SEC cybersäkerhetsregel väcker frågor

SEC:s nya cybersäkerhet härska är utformad för att skydda investerare och säkerställa att företag tar säkerheten på allvar. Men det skapar lika många frågor som det svarar.

Offentliga företag måste rapportera väsentlig cyber incidenter inom fyra dagar. De måste också beskriva dess inverkan, inklusive huruvida data offentliggjordes och de åtgärder de vidtog för att minska risken. Processer för hantering av cybersäkerhet ska redovisas i årsredovisningar.

SEI-sfären chef för cybersäkerhet Mike Lefebvre nämnda tillsynsmyndigheter måste vidta åtgärder för att hjälpa företag när de möter allt mer sofistikerade attacker. Det är ett spel många kommer att förlora utan hjälp.

Cybersäkerhetssteg beväpnade av brottslingar

Men varje reglering måste vara noggrant genomtänkt. Cyberkriminella beväpnar regleringar som hottaktik. En anmälde ett offer till SEC för bristande efterlevnad som en del av dess utpressningskampanj.

"De berättar för sina offer," sa Lefebvre. ”Här gör vi en reglering som ger hotaktörer ytterligare en hävstångspunkt. Vi måste ta reda på hur vi ska vara smarta med vad vi gör ur en regulatorisk synvinkel.”

Regeln är vag i definitionen. Vad är ett "materiellt" brott? Lefebvre sa att det är en gråzon. Företag kanske inte rapporterar av ren okunnighet eller för att upprätthålla rimlig förnekelse. Många kommer inte att kunna definiera "material".

Höjer cybersäkerheten för alla båtar

Genom att kräva att strategier offentliggörs i årsrapporter kan investerare se hur allvarligt organisationer tar cybersäkerhet. Det tvingar vissa att vara mer hängivna och transparenta i sitt tillvägagångssätt.

Kommer den öppenheten att höja säkerhetsnivån för alla båtar, eftersom företag kommer att tvingas hålla jämna steg med Joneses? Lefebvre varnar för att reglerna kräver ett absolut minimum. De kan hålla fartyget flytande men garanterar lite utöver det. Ändå är nettoresultatet framsteg.

"Jag tror att det tvingar fram en stigande tidvatten," sade han. "Det tvingar fram en mognadsnivå (från) organisationer i hur de tänker kring cyberrisk. De måste ta itu med det och inte förvänta sig att det ska vara denna esoteriska sak som aldrig skulle kunna hända dem.”

Kommer kravet att publicera cybersäkerhetsstrategier att få kriminella att leta efter den läckande båten? Det tycker inte Lefebvre. Han sa att företag måste beskriva sin övergripande strategi men inte de grundläggande ingredienserna.

Varför tredje parts relationer är viktiga

SEI Sphere är en reglerad finansiell institution och en leverantör av hanterade tjänster. Lefebvre sa att det ger hans företag ett unikt perspektiv och en hög standard som gör att de kan tillhandahålla säkerhet i företagsklass till kunder av alla storlekar. Precis som företag använder advokater och revisorer på grund av vikten av dessa uppgifter, så bör de anlita tredjepartsexperter.

"Jag använder en revisor för mina skatter eftersom kostnaden för att få det gjort rätt vida överväger risken att göra det fel," sa han. "Det är inte annorlunda med cyber; låt oss betala i förskott. Låt oss investera nu för att få det gjort rätt istället för att göra det fel, för när vi har haft ett misslyckande måste vi fixa det, det finns advokatarvoden och varumärkets rykte."

”I slutet av dagen står data på spel. Det är personligt. Vi pratar om organisationer inom sjukvård och finans. Vilken bransch du än är en del av är din data en del av detta ekosystem som hålls som gisslan. Alla borde känna sig tvungna att lösa detta eftersom våra personuppgifter är i fara.”

Fyra dagar kanske inte räcker till

Är fyra arbetsdagar tillräckligt med tid för att rapportera ett väsentligt brott? Lefebvre sa att det är frågan om 1 miljon dollar. Det är svårt att rapportera en brand medan du bekämpar den. Vilka system påverkas? Vilka affärsenheter är inblandade? När hände det? Hur reagerar brottslingen på dina ansträngningar?

"Det är många kockar i köket under en incident," sa Lefebvre. "Hela tiden finns det en aktiv motståndare i andra änden av tangentbordet, som manipulerar och arbetar i låst takt med det du gör. Så, mitt i all den bakgrunden är det lite av en cirkus. Och vi försöker ta reda på hur vi positionerar oss på rätt sätt, inte för att gottgöra oss själva, för att inte säga åt angriparen att vi förstår att vi blir attackerade?”

Det finns mycket risk för företag som rapporterar. Medan MTTR (mean time to repair) är en ofta citerad statistik som används för att jämföra företags effektivitet när det gäller att ta itu med cybersäkerhetsintrång, låter rapportering av ett brott brottslingar veta att du är på väg mot dem.

"Angripare kan lura i månader. Du säger till SEC, de vet och drar i stiftet eller ändrar taktik, sa Lefebvre. "Det finns en verklig balansgång som vi måste göra här mellan att förstå behovet av att skydda investerare och behovet av att skydda organisationen. Men vi spelar med en motståndare som inte följde reglerna.”

AI – det goda och det dåliga

Lefebvre sa att AI ger både spänning och utmaningar. Positivt är att det är en kurerad bibliotekarie som kan koppla ihop punkterna på nya och spännande sätt. Det negativa är att det förbättrar kvaliteten på cyberattacker genom att ta bort dålig grammatik och andra tecken på infiltration. Ändå, som med all störande teknik, anser Lefebvre att vi måste ta till oss den, för om vi inte gör det, kommer den andra sidan att göra det, och vi kommer att hamna på efterkälken.

En annan cybersäkerhetsaspekt som måste förändras är innovatörernas tankesätt från början. Datavetenskapsstudenter betygsätts på kod som fungerar, oavsett om den är säker eller inte. Han sa att det är därför säkerhet alltid har varit en eftertanke.

"Men vi blir bättre," erkände Lefebvre. "Det stämmer överens med hela skiftet av mjukvaruutveckling och att involvera säkerhet tidigare i utvecklingsprocessen. Det har alltid varit att köpa tekniken, implementera den, bygga den, koppla ihop den, och vad har vi sedan gjort för att avslöja oss själva som vi inte ens tänkt på?

"Min förhoppning är att det finns en framtid där det inte bara är teknik och säkerhet som är åtskilda, utan att säker teknik är ett ord, och att varje teknik övervägs på ett säkert sätt, om vilken risk som helst som förs över den organisationen."

.pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { font-size: 20px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { font-weight: bold !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { color: #000000 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-avatar img { border-style: none !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-avatar img { border-radius: 5% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { font-size: 24px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { font-weight: bold !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { color: #000000 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-description { font-style: none !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-description { text-align: left !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a span { font-size: 20px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a span { font-weight: normal !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta { text-align: left !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a { color: #ffffff !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a:hover { color: #ffffff !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-user_url-profile-data { color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data span, .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data i { font-size: 16px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { border-radius: 50% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { text-align: center !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data span, .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data i { font-size: 16px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data { border-radius: 50% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-recent-posts-title { border-bottom-style: dotted !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-multiple-authors-boxes-li { border-style: solid !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-multiple-authors-boxes-li { color: #3c434a !important; }

• SEO-drivet innehåll och PR-distribution. Bli förstärkt idag.
• PlatoData.Network Vertical Generative Ai. Styrka dig själv. Tillgång här.
• PlatoAiStream. Web3 Intelligence. Kunskap förstärkt. Tillgång här.
• Platoesg. Kol, CleanTech, Energi, Miljö, Sol, Avfallshantering. Tillgång här.
• PlatoHealth. Biotech och kliniska prövningar Intelligence. Tillgång här.
• Källa: https://www.fintechnexus.com/sec-cybersecurity-rule-raises-questions/