Peraturan legislatif baru adalah pengubah permainan keamanan siber untuk industri FS

Salah satu peristiwa keamanan siber paling signifikan dalam sejarah akan terjadi bagi industri jasa keuangan dalam bentuk peraturan perundang-undangan baru.

Aturan baru dari Komisi Sekuritas dan Bursa AS (SEC) akan berdampak signifikan pada bisnis yang menyediakan layanan keuangan dan dapat memiliki efek mendalam pada budaya keamanan siber setelah diterapkan.

Proposal baru SEC

Proposal SEC yang baru akan mengamanatkan transparansi dan akuntabilitas keamanan siber yang lengkap di tingkat tertinggi kepemimpinan bisnis—termasuk dewan direksi—untuk semua perusahaan publik. Ini akan mengamanatkan bahwa bisnis melaporkan peristiwa keamanan siber yang signifikan pada Formulir 8-K mereka.

Mereka juga harus mengungkapkan kebijakan dan praktik perusahaan untuk mengelola risiko keamanan siber, serta bagaimana manajemen berpartisipasi dalam penerapannya.

Proses yang digunakan dewan direksi perusahaan untuk mengawasi risiko keamanan siber, serta keahlian keamanan siber anggota dewan, juga harus diungkapkan.

Proposal ini akan sangat membantu dalam membantu risiko dan strategi keamanan siber menjadi perbincangan di tingkat dewan – sebuah perkembangan yang telah lama dibutuhkan. Ini juga akan membantu meningkatkan pengeluaran perusahaan untuk keamanan siber dan mendorong permintaan akan pengetahuan keamanan siber di tingkat dewan. Dan itu juga akan menggarisbawahi pentingnya memasukkan CISO dalam percakapan dan keputusan tingkat dewan ini.

Menggali detailnya

Pada tanggal 23 Maret 2022, SEC mengajukan proposal untuk meningkatkan dan menstandardisasi pengungkapan yang dibuat oleh perusahaan publik yang diwajibkan untuk mematuhi persyaratan pelaporan Securities Exchange Act of 1934. Persyaratan tersebut mengacu pada manajemen risiko keamanan siber, strategi, tata kelola, dan pelaporan insiden. Peristiwa keamanan siber material perlu dilaporkan, kebijakan dan prosedur keamanan siber perlu diungkapkan secara teratur dan dewan direksi perlu mengawasi risiko keamanan siber.

Ketika lembaga keuangan menyimpulkan bahwa mereka telah mengalami insiden keamanan siber yang substansial setelah persyaratan SEC ini menjadi undang-undang, mereka memiliki empat hari kerja untuk mengungkapkannya. Laporan Formulir 8-K – yang harus diserahkan oleh bisnis kepada SEC untuk mengumumkan peristiwa penting yang perlu diketahui pemegang saham – perlu diubah sebagai bagian dari proses pengungkapan. Rencana baru ini juga mengamanatkan pengungkapan sejumlah insiden keamanan siber individu yang sebelumnya tidak dilaporkan, yang secara bersama-sama memiliki konsekuensi serius.

Kebijakan Anda terbuka

Rencana baru untuk manajemen risiko, strategi, dan pengungkapan tata kelola bahkan lebih signifikan daripada bagian pelaporan insiden proposal. Kebijakan dan praktik manajemen risiko keamanan siber dari perusahaan publik akan diungkapkan melalui bagian proposal ini. Perusahaan juga harus mengungkapkan bagaimana dewan direksi mengawasi risiko keamanan siber.

Selain itu, perusahaan harus mengungkapkan peran manajemen eksekutif dalam mengevaluasi risiko keamanan siber dan menjalankan kebijakan dan prosedur perusahaan. Proses ini mirip dengan memposting “kartu laporan” organisasi secara online untuk ditinjau dan dikomentari publik.

Di bawah peraturan baru, perusahaan harus mengungkapkan kebijakan dan proses mereka untuk mengidentifikasi dan mengelola risiko dari serangan keamanan siber. Jika tidak ada, SEC akan mencatatnya dan dapat mengakibatkan konsekuensi besar, seperti denda dan penalti untuk ketidakpatuhan. Perusahaan juga perlu mengatakan apakah keamanan siber adalah bagian dari strategi perusahaan, perencanaan keuangan, dan alokasi modal mereka.

Last but not least, peraturan baru mengamanatkan bahwa setiap anggota dewan yang memiliki keahlian keamanan siber harus menyatakannya dalam laporan tahunan dan beberapa pernyataan proksi. Dewan harus memiliki ahli materi pelajaran keamanan siber internal dan eksternal (UKM). UKM eksternal harus menyediakan pengetahuan khusus, dan UKM internal harus menyediakan pengetahuan kelembagaan.

Keamanan siber: keharusan kepemimpinan

Celah di baju besi cybersecurity diciptakan oleh orang-orang. Menjadikan staf Anda sebagai bagian integral dari solusi, bukan masalah, adalah satu-satunya cara untuk menghadapi kenyataan ini. Dewan direksi biasanya berada di puncak struktur organisasi; di sinilah perhatian terhadap aturan baru perlu dimulai. Dan mereka harus membekali karyawan dengan pelatihan berkelanjutan dan teknologi baru.

Salah satu kewajiban fidusia terpenting yang dimiliki direksi dan pejabat saat ini adalah keamanan siber. Dewan harus yakin bahwa pedoman dan praktik keamanan siber diikuti. Para pemimpin harus membangun dan memelihara budaya sadar risiko di seluruh perusahaan, yang memungkinkan pengambilan keputusan yang lebih baik.

Kepatuhan di cakrawala

Disadari atau tidak, sektor jasa keuangan sangat penting bagi kita semua. Itu harus diperkuat dan dilindungi – dan sekarang, bukan nanti.

Peraturan baru muncul sehubungan dengan fakta ini, dan kepatuhan bukanlah opsional. Perusahaan harus menyelaraskan kebijakan dan prosedur mereka dengan SEC dan badan pengatur internasional lainnya untuk membuat dunia digital lebih aman bagi investor dan konsumen.

Tentang Penulis:

Michael Brown adalah CISO lapangan untuk layanan keuangan di perusahaan keamanan siber Fortinet.

Spesialisasinya adalah regulasi keamanan siber, dampak ESG, SD-WAN, SD-Branch, Zero Trust, keamanan perdagangan elektronik latensi rendah, SASE, dan solusi multi-cloud.