नए विधायी नियम FS उद्योग के लिए साइबर सुरक्षा गेम-चेंजर हैं

इतिहास में सबसे महत्वपूर्ण साइबर सुरक्षा घटनाओं में से एक वित्तीय सेवा उद्योग के लिए नए विधायी नियमों के रूप में होने वाली है।

यूएस सिक्योरिटीज एंड एक्सचेंज कमीशन (एसईसी) के नए नियमों का उन व्यवसायों पर महत्वपूर्ण प्रभाव पड़ेगा जो वित्तीय सेवाएं प्रदान करते हैं और एक बार अपनाए जाने के बाद साइबर सुरक्षा संस्कृति पर गहरा प्रभाव डाल सकते हैं।

एसईसी का नया प्रस्ताव

नया एसईसी प्रस्ताव सभी सार्वजनिक रूप से आयोजित कंपनियों के लिए निदेशक मंडल सहित उच्चतम स्तर के व्यावसायिक नेतृत्व में पूर्ण साइबर सुरक्षा पारदर्शिता और जवाबदेही को अनिवार्य करेगा। यह अनिवार्य होगा कि व्यवसाय अपने फॉर्म 8-के पर महत्वपूर्ण साइबर सुरक्षा घटनाओं की रिपोर्ट करें।

उन्हें साइबर सुरक्षा जोखिमों के प्रबंधन के लिए कंपनी की नीतियों और प्रथाओं का भी खुलासा करना चाहिए, साथ ही साथ प्रबंधन उनके कार्यान्वयन में कैसे भाग लेता है।

कंपनी के निदेशक मंडल द्वारा साइबर सुरक्षा जोखिम की निगरानी के लिए उपयोग की जाने वाली प्रक्रिया, साथ ही बोर्ड के किसी भी सदस्य की साइबर सुरक्षा विशेषज्ञता का भी खुलासा किया जाना चाहिए।

यह प्रस्ताव साइबर सुरक्षा जोखिम और रणनीति को बोर्ड स्तर की बातचीत बनने में मदद करने की दिशा में एक लंबा रास्ता तय करेगा - एक लंबे समय से आवश्यक विकास। यह साइबर सुरक्षा के लिए उद्यम खर्च को बढ़ावा देने और बोर्ड स्तर पर साइबर सुरक्षा ज्ञान की मांग को बढ़ाने में भी मदद करेगा। और यह इन बोर्ड-स्तरीय बातचीत और निर्णयों में CISO को शामिल करने के महत्व को भी रेखांकित करेगा।

विवरण में खुदाई

23 मार्च 2022 को, SEC ने सार्वजनिक फर्मों द्वारा किए गए प्रकटीकरणों को सुधारने और मानकीकृत करने के लिए एक प्रस्ताव रखा, जो 1934 के प्रतिभूति विनिमय अधिनियम की रिपोर्टिंग आवश्यकताओं का अनुपालन करने के लिए आवश्यक हैं। आवश्यकताएं साइबर सुरक्षा जोखिम प्रबंधन, रणनीति, शासन और घटना की रिपोर्टिंग। सामग्री साइबर सुरक्षा घटनाओं की रिपोर्ट करने की आवश्यकता होगी, साइबर सुरक्षा नीतियों और प्रक्रियाओं को नियमित आधार पर प्रकट करने की आवश्यकता होगी और निदेशक मंडल को साइबर सुरक्षा जोखिम की निगरानी करने की आवश्यकता होगी।

जब एक वित्तीय संस्थान यह निष्कर्ष निकालता है कि इन एसईसी आवश्यकताओं के कानून बनने के बाद उनके पास पर्याप्त साइबर सुरक्षा घटना हुई है, तो उनके पास इसका खुलासा करने के लिए चार कार्यदिवस हैं। फॉर्म 8-के रिपोर्ट - जो व्यवसायों को महत्वपूर्ण घटनाओं की घोषणा करने के लिए एसईसी को जमा करना होगा, जिनके बारे में शेयरधारकों को जानना आवश्यक है - प्रकटीकरण प्रक्रिया के हिस्से के रूप में संशोधित करने की आवश्यकता होगी। नई योजना में पहले से रिपोर्ट न की गई कई व्यक्तिगत साइबर सुरक्षा घटनाओं के प्रकटीकरण को भी अनिवार्य किया गया है, जिन्हें एक साथ लिया गया है, जिसके गंभीर परिणाम हैं।

आपकी नीतियां नंगे हैं

जोखिम प्रबंधन, रणनीति और शासन प्रकटीकरण के लिए नई योजना प्रस्ताव की घटना रिपोर्टिंग अनुभाग से भी अधिक महत्वपूर्ण है। एक सार्वजनिक निगम की साइबर सुरक्षा जोखिम प्रबंधन नीतियों और प्रथाओं को प्रस्ताव के इस खंड के माध्यम से उजागर किया जाएगा। कंपनियों को यह भी खुलासा करना होगा कि निदेशक मंडल साइबर सुरक्षा जोखिम की देखरेख कैसे करता है।

इसके अतिरिक्त, कंपनियों को साइबर सुरक्षा जोखिम का मूल्यांकन करने और फर्म की नीतियों और प्रक्रियाओं को पूरा करने में कार्यकारी प्रबंधन की भूमिका का खुलासा करना चाहिए। यह प्रक्रिया किसी संगठन के "रिपोर्ट कार्ड" को सार्वजनिक समीक्षा और टिप्पणी के लिए ऑनलाइन पोस्ट करने के समान है।

नए विनियमन के तहत, कंपनियों को साइबर सुरक्षा हमलों से जोखिमों की पहचान और प्रबंधन के लिए अपनी नीतियों और प्रक्रियाओं का खुलासा करना होगा। यदि कोई जगह नहीं है, तो एसईसी इसे नोट करेगा और इसके परिणामस्वरूप बड़े परिणाम हो सकते हैं, जैसे कि जुर्माना और गैर-अनुपालन के लिए दंड। कंपनियों को यह भी बताना होगा कि साइबर सुरक्षा उनकी कॉर्पोरेट रणनीति, वित्तीय योजना और पूंजी आवंटन का हिस्सा है या नहीं।

अंतिम लेकिन कम से कम, नया विनियमन अनिवार्य नहीं है कि साइबर सुरक्षा विशेषज्ञता रखने वाले किसी भी बोर्ड के सदस्यों को इसे वार्षिक रिपोर्ट और कुछ प्रॉक्सी बयानों में घोषित करना होगा। बोर्ड में आंतरिक और बाहरी साइबर सुरक्षा विषय विशेषज्ञ (एसएमई) दोनों होने चाहिए। बाहरी एसएमई को विशेषज्ञ ज्ञान प्रदान करना चाहिए, और आंतरिक एसएमई को संस्थागत ज्ञान प्रदान करना चाहिए।

साइबर सुरक्षा: एक नेतृत्व अनिवार्य

साइबर सुरक्षा के कवच में झंकार लोगों द्वारा बनाई गई है। समस्या के बजाय अपने कर्मचारियों को समाधान का अभिन्न अंग बनाना ही इस वास्तविकता से निपटने का एकमात्र तरीका है। निदेशक मंडल आमतौर पर संगठनात्मक संरचना के शीर्ष पर होता है; यहीं से नए नियमों पर ध्यान देने की जरूरत है। और उन्हें कर्मचारियों को चल रहे प्रशिक्षण और नई तकनीकों से लैस करना चाहिए।

आज के निदेशकों और अधिकारियों के पास सबसे महत्वपूर्ण प्रत्ययी दायित्वों में से एक साइबर सुरक्षा है। बोर्ड को निश्चित होना चाहिए कि साइबर सुरक्षा दिशानिर्देशों और प्रथाओं का पालन किया जा रहा है। नेताओं को पूरी कंपनी में एक जोखिम-जागरूक संस्कृति स्थापित और पोषित करनी चाहिए, जो बेहतर निर्णय लेने में सक्षम बनाती है।

क्षितिज पर अनुपालन

हम इसे महसूस करें या न करें, वित्तीय सेवा क्षेत्र हम सभी के लिए आवश्यक है। इसे मजबूत और संरक्षित किया जाना चाहिए - और अभी, बाद में नहीं।

इस तथ्य के आलोक में नए नियम उत्पन्न हो रहे हैं, और अनुपालन वैकल्पिक नहीं है। डिजिटल दुनिया को निवेशकों और उपभोक्ताओं के लिए समान रूप से सुरक्षित बनाने के लिए कंपनियों को अपनी नीतियों और प्रक्रियाओं को SEC और अन्य अंतरराष्ट्रीय नियामक निकायों के साथ संरेखित करना चाहिए।

के बारे में लेखक:

माइकल ब्राउन साइबर सुरक्षा फर्म फोर्टिनेट में वित्तीय सेवाओं के लिए फील्ड सीआईएसओ हैं।

वह साइबर सुरक्षा नियमों, ईएसजी प्रभाव, एसडी-वैन, एसडी-शाखा, जीरो ट्रस्ट, कम विलंबता इलेक्ट्रॉनिक ट्रेडिंग सुरक्षा, एसएएसई और मल्टी-क्लाउड समाधानों में माहिर हैं।