CISO'ların SEC Siber Güvenlik Başvurularından Neleri Hariç Tutması Gerekir? - Dünyadan Güncel Teknoloji Haberleri

CISO'ların SEC Siber Güvenlik Başvurularından Neleri Hariç Tutması Gerekir? - Dünyadan Güncel Teknoloji Haberleri
  • Mümkün olduğu kadar az rapor verin



    Kuruluşlar, hangi güvenlik olaylarının yeni SEC kurallarına göre rapor edilmeye yetecek kadar önemli olduğunu tartmaya devam ettikçe, CISO’lar hangi ayrıntıları rapor edeceklerine ve daha da önemlisi hangilerini atlayacaklarına karar verme zorluğuyla karşı karşıya kalıyor Kendisi, olayın önemli olduğu sonucuna varmanın bir şey olduğunu, ancak yatırım yapan halk için hangi ayrıntıların ilgili ve anlamlı olduğunu seçmenin oldukça farklı olduğunu söylüyor

    Brush, “CISO’nun iç güvenlik ekibiyle olan iletişimlerinin tümü potansiyel olarak keşfedilebilir” diyor Ve ‘dış kuruluşlarla araştırmaya devam edeceğiz’ deyin

    Başvurular çok farklı olayları ele aldığından, içerilen bilgilerin de çok farklı olması mantıklıdır

    Brush, “Çoğu kuruluşun siber operasyonların sonunda işletmeleri üzerinde ne gibi bir etki yaratacağı konusunda hiçbir fikri yok” diyor

    “Bu [SEC] kural CISO’ları çok hassas bir duruma sokuyor ve onlar Olumsuz Forrester Başkan Yardımcısı ve araştırma direktörü Merritt Maxim, “Çok fazla rehberlik ve yönlendirme veriliyor” diyor ve şöyle devam ediyor: “İhlal edildiğinin farkındasın ama ilk gün tüm gerçeklere sahip değilsin ”

    Adib, CISO’ların olanlarla kuruluşun bu konuda yapacaklarını ayırması gerektiğini söylüyor Booth, belirli bir güvenlik açığını ortaya çıkarmanın değerinin, saldırganlara size karşı kullanabilecekleri daha fazla bilgi sağlama potansiyeline göre dengelenmesi gerektiğini tavsiye ediyor

    İhlaller için Daha Yüksek Profil

    Pratik açıdan bakıldığında hiçbir şey değişmedi Ne SEC her zaman halka açık her şirketin önemli her şeyi SEC’e raporlamasını zorunlu kıldığından, bu durumların rapor edilmesi gerekmektedir ”

    Maddi bir olay olması durumunda CISO, güvenlik operasyonları merkeziyle birlikte olayın tüm ayrıntılarını içeren bir not hazırlamak ve bunu yatırımcı ilişkileri ve hukuk departmanına göndermek zorunda kalacaktı Bu artık 10K’da yüzbinlerce satıra gömülü bir çizgi değil” diyor SEC’in artık yalnızca siber güvenlik olaylarını raporlamaya yönelik bir belgeye sahip olması, olayları her yönetim kurulunun ve dolayısıyla her CEO ve CFO’nun gündemine taşıyacak Başlangıçtaki ayrıntıların çoğu yanlıştır ve günler, haftalar ve aylar geçtikçe raporlar tekrar tekrar güncellenmektedir

    Booth, “Bu, çok daha fazla dahili ilgiye yol açacak Bir avukatın hazır bulunması ve dolayısıyla korunmasıyla şunu ekliyor: “Nihai beyanınızı hazırlarken açık ve samimi tartışmalar yapabilirsiniz Değişiklik, zamanlamayla (dört gün içinde) ve açıklamalara verilen önemle ilgili “Somut ve ölçülebilir şeyler: hangi operasyonların kesintiye uğradığı, hangi sistemlerin tehlikeye atıldığı

    Gem Security’nin siber savunma stratejisinden sorumlu başkan yardımcısı Phil Neray, Clorox’un SEC dosyalarının bu “neye güvendiğinizi bildirin” noktasını iyi gösterdiğini söylüyor “Bunu süper özet seviyesinde tutun” diyor

    Sailpoint’in CISO’su Rex Booth, açıklamaların basit ve gerçeklere uygun tutulması gerektiğini kabul ediyor Nedensellik değil, gözlemlenen etki hakkında konuşun Bu departmanlar bunu inceledikten sonra not, Menkul Kıymetler ve Borsa Komisyonu’na başvuruyu hazırlamak için kullanılacak

  • Yalnızca emin olduğunuz şeyleri bildirin Deloitte’un siber ve stratejik risklerden sorumlu risk ve finans müdürü Naj Adib, “Bir yandan, bilginin materyali hakkında bir karara varmak zorundasınız” diyor Siber güvenlik açısından bakıldığında amaç, özellikle saldırı henüz tamamen kontrol altına alınmadığında, potansiyel saldırganlara tehdit ortamınız ve savunmalarınız hakkında mümkün olduğunca az bilgi vermektir “Ama senin yükümlülüğün bunu açıklamak ”



    siber-1

    Bu, isteseniz bile sır olarak saklayamayacağınız türden bir ayrıntıdır Yasal olarak amaç, yatırımcılarla ve potansiyel yatırımcılarla mümkün olduğunca fazla bilgi paylaşmaktır

    Yeni SEC kuralları 18 Aralık’ta yürürlüğe girse de, CISO’ların yeni kurallara nasıl uyum sağlanacağına dair fikir edinmek için inceleyebileceği üç kuruluştan halihazırda açıklamalar var: Sezarlar, MGMve iki Başvurular itibaren Clorox Hala tüm küresel çevrenizi inceleme noktasına bile yaklaşmış değilsiniz Örneğin Caesars ve MGM olaylarında, iki kumarhanede kalan misafirlerin odalarına girememeleri gibi, sosyal medya aracılığıyla başvurulardan daha fazla bilgi mevcuttu “Bildiklerini söylemek ile operasyonları yeniden başlatmanın ne kadar süreceği konusunda temel tahminler yapmak arasında ince bir çizgide düzgün bir şekilde yürüdüklerini” söyledi Bu durum çetrefilli bir soruyu gündeme getiriyor: Kuruluş, en azından başlangıçta çok düşük güvenilirliğe sahip olduğunu düşündüğü bilgileri açıklamakla yükümlü mü?

  • NTT Avustralya’nın CISO’su Dirk Hodgson, “Yalnızca %80-90 kesinlikle bildiklerinizi bildirin” diyor

    Rakip Yükümlülükler

    CISO’ların eş zamanlı olarak hokkabazlık yaptığı üç rakip hedef vardır:

    • Mümkün olduğu kadar rapor verin “Bir olaydan birkaç gün sonra, çok fazla şey bilmeyeceksiniz

      Accel’s Brush, CISO’ların ayrıca şirket danışmanlarını veya dışarıdan hukuk danışmanlarını da açıklama tartışmalarına ve kararlarına dahil etmesi gerektiğini söylüyor Başvurularda değişmesi muhtemel hiçbir ayrıntı da paylaşılmıyor

      CISO’lar ayrıca hangi ayrıntıların halihazırda kamuya açık olduğunun farkında olmalıdır Ancak başvurular bilinenlere odaklanmaları ve spekülasyonlardan ve tahminlerden kaçınmaları açısından tutarlı ”

      ABD federal mahkemelerinde özel uzman ve Accel Consulting’in vizyon sahibi başkanı Douglas Brush, hangi güvenlik olayı ayrıntılarının önemli olacağını seçmenin zor olabileceğini vurguluyor

      Yalnızca onaylanmış şeyleri bildirmek mantıklı olsa da, bu tavsiye her zaman doğru çağrı olmayabilir Bu eylem hem tartışmaya gerekli hukuki tavsiyeyi getirir Ve avukat-müvekkil ayrıcalığı nedeniyle konuşmaların yasal olarak keşfedilmesini önler “Dışarı çıkıp iyileştirmeyi tartışmaya gerek yok” diye ekliyor ”

      Söylemeniz Gerekmeyen Şeyler

      Bir diğer önemli unsur, bilgilerin hissedarlar ve potansiyel yatırımcılar için gerçekten işlem yapılabilir bir değere sahip olup olmayacağıdır