Usulan Aturan Keamanan Siber SEC Akan Memberikan Tekanan yang Tidak Perlu pada CISO

Pada bulan Maret 2022, Komisi Sekuritas dan Bursa (SEC) mengusulkan aturan tentang pengungkapan keamanan siber, tata kelola, dan manajemen risiko untuk perusahaan publik, yang dikenal sebagai Usulan Aturan untuk Perusahaan Publik (PRPC). Aturan ini mengharuskan perusahaan untuk melaporkan insiden keamanan siber yang “penting” dalam waktu empat hari. Dewan direksi juga harus memiliki keahlian keamanan siber.

Tidak mengherankan, memang demikian bertemu dengan segala macam penolakan. Dalam bentuknya yang sekarang, peraturan yang diusulkan memberikan banyak ruang untuk interpretasi, dan tidak praktis di beberapa bidang.

Pertama, ketatnya waktu pengungkapan akan memberikan tekanan besar pada kepala petugas keamanan informasi (CISO) untuk mengungkapkan insiden penting sebelum mereka mengetahui semua rinciannya. Insiden dapat memerlukan waktu berminggu-minggu dan terkadang berbulan-bulan untuk dipahami dan diperbaiki sepenuhnya. Tidak mungkin mengetahui dampak dari suatu kerentanan baru sampai tersedia sumber daya yang cukup untuk melakukan remediasi. CISO mungkin juga harus mengungkapkan kerentanan yang, seiring berjalannya waktu, tidak lagi menjadi masalah dan oleh karena itu tidak bersifat material. Hal itu pada gilirannya dapat mempengaruhi harga jangka pendek suatu perusahaan.

Insiden Adalah Sesuatu yang Hidup — Bukan Kesepakatan yang Selesai

Persyaratan pengungkapan selama empat hari mungkin terdengar bagus jika dilihat dari permukaannya. Namun hal tersebut tidak realistis dan pada akhirnya akan mengalihkan perhatian CISO untuk memadamkan api.

Saya akan menggunakan Peraturan Perlindungan Data Umum (GDPR) Uni Eropa sebagai perbandingan. Berdasarkan peraturan tersebut, perusahaan harus melaporkan insiden ketidakpatuhan dalam waktu 72 jam. Namun, dalam kasus GDPR, kebutuhan untuk melaporkan sudah jelas. Meskipun waktu 72 jam sering kali terlalu dini untuk mengetahui secara spesifik dampak keseluruhan suatu insiden, setidaknya organisasi akan mengetahui jika informasi pribadi telah disusupi.

Bandingkan hal ini dengan persyaratan pengungkapan yang diusulkan PRPC. Organisasi akan memiliki waktu tambahan 24 jam, namun — berdasarkan apa yang telah dipublikasikan sejauh ini — mereka harus memenuhi syarat secara internal jika pelanggaran tersebut terjadi. bahan. Berdasarkan GDPR, perusahaan dapat melakukan hal tersebut berdasarkan sensitivitas data, volumenya, dan ke mana data tersebut pergi. Berdasarkan PRPC, “materialitas” didefinisikan oleh SEC sebagai segala sesuatu yang “dianggap penting oleh pemegang saham yang wajar.” Ini bisa berupa apa pun yang dianggap penting oleh pemegang saham bagi bisnis mereka. Ini agak luas dan tidak didefinisikan dengan jelas.

Definisi Lemah Lainnya

Permasalahan lainnya adalah persyaratan proposal untuk mengungkapkan keadaan di mana suatu insiden keamanan tidak bersifat material, namun telah menjadi “secara agregat.” Bagaimana cara kerjanya dalam praktik? Apakah kerentanan yang belum ditambal sejak enam bulan lalu kini dapat diungkapkan (mengingat perusahaan tidak menambalnya) jika digunakan untuk memperluas cakupan insiden berikutnya? Kami telah menggabungkan ancaman, kerentanan, dan dampak bisnis. Kerentanan yang tidak dieksploitasi tidak bersifat material karena tidak menimbulkan dampak bisnis. Apa yang perlu Anda ungkapkan ketika insiden gabungan perlu dilaporkan, dan apakah klausul agregasi membuat hal ini semakin sulit untuk diketahui?

Yang lebih rumit lagi, peraturan yang diusulkan ini akan mengharuskan organisasi untuk mengungkapkan perubahan kebijakan apa pun yang diakibatkan oleh insiden sebelumnya. Seberapa ketat hal ini diukur dan, sejujurnya, mengapa hal ini diukur? Kebijakan seharusnya merupakan pernyataan niat — kebijakan tidak seharusnya menjadi panduan konfigurasi forensik tingkat rendah. Memperbarui dokumen tingkat yang lebih rendah (standar) untuk mewajibkan algoritma enkripsi khusus untuk data sensitif masuk akal, namun ada beberapa dokumen tingkat yang lebih tinggi yang akan diperbarui karena suatu insiden. Contohnya mungkin memerlukan autentikasi multifaktor atau mengubah perjanjian tingkat layanan (SLA) patching untuk kerentanan kritis dalam cakupan.

Terakhir, proposal tersebut menyatakan bahwa laporan pendapatan triwulanan akan menjadi forum pengungkapan. Secara pribadi, laporan pendapatan triwulanan sepertinya bukan forum yang tepat untuk mendalami pembaruan kebijakan dan insiden keamanan. Siapa yang akan memberikan pembaruan? CFO atau CEO, yang biasanya memberikan laporan pendapatan, mungkin tidak memiliki informasi yang cukup untuk memberikan laporan penting tersebut. Jadi, apakah CISO sekarang ikut serta dalam seruan tersebut? Dan jika ya, apakah mereka juga akan menjawab pertanyaan dari analis keuangan? Tampaknya tidak praktis, tapi kita harus menunggu dan melihat.

Pertanyaan Tentang Pengalaman Dewan

Perulangan pertama PRPC memerlukan pengungkapan tentang pengawasan dewan terhadap kebijakan manajemen risiko keamanan siber. Hal ini mencakup pengungkapan tentang masing-masing anggota dewan dan keahlian siber mereka masing-masing. SEC mengatakan pihaknya sengaja membuat definisi tersebut tetap luas, mengingat beragamnya keterampilan dan pengalaman khusus untuk masing-masing dewan.

Untungnya, setelah banyak penelitian, mereka memutuskan untuk menghapus persyaratan ini. PRPC tetap meminta perusahaan untuk menjelaskan proses dewan dalam mengawasi risiko keamanan siber, dan peran manajemen dalam menangani risiko tersebut.

Hal ini memerlukan beberapa penyesuaian dalam komunikasi dan kesadaran umum. Baru-baru ini, Dr. Keri Pearlson, direktur eksekutif keamanan siber di MIT Sloan, dan Lucia Milică, CISO di Stanley Black & Decker, mensurvei 600 anggota dewan tentang aktivitas seputar keamanan siber. Mereka menemukan bahwa “kurang dari separuh (47%) anggota menjabat di dewan yang berinteraksi dengan CISO mereka secara rutin, dan hampir sepertiga dari mereka hanya melihat CISO mereka saat presentasi dewan.” Hal ini jelas menunjukkan adanya kesenjangan komunikasi.

Kabar baiknya adalah sebagian besar dewan telah memiliki komite audit dan risiko, yang dapat berfungsi sebagai bagian dari dewan untuk tujuan ini. Meskipun demikian, tidak jarang CISO dan CSO menyampaikan permasalahan terkait keamanan siber yang tidak sepenuhnya dipahami oleh anggota dewan lainnya. Untuk menutup kesenjangan ini, diperlukan keselarasan yang lebih besar antara dewan direksi dan eksekutif keamanan.

Ketidakpastian Menang

Seperti halnya peraturan baru lainnya, terdapat pertanyaan dan ketidakpastian dalam PRPC. Kita hanya perlu menunggu dan melihat bagaimana perkembangannya dan apakah perusahaan dapat memenuhi persyaratan yang diusulkan.

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• PlatoData.Jaringan Vertikal Generatif Ai. Berdayakan Diri Anda. Akses Di Sini.
• PlatoAiStream. Intelijen Web3. Pengetahuan Diperkuat. Akses Di Sini.
• PlatoESG. Otomotif / EV, Karbon, teknologi bersih, energi, Lingkungan Hidup, Tenaga surya, Penanganan limbah. Akses Di Sini.
• PlatoHealth. Kecerdasan Uji Coba Biotek dan Klinis. Akses Di Sini.
• ChartPrime. Tingkatkan Game Trading Anda dengan ChartPrime. Akses Di Sini.
• BlockOffset. Modernisasi Kepemilikan Offset Lingkungan. Akses Di Sini.
• Sumber: https://www.darkreading.com/risk/proposed-sec-cybersecurity-rule-will-put-unnecessary-strain-on-cisos