ข้อบังคับทางกฎหมายใหม่เป็นตัวเปลี่ยนเกมความปลอดภัยทางไซเบอร์สำหรับอุตสาหกรรม FS

เหตุการณ์การรักษาความปลอดภัยทางไซเบอร์ที่สำคัญที่สุดครั้งหนึ่งในประวัติศาสตร์กำลังจะเกิดขึ้นสำหรับอุตสาหกรรมบริการทางการเงินในรูปแบบของข้อบังคับทางกฎหมายใหม่

กฎใหม่จากสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์แห่งสหรัฐอเมริกา (SEC) จะมีผลกระทบอย่างมีนัยสำคัญต่อธุรกิจที่ให้บริการทางการเงินและอาจมีผลกระทบอย่างลึกซึ้งต่อวัฒนธรรมความปลอดภัยทางไซเบอร์เมื่อนำมาใช้

ข้อเสนอใหม่ของ ก.ล.ต.

ข้อเสนอใหม่ของ ก.ล.ต. จะกำหนดให้มีความโปร่งใสและความรับผิดชอบในการรักษาความปลอดภัยทางไซเบอร์อย่างสมบูรณ์ในระดับสูงสุดของความเป็นผู้นำทางธุรกิจ ซึ่งรวมถึงคณะกรรมการบริหารสำหรับบริษัทมหาชนทั้งหมด จะกำหนดให้ธุรกิจรายงานเหตุการณ์การรักษาความปลอดภัยทางไซเบอร์ที่สำคัญในแบบฟอร์ม 8-K ของตน

พวกเขายังต้องเปิดเผยนโยบายและแนวปฏิบัติของบริษัทในการจัดการความเสี่ยงด้านความปลอดภัยในโลกไซเบอร์ ตลอดจนวิธีที่ผู้บริหารมีส่วนร่วมในการดำเนินการ

ต้องมีการเปิดเผยกระบวนการที่คณะกรรมการบริษัทใช้ในการกำกับดูแลความเสี่ยงด้านความปลอดภัยทางไซเบอร์ รวมถึงความเชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ของสมาชิกในคณะกรรมการด้วย

ข้อเสนอนี้จะไปไกลในการช่วยให้ความเสี่ยงด้านความปลอดภัยในโลกไซเบอร์และกลยุทธ์กลายเป็นการสนทนาระดับคณะกรรมการ ซึ่งเป็นการพัฒนาที่มีความต้องการมายาวนาน นอกจากนี้ยังจะช่วยเพิ่มการใช้จ่ายขององค์กรในการรักษาความปลอดภัยทางไซเบอร์และกระตุ้นความต้องการความรู้ด้านความปลอดภัยทางไซเบอร์ในระดับคณะกรรมการ และจะเน้นย้ำถึงความสำคัญของการรวม CISO ในการสนทนาและการตัดสินใจระดับคณะกรรมการเหล่านี้

เจาะลึกรายละเอียด

เมื่อวันที่ 23 มีนาคม พ.ศ. 2022 ก.ล.ต. ได้เสนอข้อเสนอเพื่อปรับปรุงและกำหนดมาตรฐานการเปิดเผยข้อมูลโดยบริษัทมหาชนที่ต้องปฏิบัติตามข้อกำหนดการรายงานของพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์ พ.ศ. 1934 ข้อกำหนดดังกล่าวหมายถึงการจัดการความเสี่ยงด้านความปลอดภัยในโลกไซเบอร์ กลยุทธ์ การกำกับดูแล และ การรายงานเหตุการณ์ จะต้องมีการรายงานเหตุการณ์ความปลอดภัยทางไซเบอร์ที่มีเนื้อหา นโยบายและขั้นตอนความปลอดภัยทางไซเบอร์จะต้องได้รับการเปิดเผยเป็นประจำ และคณะกรรมการบริหารจะต้องดูแลความเสี่ยงด้านความปลอดภัยทางไซเบอร์

เมื่อสถาบันการเงินสรุปว่าพวกเขามีเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ครั้งใหญ่หลังจากที่ข้อกำหนดของ ก.ล.ต. กลายเป็นกฎหมาย พวกเขามีเวลาสี่วันทำการในการเปิดเผย รายงาน Form 8-K ซึ่งธุรกิจต่างๆ จะต้องยื่นต่อ SEC เพื่อประกาศเหตุการณ์สำคัญที่ผู้ถือหุ้นจำเป็นต้องทราบ จะต้องได้รับการแก้ไขโดยเป็นส่วนหนึ่งของกระบวนการเปิดเผยข้อมูล แผนใหม่นี้ยังกำหนดให้ต้องเปิดเผยเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ส่วนบุคคลที่ไม่เคยรายงานมาก่อนจำนวนหนึ่ง ซึ่งเมื่อนำมารวมกันแล้วมีผลกระทบร้ายแรง

นโยบายของคุณเปิดเผย

แผนใหม่สำหรับการบริหารความเสี่ยง กลยุทธ์ และการเปิดเผยข้อมูลการกำกับดูแลมีความสำคัญมากกว่าส่วนการรายงานเหตุการณ์ของข้อเสนอ นโยบายและแนวทางปฏิบัติในการบริหารความเสี่ยงด้านความปลอดภัยทางไซเบอร์ของบริษัทมหาชนจะถูกเปิดเผยผ่านส่วนนี้ของข้อเสนอ บริษัทยังต้องเปิดเผยด้วยว่าคณะกรรมการกำกับดูแลความเสี่ยงด้านความปลอดภัยทางไซเบอร์อย่างไร

นอกจากนี้ บริษัทต่างๆ จะต้องเปิดเผยบทบาทของผู้บริหารระดับสูงในการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์และปฏิบัติตามนโยบายและขั้นตอนของบริษัท กระบวนการนี้คล้ายกับการโพสต์ "บัตรรายงาน" ขององค์กรทางออนไลน์เพื่อให้สาธารณชนตรวจสอบและแสดงความคิดเห็น

ภายใต้ข้อบังคับใหม่ บริษัทต่างๆ จะต้องเปิดเผยนโยบายและกระบวนการในการระบุและจัดการความเสี่ยงจากการโจมตีความปลอดภัยทางไซเบอร์ หากไม่มีการดำเนินการดังกล่าว ก.ล.ต. จะรับทราบและอาจส่งผลร้ายแรง เช่น ค่าปรับและบทลงโทษสำหรับการไม่ปฏิบัติตามข้อกำหนด บริษัทยังต้องพูดด้วยว่าการรักษาความปลอดภัยทางไซเบอร์เป็นส่วนหนึ่งของกลยุทธ์องค์กร การวางแผนทางการเงิน และการจัดสรรเงินทุนหรือไม่

สุดท้ายแต่ไม่ท้ายสุด ข้อบังคับใหม่กำหนดให้สมาชิกคณะกรรมการที่มีความเชี่ยวชาญด้านความปลอดภัยในโลกไซเบอร์ต้องประกาศในรายงานประจำปีและคำชี้แจงสิทธิ์บางส่วน คณะกรรมการควรมีผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ทั้งภายในและภายนอก (SMEs) SMEs ภายนอกควรให้ความรู้เฉพาะทาง และ SMEs ภายในควรให้ความรู้แก่สถาบัน

ความปลอดภัยทางไซเบอร์: ความจำเป็นในการเป็นผู้นำ

จุดบกพร่องในชุดเกราะของการรักษาความปลอดภัยในโลกไซเบอร์นั้นสร้างขึ้นโดยผู้คน การทำให้พนักงานของคุณเป็นส่วนหนึ่งของการแก้ปัญหา แทนที่จะเป็นปัญหา เป็นวิธีเดียวที่จะจัดการกับความเป็นจริงนี้ได้ คณะกรรมการบริหารมักจะอยู่ที่ด้านบนสุดของโครงสร้างองค์กร ที่นี่ต้องเริ่มให้ความสนใจกับกฎใหม่ และต้องจัดให้มีการฝึกอบรมและเทคโนโลยีใหม่ๆ อย่างต่อเนื่องแก่พนักงาน

ภาระหน้าที่ความไว้วางใจที่สำคัญที่สุดอย่างหนึ่งที่กรรมการและเจ้าหน้าที่มีในปัจจุบันคือการรักษาความปลอดภัยทางไซเบอร์ คณะกรรมการต้องมั่นใจว่ามีการปฏิบัติตามแนวทางและแนวทางปฏิบัติด้านความปลอดภัยทางไซเบอร์ ผู้นำต้องสร้างและหล่อเลี้ยงวัฒนธรรมที่ตระหนักถึงความเสี่ยงทั่วทั้งบริษัท ซึ่งช่วยให้ตัดสินใจได้ดีขึ้น

การปฏิบัติตามขอบฟ้า

ไม่ว่าเราจะตระหนักหรือไม่ก็ตาม ภาคบริการทางการเงินมีความสำคัญต่อเราทุกคน มันจะต้องได้รับการเสริมความแข็งแกร่งและปกป้อง – และตอนนี้ ไม่ใช่ในภายหลัง

กฎข้อบังคับใหม่เกิดขึ้นจากข้อเท็จจริงนี้ และไม่จำเป็นต้องปฏิบัติตามข้อกำหนด บริษัทต้องปรับนโยบายและขั้นตอนของตนกับสำนักงาน ก.ล.ต. และหน่วยงานกำกับดูแลระหว่างประเทศอื่นๆ เพื่อให้โลกดิจิทัลปลอดภัยยิ่งขึ้นสำหรับนักลงทุนและผู้บริโภค

เกี่ยวกับผู้เขียน:

Michael Brown เป็น CISO ภาคสนามสำหรับบริการทางการเงินที่ บริษัท รักษาความปลอดภัยทางไซเบอร์ Fortinet

เขาเชี่ยวชาญด้านกฎระเบียบความปลอดภัยทางไซเบอร์ ผลกระทบของ ESG, SD-WAN, SD-Branch, Zero Trust, การรักษาความปลอดภัยการซื้อขายทางอิเล็กทรอนิกส์ที่มีความหน่วงต่ำ, SASE และโซลูชันมัลติคลาวด์