Pięć głównych grup bankowych formalnie zwróciło się do Komisji Papierów Wartościowych i Giełd (SEC) o uchylenie przepisu dotyczącego ujawniania incydentów cyberbezpieczeństwa, argumentując, że regulacja podkopuje wysiłki na rzecz bezpieczeństwa narodowego i tworzy więcej problemów niż rozwiązuje. Zrzeszenie Bankierów Amerykańskich prowadziło koalicję w liście z 22 maja, która kwestionuje podstawy wymogów dotyczących publicznego ujawniania incydentów cybernetycznych.
Co Warto Wiedzieć:
- Pięć grup bankowych uważa, że zasada ujawniania incydentów cyberbezpieczeństwa przez SEC koliduje z poufnym raportowaniem mającym chronić infrastrukturę krytyczną
- Zasada ta wymaga szybkiego publicznego ujawniania incydentów takich jak naruszenia danych, ale banki twierdzą, że to pomaga przestępcom ransomware i utrudnia działania na rzecz reagowania
- Koalicja bankowa chce, aby punkt 1.05 został usunięty z wymagań raportowych Formularza 8-K, które powiadamiają inwestorów o incydentach cyberbezpieczeństwa
Koalicja Branżowa Na Celu Mechanizm Podstawowego Ujawniania
Koalicja obejmuje Stowarzyszenie Przemysłu Papierów Wartościowych i Rynków Finansowych, Instytut Polityki Bankowej, Niezależnych Bankierów Społecznościowych Ameryki i Instytut Międzynarodowych Bankierów. Te grupy reprezentują tysiące instytucji finansowych w całych Stanach Zjednoczonych. Ich petycja koncentruje się na „Item 1.05” w ramach wymagań raportowych SEC Formularza 8-K.
Formularz 8-K służy jako główne narzędzie do publicznego powiadamiania inwestorów o istotnych wydarzeniach wpływających na spółki publiczne.
Przepis dotyczący cyberbezpieczeństwa wymaga od firm ujawniania incydentów, które mogą mieć materialny wpływ na ich działalność lub kondycję finansową. Grupy bankowe twierdzą, że ten mechanizm przynosi więcej szkody niż przezroczystości.
Zasada Zarządzania Ryzykiem Cyberbezpieczeństwa SEC weszła w życie po publikacji w lipcu 2023 r. Firmy muszą teraz szybko ujawniać incydenty cyberbezpieczeństwa, w tym naruszenia danych i naruszenia systemów. Regulacja miała na celu dostarczenie inwestorom terminowych informacji o zagrożeniach cybernetycznych, które mogą wpłynąć na ich inwestycje.
Banki Zgłaszają Obawy Operacyjne i Bezpieczeństwa
Przedstawiciele banków argumentują, że wymagania dotyczące ujawniania konfliktują bezpośrednio z istniejącymi systemami poufnego raportowania zaprojektowanymi do ochrony infrastruktury krytycznej. Twierdzą, że przedwczesne ujawnienia publiczne zakłócają procedury reagowania na incydenty i działania śledcze organów ścigania. Złożone mechanizmy opóźnienia wbudowane w przepisy powodują zamieszanie między obowiązkowymi a dobrowolnymi obowiązkami ujawniania.
Według koalicji bankowej, przestępcy ransomware wykorzystali wymogi publicznego ujawniania jako narzędzie wymuszenia. Grupy przestępcze grożą teraz uruchomieniem obowiązkowych terminów ujawnienia, aby zmusić ofiary do szybszego opłacania okupów. Ten rozwój radykalnie zmienił dynamikę reagowania na incydenty cyberbezpieczeństwa.
Grupy zgłaszają również obawy dotyczące implikacji ubezpieczeniowych i odpowiedzialności.
Przedwczesne ujawnienia komplikują roszczenia ubezpieczeniowe i zwiększają ryzyko prawne dla dotkniętych firm. Komunikacja wewnętrzna staje się bardziej ostrożna, gdy pracownicy wiedzą, że ich dyskusje dotyczące reakcji na incydenty mogą stać się publicznym rekordem.
Zamieszanie na rynku jest kolejnym istotnym zmartwieniem dla branży bankowej. Zasada ta powoduje niepewność co do tego, które incydenty wymagają natychmiastowego ujawnienia w porównaniu z tymi, które można rozwiązać w ramach istniejących ram informacyjnych. Ta dezorientacja wpływa zarówno na firmy próbujące się dostosować, jak i inwestorów próbujących interpretować ujawnienia.
Firmy Kryptograficzne Stają Wobec Podobnych Presji Ujawniania
Notowane na giełdzie firmy kryptowalutowe doświadczyły praktycznego wpływu tych wymagań dotyczących ujawniania. Coinbase ujawniło wcześniej w tym miesiącu, że hakerzy przekupili personel wsparcia, aby uzyskać dostęp do danych użytkowników, co doprowadziło do co najmniej siedmiu procesów sądowych przeciwko firmie. Wymiana odrzuciła żądanie okupu w wysokości 20 milionów dolarów, ale szacuje, że incydent może kosztować do 400 milionów dolarów w strat.
Przypadek Coinbase ilustruje, jak wymagania dotyczące ujawniania mogą wzmacniać finansowy wpływ incydentów cyberbezpieczeństwa. Ryzyko prawne wzrasta, gdy firmy muszą natychmiast informować publiczność o naruszeniach, które mogłyby zostać rozwiązane ciszej.
Ta dynamika szczególnie wpływa na firmy technologiczne i usług finansowych, które zarządzają wrażliwymi danymi klientów.
Jeśli SEC przychyli się do petycji branży bankowej, firmy takie jak Coinbase mogą zyskać większą elastyczność w planowaniu czasowym ich ujawnień na temat cyberbezpieczeństwa. Obecne sztywne terminy zasady często zmuszają firmy do ujawniania incydentów, zanim w pełni zrozumieją ich zakres lub wpływ.
Alternatywne Ramy Zaproponowane Przez Koalicję Bankową
Grupy bankowe argumentują, że istniejące ramy ujawniania już chronią interesy inwestorów bez specyficznych wymogów dotyczących cyberbezpieczeństwa. Istniejące zasady dotyczące raportowania istotnych informacji nadal obejmowałyby znaczące incydenty cybernetyczne, które naprawdę wpływają na wyniki spółki lub kondycję finansową.
Uważają, że takie podejście lepiej służyłoby zarówno inwestorom, jak i interesom bezpieczeństwa narodowego.
Petycja zawiera udokumentowane przykłady konfliktów regulacyjnych i zamieszania uczestników od momentu wdrożenia zasady. Grupy bankowe zebrały konkretne przypadki pokazujące, w jaki sposób wymagania dotyczące ujawniania zakłócały działania organów ścigania i wysiłki na rzecz reagowania na incydenty.
Instytucje finansowe wskazują również na istniejące obowiązki regulacyjne wynikające z innych federalnych agencji. Banki już raportują incydenty cyberbezpieczeństwa regulatorom finansowym poprzez poufne kanały zaprojektowane do ochrony wrażliwych informacji o infrastrukturze przy jednoczesnym zapewnieniu odpowiedniego nadzoru.
Myśli Końcowe
Wyzwanie branży bankowej wobec zasad ujawniania cyberbezpieczeństwa przez SEC odzwierciedla szersze napięcia między przejrzystością a bezpieczeństwem w regulacjach usług finansowych. Ich petycja argumentuje, że obowiązkowe publiczne ujawnianie tworzy więcej ryzyk niż korzyści, szczególnie gdy przestępcy wykorzystują wymagania do celów wymuszenia.