciência da computação são avaliados com base em códigos que funcionam, sejam eles seguros ou não. Ele disse que é por isso que a segurança sempre foi uma reflexão tardia.

“Mas estamos melhorando”, admitiu Lefebvre. “Isso se alinha com toda a mudança no desenvolvimento de software e no envolvimento da segurança no início do processo de desenvolvimento. Sempre foi comprar a tecnologia, implementá-la, construí-la, conectá-la, e então o que fizemos para nos expor que nem pensamos?

“Minha esperança é que haja um futuro onde não apenas tecnologia e segurança estejam separadas, mas que tecnologia segura seja uma palavra e que cada tecnologia seja pensada de maneira segura, sobre qualquer risco que esteja sendo trazido para essa organização.”

.pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { font-size: 20px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { font-weight: bold !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { color: #000000 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-avatar img { border-style: none !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-avatar img { border-radius: 5% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { font-size: 24px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { font-weight: bold !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { color: #000000 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-description { font-style: none !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-description { text-align: left !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a span { font-size: 20px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a span { font-weight: normal !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta { text-align: left !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a { color: #ffffff !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a:hover { color: #ffffff !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-user_url-profile-data { color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data span, .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data i { font-size: 16px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { border-radius: 50% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { text-align: center !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data span, .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data i { font-size: 16px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data { border-radius: 50% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-recent-posts-title { border-bottom-style: dotted !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-multiple-authors-boxes-li { border-style: solid !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-multiple-authors-boxes-li { color: #3c434a !important; }

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• PlatoData.Network Gerativa Vertical Ai. Capacite-se. Acesse aqui.
• PlatoAiStream. Inteligência Web3. Conhecimento Amplificado. Acesse aqui.
• PlatãoESG. Carbono Tecnologia Limpa, Energia, Ambiente, Solar, Gestão de resíduos. Acesse aqui.
• PlatoHealth. Inteligência em Biotecnologia e Ensaios Clínicos. Acesse aqui.
• Fonte: https://www.fintechnexus.com/sec-cybersecurity-rule-raises-questions/