Правила кібербезпеки SEC викликають запитання

Нова кібербезпека SEC правити призначений для захисту інвесторів і гарантує, що компанії серйозно ставляться до безпеки. Але він створює стільки запитань, скільки і відповідей.

Публічні компанії повинні повідомляти про інформаційні матеріали інцидентів протягом чотирьох днів. Вони також повинні описати його вплив, зокрема, чи були дані оприлюднені та кроки, які вони вжили для зменшення ризику. Процеси управління кібербезпекою мають бути розкриті в річних звітах.

SEI Сфера директор з кібербезпеки Майк Лефевр сказав, що регулятори повинні вжити заходів, щоб допомогти компаніям, оскільки вони стикаються з дедалі складнішими атаками. Це гра, яку багато хто програє без допомоги.

Заходи кібербезпеки, використані злочинцями

Але будь-яке регулювання потрібно ретельно продумувати. Кіберзлочинці використовують правила як зброю як тактику загрози. Один повідомив про жертву SEC за невиконання вимог у рамках кампанії вимагання.

«Вони говорять про своїх жертв», — сказав Лефевр. «Тут ми створюємо нормативний акт, який дасть суб’єктам загрози ще один важіль впливу. Ми повинні зрозуміти, як бути розумними щодо того, що ми робимо, з точки зору регулювання».

Правило є нечітким у визначенні. Що таке «істотне» порушення? Лефевр сказав, що це сіра зона. Компанії можуть не звітувати через чисте незнання або щоб зберегти правдоподібне заперечення. Багато хто не зможе визначити «матеріал».

Підвищення хвилі кібербезпеки для всіх човнів

Вимога розкриття стратегії в річних звітах дозволяє інвесторам побачити, наскільки серйозно організації ставляться до кібербезпеки. Це змушує деяких бути більш відданими та прозорими у своєму підході.

Чи підвищить ця відкритість рівень безпеки для всіх човнів, оскільки компанії будуть змушені не відставати від Джонса? Лефевр попереджає, що нормативно-правові акти вимагають мінімум. Вони можуть утримати корабель на плаву, але нічого більше не гарантують. Тим не менш, чистий результат є прогресом.

«Я справді вірю, що це викликає підвищення припливу», — сказав він. «Це вимагає рівня зрілості (від) організацій у тому, як вони думають про кіберризики. Вони повинні звернути увагу на це і не очікувати, що це буде ця езотерична річ, яка ніколи не може статися з ними».

Чи змусить злочинців шукати «дірявий човен» вимога щодо публікації стратегій кібербезпеки? Лефевр так не вважає. Він сказав, що компанії повинні описувати свій загальний підхід, але не основні складові.

Чому стосунки з третіми особами важливі

SEI Sphere є регульованою фінансовою установою та керованим постачальником послуг. Лефевр сказав, що це надає його компанії унікальну перспективу та високий стандарт, що дозволяє забезпечувати безпеку корпоративного рівня для клієнтів будь-якого розміру. Так само, як компанії використовують юристів і бухгалтерів через важливість цих завдань, вони також повинні використовувати сторонніх професіоналів.

«Я користуюся послугами бухгалтера для сплати податків, тому що вартість того, щоб зробити це правильно, значно перевищує ризик зробити це неправильно», — сказав він. «З кібернетичною системою все не інакше; давайте заплатимо наперед. Давайте інвестувати зараз, щоб зробити це правильно, а не робити це неправильно, тому що коли ми зазнаємо невдачі, ми повинні це виправити, є гонорари юристів і репутація бренду».

«Зрештою, на карту поставлені дані. Це особисте. Ми говоримо про організації в сфері охорони здоров’я та фінансів. Частиною якої б галузі ви не були, ваші дані є частиною цієї екосистеми, яка є заручником. Кожен повинен відчувати себе змушеним вирішити цю проблему, оскільки наші особисті дані під загрозою».

Чотирьох днів може бути недостатньо

Чи достатньо чотирьох робочих днів, щоб повідомити про суттєве порушення? Лефевр сказав, що це питання на 1 мільйон доларів. Важко повідомити про пожежу, поки її гасиш. Які системи зазнають впливу? Які бізнес-одиниці задіяні? Коли це відбулося? Як злочинець реагує на ваші зусилля?

«Під час інциденту на кухні багато кухарів», — сказав Лефевр. «Весь цей час на іншому кінці клавіатури є активний супротивник, який маніпулює та працює в ногу з тим, що ви робите. Отже, серед усього цього фону це трохи цирку. І ми намагаємося зрозуміти, як нам належним чином позиціонувати себе, щоб не компенсувати себе, щоб не повідомити нападнику, що ми розуміємо, що на нас атакують?»

Компанії, які звітують, піддаються значному ризику. Хоча MTTR (середній час відновлення) є статистичним показником, який часто цитується, щоб порівняти ефективність компаній у боротьбі з порушеннями кібербезпеки, повідомлення про порушення дає злочинцям зрозуміти, що ви на них.

«Зловмисники можуть ховатися місяцями. Ви скажете SEC, вони знають, і витягніть шпильку або змініть тактику», – сказав Лефевр. «Нам потрібно знайти справжній баланс між розумінням необхідності захисту інвесторів і необхідністю захисту організації. Але ми граємо з суперником, який грав не за правилами».

AI – хороший і поганий

Лефевр сказав, що штучний інтелект приносить і хвилювання, і виклики. Позитивно, це підібраний бібліотекар, який може поєднати крапки новими та захоплюючими способами. З іншого боку, це покращує якість кібератак, усуваючи погану граматику та інші ознаки проникнення. Проте, як і з будь-якою революційною технологією, Лефевр вважає, що ми повинні прийняти її, тому що якщо ми цього не зробимо, інша сторона це зробить, і ми відстанемо.

Ще один аспект кібербезпеки, який необхідно змінити, — це мислення новаторів із самого початку. Студенти-інформатики оцінюються за кодом, який працює, незалежно від того, безпечний він чи ні. Він сказав, що тому безпека завжди залишалася позаду.

«Але нам стає краще», — визнав Лефевр. «Це узгоджується з цілою зміною розробки програмного забезпечення та залученням безпеки на ранніх етапах процесу розробки. Завжди купували технологію, впроваджували її, створювали, підключали, а потім що ми зробили, щоб викрити себе, про що навіть не думали?

«Я сподіваюся, що в майбутньому буде не лише технологія та безпека, але й те, що безпечна технологія — це одне слово, і що кожна технологія розглядається безпечно, незалежно від того, який ризик наражається на цю організацію».

.pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { font-size: 20px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { font-weight: bold !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .box-header-title { color: #000000 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-avatar img { border-style: none !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-avatar img { border-radius: 5% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { font-size: 24px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { font-weight: bold !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-name a { color: #000000 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-description { font-style: none !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-description { text-align: left !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a span { font-size: 20px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a span { font-weight: normal !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta { text-align: left !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a { color: #ffffff !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-meta a:hover { color: #ffffff !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-user_url-profile-data { color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data span, .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data i { font-size: 16px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { border-radius: 50% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-twitter-profile-data { text-align: center !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data span, .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data i { font-size: 16px !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data { background-color: #6adc21 !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .ppma-author-linkedin-profile-data { border-radius: 50% !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-author-boxes-recent-posts-title { border-bottom-style: dotted !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-multiple-authors-boxes-li { border-style: solid !important; } .pp-multiple-authors-boxes-wrapper.box-post-id-45383.pp-multiple-authors-layout-boxed.multiple-authors-target-shortcode.box-instance-id-1 .pp-multiple-authors-boxes-li { color: #3c434a !important; }

• Розповсюдження контенту та PR на основі SEO. Отримайте посилення сьогодні.
• PlatoData.Network Vertical Generative Ai. Додайте собі сили. Доступ тут.
• PlatoAiStream. Web3 Intelligence. Розширення знань. Доступ тут.
• ПлатонЕСГ. вуглець, CleanTech, Енергія, Навколишнє середовище, Сонячна, Поводження з відходами. Доступ тут.
• PlatoHealth. Розвідка про біотехнології та клінічні випробування. Доступ тут.
• джерело: https://www.fintechnexus.com/sec-cybersecurity-rule-raises-questions/