طلبت خمس مجموعات رئيسية في صناعة البنوك رسميًا من لجنة الأوراق المالية والبورصات الأمريكية (SEC) إلغاء قاعدة الإفصاح عن حوادث الأمن السيبراني، معتبرين أن هذه القاعدة تقوض جهود الأمن الوطني وتخلق مشاكل أكثر مما تحل. قادت جمعية المصرفيين الأمريكيين الائتلاف في رسالة مؤرخة 22 مايو تتحدى أساس متطلبات الإفصاح العام عن الحوادث السيبرانية.
ما يجب معرفته:
- خمس مجموعات بنكية تجادل بأن قاعدة إفصاح الأمن السيبراني للجنة الأوراق المالية تتعارض مع التقارير السرية المصممة لحماية البنية التحتية الحيوية
- تتطلب القاعدة الإفصاح العام السريع عن الحوادث مثل اختراقات البيانات، لكن البنوك تقول إن هذا يُساعد مجرمي الفدية ويؤذي جهود الاستجابة
- تريد ائتلاف البنوك إلغاء البند 1.05 من متطلبات تقرير نموذج 8-K التي تبلغ المستثمرين عن حوادث الأمن السيبراني
استهداف آلية الإفصاح الأساسية من قبل ائتلاف الصناعة
يشمل الائتلاف جمعية صناعة الأوراق المالية والأسواق المالية ومعهد السياسة البنكية وجمعية المصرفيين المحليين المستقلين ومعهد المصرفيين الدوليين. تمثل هذه المجموعات آلاف المؤسسات المالية في جميع أنحاء الولايات المتحدة. تستهدف عريضتهم بشكل خاص "البند 1.05" ضمن متطلبات تقارير نموذج 8-K للجنة الأوراق المالية.
نموذج 8-K يعمل كمركبة رئيسية لإخطار المستثمرين بشكل علني بالأحداث الهامة التي تؤثر على الشركات العامة.
تتطلب أحكام الأمن السيبراني من الشركات الإفصاح عن الحوادث التي قد تؤثر بشكل كبير على عملياتها أو حالتها المالية. تدعي المجموعات البنكية أن هذه الآلية تسبب ضررًا أكثر من الشفافية.
دخلت قاعدة إدارة مخاطر الأمن السيبراني للجنة الأوراق المالية حيز التنفيذ بعد نشرها في يوليو 2023. يجب الآن على الشركات الإفصاح بسرعة عن حوادث الأمن السيبراني بما في ذلك خروقات البيانات وتسوية الأنظمة. تهدف اللوائح إلى تزويد المستثمرين بمعلومات في الوقت المناسب عن المخاطر السيبرانية التي قد تؤثر على استثماراتهم.
البنوك تشير إلى المخاوف التشغيلية والأمنية
يجادل ممثلو البنوك بأن متطلبات الإفصاح تتعارض مباشرة مع أنظمة التقارير السرية الحالية المصممة لحماية البنية التحتية الحيوية. يدعون أن الإفصاحات العلنية المبكرة تتداخل مع إجراءات الاستجابة للحوادث وتحقيقات إنفاذ القانون. تؤدي آليات التأخير المعقدة المتضمنة في القاعدة إلى حدوث ارتباك بين الالتزامات الإفصاحية الإلزامية والتطوعية.
قام مجرمو الفدية بتسليح متطلبات الإفصاح العامة كأداة ابتزاز، وفقًا لائتلاف البنوك. تقوم الجماعات الإجرامية حاليًا بتهديد لفتح جداول الإفصاح الإلزامية لإجبار الضحايا على دفع الفدى بشكل أسرع. غيّرت هذه التطورات بشكل أساسي ديناميكيات استجابة الحوادث السيبرانية.
تثير المجموعات أيضًا مخاوف بشأن تأمين الدعم والإطار القانوني.
تزيد الإعلانات المبكرة من تعقيد مطالبات التأمين وتزيد من التعرض القانوني للشركات المتأثرة. تصبح الاتصالات الداخلية أكثر حذرًا عندما يعلم الموظفون أن مناقشاتهم حول استجابة الحادث قد تصبح جزءًا من السجلات العامة.
يمثل الارتباك في السوق قلقًا آخر كبيرًا لصناعة البنوك. تخلق القاعدة عدم اليقين بشأن الحوادث التي تتطلب الإفصاح الفوري مقابل الحوادث التي يمكن التعامل معها عبر الأطر القائمة للمعلومات المادية. يؤثر هذا الارتباك على كل من الشركات التي تحاول الامتثال والمستثمرين الذين يحاولون تفسير الإفصاحات.
شركات العملات المشفرة تواجه ضغوط إفصاح مماثلة
واجهت الشركات المتداولة علنًا في مجال العملات المشفرة التأثير العملي لهذه المتطلبات الإفصاحية. كشفت كوين بيس في وقت سابق من هذا الشهر أن الهاكرز رشوا موظفي الدعم للوصول إلى بيانات المستخدم، مما أدى إلى رفع ما لا يقل عن سبع دعاوى قضائية ضد الشركة. رفضت التداول دفع طلب فدية بقيمة 20 مليون دولار لكن تقدر أن الحادث قد يكلف حتى 400 مليون دولار كأضرار.
يوضح حالة كوين بيس كيف يمكن لمتطلبات الإفصاح أن تضخم الأثر المالي للحوادث السيبرانية. يتضاعف التعرض القانوني عندما يجب على الشركات إبلاغ الجمهور فورًا عن الاختراقات التي قد تُحل بطريقة أكثر هدوءًا.
يؤثر هذا الديناميك بشكل خاص على شركات التكنولوجيا والخدمات المالية التي تتعامل مع بيانات العملاء الحساسة.
إذا منحت لجنة الأوراق المالية والبورصات طلب ائتلاف الصناعة البنكي، قد تحصل الشركات مثل كوين بيس على مزيد من المرونة فيما يتعلق بتوقيت الإفصاحات الخاصة بالأمن السيبراني. غالبًا ما تجبر جداول القاعدة الصارمة الشركات على الإفصاح عن الحوادث قبل أن تفهم تمامًا نطاقها أو تأثيرها.
إطار بديل مقترح من قبل ائتلاف البنوك
يجادل ائتلاف البنوك بأن الأطر الإفصاحية الحالية تحمي بالفعل مصالح المستثمرين دون الحاجة إلى متطلبات خاصة بالأمن السيبراني. ستستمر القواعد القائمة لإبلاغ المعلومات المادية التي تؤثر حقاً على الأداء أو الحالة المالية للشركات في تغطية الحوادث الإلكترونية الكبيرة.
يؤمنون بأن هذا النهج سيخدم مصالح المستثمرين والأمن الوطني بشكل أفضل.
تتضمن العريضة أمثلة موثقة عن التضاربات التنظيمية والارتباك لدى المشاركين منذ تنفيذ القاعدة.
قامت مجموعات البنوك بتجميع حوادث محددة توضح كيف أعاقت متطلبات الإفصاح تحقيقات إنفاذ القانون وجهود الاستجابة للحوادث.
تشير المؤسسات المالية أيضًا إلى التزاماتها التنظيمية الحالية بموجب وكالات فدرالية أخرى.
تقوم البنوك بالفعل بالإبلاغ عن الحوادث السيبرانية للجهات المشرفة المالية عبر قنوات سرية مصممة لحماية معلومات البنية التحتية الحساسة بينما تضمن الرقابة المناسبة.
أفكار الختام
تحدي صناعة البنوك لقواعد إفصاح الأمن السيبراني التابعة للجنة الأوراق المالية يعكس توترات أوسع بين الشفافية والأمن في تنظيم الخدمات المالية.
تجادل عريضتهم بأن الإفصاح العام الإجباري يخلق مخاطر أكثر من الفوائد، وخصوصًا عندما يستغل المجرمون المتطلبات لأغراض الابتزاز.