اللوائح التشريعية الجديدة تغير قواعد اللعبة في مجال الأمن السيبراني في صناعة الخدمات المالية

أحد أهم أحداث الأمن السيبراني في التاريخ على وشك الحدوث بالنسبة لصناعة الخدمات المالية في شكل لوائح تشريعية جديدة.

سيكون للقواعد الجديدة الصادرة عن لجنة الأوراق المالية والبورصات الأمريكية (SEC) تأثير كبير على الشركات التي تقدم خدمات مالية ويمكن أن يكون لها تأثير عميق على ثقافة الأمن السيبراني بمجرد اعتمادها.

اقتراح لجنة الأوراق المالية والبورصات الجديد

سوف يفرض اقتراح SEC الجديد شفافية ومساءلة كاملة للأمن السيبراني على أعلى مستوى من قيادة الأعمال - بما في ذلك مجالس الإدارة - لجميع الشركات المملوكة للقطاع العام. ستفرض على الشركات الإبلاغ عن أحداث الأمن السيبراني المهمة في نموذج 8-K الخاص بهم.

يجب عليهم أيضًا الكشف عن سياسات الشركة وممارساتها لإدارة مخاطر الأمن السيبراني ، وكذلك كيفية مشاركة الإدارة في تنفيذها.

يجب أيضًا الكشف عن العملية التي يستخدمها مجلس إدارة الشركة للإشراف على مخاطر الأمن السيبراني ، بالإضافة إلى خبرة أي عضو في الأمن السيبراني.

سيقطع هذا الاقتراح شوطًا طويلاً نحو مساعدة مخاطر الأمن السيبراني واستراتيجيته في أن تصبح محادثة على مستوى مجلس الإدارة - وهو تطور مطلوب منذ فترة طويلة. سيساعد أيضًا في تعزيز إنفاق المؤسسة على الأمن السيبراني وزيادة الطلب على المعرفة بالأمن السيبراني على مستوى مجلس الإدارة. وسيؤكد أيضًا على أهمية تضمين CISOs في هذه المحادثات والقرارات على مستوى مجلس الإدارة.

التعمق في التفاصيل

في 23 مارس 2022 ، تقدمت لجنة الأوراق المالية والبورصات (SEC) باقتراح لتحسين وتوحيد عمليات الإفصاح التي تقوم بها الشركات العامة المطلوبة للامتثال لمتطلبات إعداد التقارير الخاصة بقانون الأوراق المالية لعام 1934. تشير المتطلبات إلى إدارة مخاطر الأمن السيبراني والاستراتيجية والحوكمة و الإبلاغ عن الحوادث. سيلزم الإبلاغ عن أحداث الأمن السيبراني الجوهرية ، وسيتعين الإفصاح عن سياسات وإجراءات الأمن السيبراني على أساس منتظم وسيحتاج مجلس الإدارة إلى الإشراف على مخاطر الأمن السيبراني.

عندما تستنتج مؤسسة مالية أنها تعرضت لحادث أمن إلكتروني كبير بعد أن أصبحت متطلبات SEC قانونًا ، يكون أمامها أربعة أيام عمل للإفصاح عنها. يجب تعديل تقرير نموذج 8-K - الذي يجب على الشركات تقديمه إلى لجنة الأوراق المالية والبورصات من أجل الإعلان عن الأحداث المهمة التي يحتاج المساهمون إلى معرفتها - كجزء من عملية الإفصاح. تنص الخطة الجديدة أيضًا على الكشف عن عدد من حوادث الأمن السيبراني الفردية التي لم يتم الإبلاغ عنها سابقًا والتي ، مجتمعة ، لها عواقب وخيمة.

سياساتك مكشوفة

تعد الخطة الجديدة لإدارة المخاطر والاستراتيجية والإفصاح عن الحوكمة أكثر أهمية من قسم الإبلاغ عن الحوادث في الاقتراح. سيتم الكشف عن سياسات وممارسات إدارة مخاطر الأمن السيبراني للمؤسسة العامة من خلال هذا القسم من الاقتراح. يجب على الشركات أيضًا الكشف عن كيفية قيام مجلس الإدارة بالإشراف على مخاطر الأمن السيبراني.

بالإضافة إلى ذلك ، يجب على الشركات الإفصاح عن دور الإدارة التنفيذية في تقييم مخاطر الأمن السيبراني وتنفيذ سياسات وإجراءات الشركة. تشبه هذه العملية نشر "بطاقة تقرير" إحدى المنظمات عبر الإنترنت للمراجعة والتعليق العام.

بموجب اللائحة الجديدة ، يجب على الشركات الكشف عن سياساتها وعملياتها لتحديد وإدارة المخاطر الناجمة عن هجمات الأمن السيبراني. إذا لم يتم تطبيق أي شيء ، فسوف تلاحظه لجنة الأوراق المالية والبورصات ، وقد يؤدي ذلك إلى عواقب وخيمة ، مثل الغرامات والعقوبات على عدم الامتثال. ستحتاج الشركات أيضًا إلى تحديد ما إذا كان الأمن السيبراني جزءًا من إستراتيجية الشركة والتخطيط المالي وتخصيص رأس المال.

أخيرًا وليس آخرًا ، تنص اللائحة الجديدة على أن أي أعضاء مجلس إدارة يمتلكون خبرة في مجال الأمن السيبراني يجب أن يعلنوا عنها في التقرير السنوي وبعض بيانات التوكيل. يجب أن يكون لدى مجلس الإدارة خبراء داخليون وخارجيون في مجال الأمن السيبراني (SMEs). يجب أن توفر الشركات الصغيرة والمتوسطة الخارجية المعرفة المتخصصة ، ويجب على الشركات الصغيرة والمتوسطة الداخلية توفير المعرفة المؤسسية.

الأمن السيبراني: ضرورة القيادة

يتم إنشاء الثغرات في درع الأمن السيبراني من قبل الناس. إن جعل موظفيك جزءًا لا يتجزأ من الحل ، بدلاً من المشكلة ، هو الطريقة الوحيدة للتعامل مع هذا الواقع. عادة ما يكون مجلس الإدارة في أعلى الهيكل التنظيمي ؛ وهنا يجب أن يبدأ الاهتمام بالقواعد الجديدة. ويجب عليهم تزويد الموظفين بالتدريب المستمر والتقنيات الجديدة.

يعد الأمن السيبراني أحد أهم الالتزامات الائتمانية التي يتحملها المديرين والمسؤولين اليوم. يجب أن يكون مجلس الإدارة على يقين من اتباع إرشادات وممارسات الأمن السيبراني. يجب على القادة إنشاء ورعاية ثقافة واعية بالمخاطر في جميع أنحاء الشركة ، مما يتيح اتخاذ قرارات أفضل.

الامتثال في الأفق

سواء أدركنا ذلك أم لا ، فإن قطاع الخدمات المالية ضروري لنا جميعًا. يجب تقويتها وحمايتها - والآن ، وليس لاحقًا.

تنشأ لوائح جديدة في ضوء هذه الحقيقة ، والامتثال ليس اختياريًا. يجب على الشركات مواءمة سياساتها وإجراءاتها مع هيئة الأوراق المالية والبورصات والهيئات التنظيمية الدولية الأخرى من أجل جعل العالم الرقمي أكثر أمانًا للمستثمرين والمستهلكين على حد سواء.

نبذة عن الكاتب:

يشغل مايكل براون منصب CISO الميداني للخدمات المالية في شركة Fortinet للأمن السيبراني.

وهو متخصص في لوائح الأمن السيبراني ، وتأثير ESG ، و SD-WAN ، و SD-Branch ، و Zero Trust ، وأمن التداول الإلكتروني منخفض التأخير ، و SASE والحلول متعددة السحابة.