Neu vorgeschlagene Cybersicherheitsregeln der SEC setzen Vorstandsmitglieder und Führungskräfte des Unternehmens immens unter Druck, größere Verantwortung für die Überwachung von Cyberrisiken zu übernehmen.
Aber diese Regeländerungen werfen mehr Fragen auf, als sie beantworten.
Das geht aus einer Reihe führender Branchen- und Regulierungsexperten hervor, die das NYU Center for Cybersecurity online auf gehostet hat 12. Juli.
Während der Veranstaltung „ Frauenführer im Bereich Cybersicherheit “ diskutierten sechs Panelisten, wie Unternehmensleiter wichtige neue Mandate zur Meldung von Cybersicherheitsvorfällen, zum Risikomanagement, zur Strategie und zur Governance einhalten sollten – und insbesondere die Auswirkungen einer umstrittenen vorgeschlagenen Anforderung, Cyberangriffe innerhalb von vier Tagen zu melden.
Jocelyn Hunter, Vice President und stellvertretender General Counsel bei Home Depot, bemerkte, dass Unternehmen und Vorstände versuchen, „die neue Lage des Landes“ zu ermitteln und transparent zu handeln. Bethany Mayer, Vorstandsvorsitzender bei Box, bemerkte: „Als Vorstandsmitglieder müssen wir uns ändern.“
Am hat die SEC Regeln vorgeschlagen 9. März, die die Offenlegungsanforderungen in Bezug auf eine Vielzahl von Cybersicherheitsproblemen verbessern würden, einschließlich Risikomanagement, Strategie, Governance und Vorfallreaktion<. Die neuen Empfehlungen befinden sich im Kommentarzeitraum, erfordern jedoch möglicherweise Maßnahmen wie:
- Einreichung eines Formulars 8-K bei der SEC innerhalb von vier Geschäftstagen nach einem wesentlichen Cybersicherheitsvorfall;
- Regelmäßige Offenlegung von Unternehmensrichtlinien und -verfahren in Bezug auf die Identifizierung und Verwaltung von Cybersicherheitsrisiken, die Rolle des Managements bei der Implementierung und die Cybersicherheitsexpertise und Aufsichtsverantwortlichkeiten des Vorstands;
- Aktualisierung von Informationen über zuvor gemeldete Vorfälle.
„Wir versuchen nicht, ein Regime aufzuerlegen.“Carolyn Welshhans, stellvertretender Leiter, Cyber-Einheit von SEC
Carolyn Welshhans, stellvertretende Direktorin der SEC-Durchsetzungsabteilung und stellvertretende Leiterin der Kryptoanlagen und Cyber-Einheit der Agentur, sagte während des Gremiums, dass die endgültigen Regeln sich von dem, was vorgeschlagen wurde, „sehr unterscheiden könnten“. Einige 100 Kommentarschreiben wurden bisher bei der SEC eingereicht. Die Kommentare werden im Rahmen des Regelerstellungsprozesses berücksichtigt. Welshhans hat keinen Zeitplan für die Fertigstellung der Regeln angeboten.
Was steckt hinter den neuen Cybersicherheitsregeln der SEC?
Die erhöhte Häufigkeit und Intensität von Cybervorfällen in den letzten Jahren hat die SEC zum Handeln motiviert. Cyberkriminelle haben in den letzten Jahren eine Reihe von Ransomware-Angriffen auf US-Unternehmen und Anbieter kritischer Infrastrukturen gestartet.
Sie haben Fleischverpackungsanlagen, Gaspipelines, Schulen und Gesundheitseinrichtungen geschlossen. In jedem Fall haben sie die Computersysteme der Opfer gesperrt und Geld verlangt, um gestohlene Daten zurückzugeben. Vonkleinen Unternehmen bis hin zugesamten Regierungen – keine Organisation ist immun gegen diese Angriffe.
„Einige der Probleme vor fünf Jahren wurden von Organisationen immer noch nicht angesprochen.“Julie Cullivan, Vorstand, Axon, Heartflow und andere Unternehmen
Der Vorschlag der SEC ist daher ein „wichtiger Aufruf“, sagte Panelistin Julie Cullivan, Vorstandsmitglied bei mehreren Unternehmen und ehemalige IT-Führungskraft bei Forescout Technologies. „Aus Risikoperspektive haben sich die Dinge in den letzten fünf Jahren verschlechtert“, sagte sie. „Und einige der Probleme vor fünf Jahren wurden noch nicht von Organisationen behoben.“
Cullivan sagte, dass Führungsteams und Vorstände besser mit Cybersicherheitsproblemen umgehen müssen. Die SEC sieht, dass die Grundlagen immer noch nicht behandelt werden, und möchte sicherstellen, dass Unternehmen zur Rechenschaft gezogen werden.
[Lesen Sie auch: Da die Cyberkrise zunimmt, müssen CISOs und Vorstände lernen, zu kommunizieren]
Diese Stimmung teilten Hunter von Home Depot und Podiumsmoderatorin Judith Germano, ein angesehener Kollege am Center for Cybersecurity der NYU und ein ehemaliger Bundesanwalt. Sie stimmten zu, dass Unternehmen vor Jahren grundlegende Schritte hätten unternehmen müssen. Best Practices für Patch-Management und Multifaktor-Authentifizierung sind seit Jahren bekannt. Die Bundesagentur für Cybersicherheit und Infrastruktursicherheit (CISA) hat kürzlich die Schlagader über die stetige Eskalation und die zunehmende Raffinesse von Cyberangriffen übertroffen .
Die obligatorische Vier-Tage-Regel der SEC
Führungskräfte des Unternehmens und ihre Vorstände sind besonders besorgt über eine der neuen Anforderungen – dass Cybervorfälle innerhalb von vier Tagen nach der Kennzeichnung als „wesentliches“ Ereignis offengelegt werden. Die Vier-Tage-Regel, sagte Germano, ist „problematisch“. Die Frist könnte dazu führen, dass Unternehmen die Feststellung verzögern, dass ein Ereignis wesentlich ist, und sie davon abhalten, informelle vertrauliche Offenlegungen an Stakeholder und Aufsichtsbehörden vorzunehmen, um Angst davor zu haben, eine öffentliche Einreichungsanforderung auszulösen.
Es könnte auch zu einer öffentlichen Offenlegung von Vorfällen führen, bevor der Schaden eingedämmt und die Systeme gepatcht wurden und bevor andere betroffene Parteien informiert wurden und die Möglichkeit hatten, sich selbst zu schützen .“Das kann die Cybersicherheit behindern, nicht helfen“, sagte sie.
[Lesen Sie auch: Was ist Vorfallreaktion?]
„Innerhalb eines viertägigen Zeitfensters ist es wirklich schwierig zu wissen, was wesentlich sein wird“, sagte Mayer von Box. „Es dauert mehr als diesen Zeitraum, um zu verstehen, ob ein Vorfall wesentlich ist.“ Darüber hinaus könnte eine frühzeitige Offenlegung darauf hinweisen, dass sich das Unternehmen in Cyber-Notlage befindet und möglicherweise mehr Angriffe einlädt, sagte sie.
Der Vier-Tage-Zeitraum, sagte Hunter von Home Depot, ist immer noch „ein Zeitraum, in dem es viele Unbekannte gibt“. Die Strafverfolgungsbehörden können in dieser frühen Phase involviert sein und sie können von einer schnellen Offenlegung abraten, um zu vermeiden, dass Kriminelle verängstigt werden, die immer noch erwischt werden könnten, wenn sie durch ein System rummulieren.
Cullivan sagte, Führungskräfte und Technologieexperten haben Bedenken geäußert, dass die viertägige Regel Vorstände dazu führen wird, einige ihrer frühen Kommunikation zurückzuhalten, was bestenfalls vage sein kann. „Ich habe gesehen, dass Technologieunternehmen angegriffen werden, weil sie nicht [zurückhalten]“, sagte sie. „Ich bin besorgt, dass die Leute zurückhalten werden, weil sie besorgt sind, dass die Kommunikation ein Signal zu früh sein würde.“
[Lesen Sie auch: Wie Ihr Unternehmen einen Ransomware-Angriff überstehen kann]
Aber Welshhans von der SEC ist der Meinung, dass es sich um einen heiklen Balanceakt zwischen Offenlegung und Geschwindigkeit handelt, der während eines Cyberangriffs entscheidend sein kann. „Sobald Sie [bestimmt haben, dass] etwas wesentlich ist, müssen die Anleger darüber Bescheid wissen“, sagte sie.
Welshhans signalisierte jedoch, dass die Vier-Tage-Regel zur Diskussion steht und dass Unternehmen keine Angst vor Offenlegung haben sollten. „Die Chancen sind“, sagte sie, „dass wir sowieso davon hören werden, denn wenn es ein Leck gibt und es öffentlich wird, müssen Sie es letztendlich offenlegen. Wir hören davon auch von unseren anderen Strafverfolgungspartnern.“
Cybersicherheitsexpertise auf Vorstandsebene erforderlich
Angesichts des neuen Drucks auf erhöhte Offenlegungen ist es an der Zeit, dass Unternehmen einen Cybersicherheitsexperten in den Vorstand aufnehmen“, sagte Mayer of Box. „Angesichts der Art von Risikounternehmen, insbesondere bei großen börsennotierten Unternehmen, muss es ein gewisses Maß an Wissen geben, nicht nur über die Technologie, sondern auch über die rechtlichen und Haftungsprobleme“, sagte sie. „Das muss Teil des Wissens des Vorstands sein.“
Mayer ist ihrerseits besorgt, dass selbst große Unternehmen kein grundlegendes Maß an Cybersicherheitskenntnissen auf dem Vorstand haben. Das kann ein echtes Problem sein, wenn eine Cybersicherheitsverletzung auftritt.
„[Vorstände müssen] die Interaktion von Cyberinnovation mit der Unternehmensführung verstehen.“Nasrin Rezai, Senior Vice President und CISO bei Verizon
Der Panelist Nasrin Rezai, Senior Vice President und Chief Information Security Officer (CISO) bei Verizon, teilt die Überzeugung, dass Unternehmen und Vorstände mehr Technologen in ihre Führungsstruktur aufnehmen müssen. Vorstände und Unternehmen müssen „die Interaktion von Cyberinnovation mit der Unternehmensführung verstehen, um sicherzustellen, dass Geschäft und Technologie und Cyber miteinander verbunden sind“, sagte sie.
SEC: Keine „Einheitslösung“
Welshhans sagte bei dem Ereignis, dass die vorgeschlagenen Regeln der SEC keine „Einheitsvorschrift“ sein werden. Die Agentur ist nicht daran interessiert, ein Vorfallreaktions-Playbook und andere spezifische Maßnahmen zu verschreiben, fügte sie hinzu. „Unternehmen müssen das herausfinden“, sagte sie.
Die Bewertung und Reaktion auf Risiken ist für jedes Unternehmen unterschiedlich. „Wir versuchen nicht, ein Regime aufzuerlegen“, sagte sie. „Und selbst mit der besten Cybersicherheit der Welt wird etwas passieren.“ Dennoch benötigen Anleger wesentlichere Informationen über Verstöße, wenn sie auftreten.
„Es ist eine wirklich herausfordernde Zeit, und es ist auch eine Zeit, in der viele Hände auf Deck sind.“Jocelyn Hunter, Vice President und stellvertretender General Counsel, Home Depot
Die SEC muss eine feine Grenze zwischen Verantwortlichkeit und „Übertragung“ einschlagen, sagte Germano von NYU. Gesetzgeber, Unternehmen und Handelsorganisationen haben die Regeln kritisiert und sagen, dass sie unnötig belastend sind, die nationale Sicherheit gefährden könnten, indem sie sensible Informationen öffentlich offenlegen, und würden ein beispielloses Mikromanagement durch die Regierung auferlegen.
Hunter von Home Depot fasste die Kritik zusammen, indem er bemerkte, dass gut geplante Vorschläge wie eine viertägige Offenlegungsanforderung eine unnötige Stressschicht zu einer bereits stressigen Situation hinzufügen könnten. Wenn es ein Cyber-Ereignis gibt, „ist es eine wirklich schwierige Zeit, und es ist auch eine Zeit, in der es viele Hände auf Deck gibt“, sagte sie. „Und dies würde einfach dazu beitragen, was jeder zu tun versucht.“
