Komisi Sekuritas dan Bursa AS (SEC) mempertimbangkan pengungkapan awal keamanan siber – Beragampengetahuan

Awal tahun ini, kami memberikan tiga pembelajaran kepada pembaca dari gelombang pertama pengungkapan berdasarkan peraturan keamanan siber baru SEC yang akan jatuh tempo pada tahun 2023. Jaringan mereka menjadi bukti atas sistem pertahanan siber mereka yang kuat. Salah satu pengamatan kami adalah bahwa perusahaan mengalami kesulitan mencapai konsensus mengenai informasi penting bagi investor terkait insiden keamanan siber. Jelas sekali, ketidakpastian ini membuat pusing SEC.

Bulan lalu, Erik Gerding, direktur Divisi Keuangan Korporat SEC, mengeluarkan pernyataan yang berupaya mengklarifikasi bagaimana perusahaan terdaftar harus mematuhi aturan tersebut. Gelding mendorong emiten untuk mengambil pendekatan berbeda terhadap peristiwa non-material atau peristiwa yang belum memerlukan signifikansi. Khususnya, ketika perusahaan mengajukan Formulir 8-K untuk mengungkapkan insiden tersebut, perusahaan harus melakukan pengungkapan tersebut sebagai tambahan pada Butir 1.05 (berjudul “Insiden Keamanan Siber Besar”).

“Saya menyadari nilai dari pengungkapan sukarela tersebut kepada investor, pasar, dan pada akhirnya kepada perusahaan, dan pernyataan ini tidak dimaksudkan untuk menghalangi perusahaan melakukan pengungkapan tersebut,” kata Gelding. “Sebaliknya, pernyataan ini dimaksudkan untuk mendorong penyampaian pengungkapan sukarela dengan cara yang tidak menyebabkan kebingungan investor atau mengurangi nilai Bagian 1.05 mengenai pengungkapan insiden keamanan siber yang material.”

Fakta bahwa SEC menganggap perlu untuk mengeluarkan pernyataan seperti itu menunjukkan bahwa pengungkapan material memiliki rasio signal-to-noise yang lebih rendah dibandingkan pengungkapan non-material. Dalam sebuah memo yang dipicu oleh pengumuman Gerding, pengacara di Bryan Cave Leighton Paisner LLP mengatakan penyelidikan terhadap dua lusin pengajuan 8-K berdasarkan Item 1.05 tahun ini mengungkapkan “kurang dari lima” pengungkapan material.

Gerding juga mencoba memberikan beberapa nasihat tentang pentingnya evaluasi. Sayangnya, pernyataan ini masih belum jelas dibandingkan dengan upaya lain untuk membantu emiten memahami konsep terkait keamanan siber dengan lebih baik. Gelding mendesak perusahaan untuk membuat keputusan pengungkapan berdasarkan “semua faktor yang relevan,” dan menekankan bahwa penilaian tersebut melibatkan lebih dari sekedar dampak suatu insiden terhadap “kondisi keuangan dan hasil operasi.”

Namun SEC mengatakan setidaknya ada satu perusahaan yang belum cukup jujur ​​mengenai keamanan sibernya. Pada bulan Mei, komisi mengumumkan telah mencapai kesepakatan senilai $10 juta dengan Intercontinental Exchange Inc. untuk menyelesaikan kegagalan “beberapa hari” perusahaan dalam memberi tahu SEC dan sembilan anak perusahaan ICE bahwa sistem komputernya menderita pada bulan April 2021. Tuduhan serangan siber. (Anak perusahaan ICE termasuk New York Stock Exchange.) Akibatnya, anak perusahaan tersebut tidak dapat memenuhi tanggung jawab mereka untuk memberi tahu SEC tentang pelanggaran keamanan pada waktu yang tepat.

“Dalam hal keamanan siber, terutama ketika menyangkut insiden di perantara pasar yang kritis, setiap detik sangat berarti, dan empat hari bisa menjadi selamanya,” Gurbir S. Grewal, kepala Divisi Penegakan SEC, mengatakan dalam sebuah pernyataan yang mengkritik penundaan ICE. dalam pengungkapan.

Agar adil, kecerobohan ICE sudah ada sebelum aturan pengungkapan keamanan siber yang baru. Namun pada akhirnya, SEC akan menemukan peluang untuk memberikan contoh bagi perusahaan yang memiliki standar pengungkapan yang terlalu longgar. Yakinlah bahwa agensi tidak akan ragu untuk mengungkapkannya Itu Beritahukan kepada publik ketika hal itu terjadi.