Des groupes de défense des banques et des finances américaines exhortent la Securities and Exchange Commission(SEC) à retirer sa règle récemment mise en œuvre sur la divulgation des incidents de cybersécurité. Ils soutiennent que la règle impose un fardeau de conformité excessif et entre en conflit avec les réglementations existantes conçues pour protéger les infrastructures critiques.
Points clés
-
Cinq grands groupes bancaires, dont l'American Bankers Association, ont demandé à la SEC de rescinder ses exigences de divulgation en matière de cybersécurité.
-
La règle de la SEC exige que les entreprises publiques divulguent les incidents de cybersécurité dans un délai de quatre jours, ce que les groupes bancaires affirment pourrait entraver les efforts des forces de l'ordre et créer de la confusion sur le marché.
-
Les groupes soutiennent que les cadres de divulgation existants sont suffisants pour protéger les intérêts des investisseurs sans les risques associés à un rapport public rapide.
Contexte de la règle de la SEC
En juillet 2023, la SEC a introduit une règle de gestion des risques de cybersécurité qui exige que les entreprises publiques divulguent des incidents de cybersécurité significatifs, tels que des violations de données, dans un délai strict de quatre jours. Cette réglementation visait à améliorer la transparence et à protéger les investisseurs en veillant à ce qu'ils soient informés des risques potentiels pour leurs investissements.
Cependant, les groupes bancaires soutiennent que cette exigence est défectueuse et a entraîné des complications dans la pratique. Ils affirment que la règle sape les efforts pour renforcer la cybersécurité nationale en forçant les entreprises à divulguer des informations sensibles qui pourraient être exploitées par des cybercriminels.
Préoccupations soulevées par les groupes bancaires
La pétition soumise par les groupes bancaires expose plusieurs préoccupations clés concernant la règle de divulgation de la SEC :
-
Conflits de confidentialité : Les groupes affirment que la divulgation publique des incidents de cybersécurité entre en conflit avec les exigences de rapport confidentiel existantes, qui sont cruciales pour protéger les infrastructures critiques.
-
Impact sur les forces de l'ordre : Ils avertissent que la règle pourrait entraver les enquêtes des forces de l'ordre sur les cyberattaques, car les divulgations publiques pourraient alerter les auteurs et compliquer les efforts de réponse.
-
Confusion sur le marché : Les groupes bancaires soulignent le potentiel de confusion sur le marché entre les divulgations obligatoires et les rapports volontaires, ce qui pourrait induire les investisseurs en erreur.
-
Armes de divulgation : Ils affirment que les divulgations publiques peuvent être exploitées par des attaquants de ransomware, qui pourraient utiliser les informations pour poursuivre leurs objectifs malveillants.
-
Effet dissuasif sur les communications internes : Les groupes soutiennent que la peur de la divulgation publique pourrait dissuader des discussions internes franches sur les vulnérabilités en matière de cybersécurité, nuisant finalement à la capacité d'une entreprise à répondre efficacement aux incidents.
Demandes spécifiques à la SEC
Les groupes bancaires demandent spécifiquement la suppression de "l'Article 1.05" des règles de la SEC régissant le rapport Form 8-K. Ce formulaire est utilisé par les entreprises publiques pour informer les investisseurs d'événements significatifs, y compris des incidents de cybersécurité. Ils estiment qu'en l'absence de cette exigence, les intérêts des investisseurs peuvent toujours être adéquatement protégés par le biais de cadres existants permettant le rapport d'informations matérielles.
Implications pour les entreprises cotées en bourse
La règle de divulgation en matière de cybersécurité de la SEC affecte également les entreprises de cryptomonnaie cotées en bourse, telles que Coinbase. Récemment, Coinbase a subi une violation significative où des hackers ont soudoyé des employés pour divulguer des données utilisateur, entraînant plusieurs poursuites contre l'entreprise. Si la SEC rescinde l'exigence de divulgation, cela pourrait donner aux entreprises comme Coinbase plus de temps pour gérer et divulguer les incidents de cybersécurité sans la pression d'un rapport public immédiat.
Alors que la SEC examine la pétition des groupes bancaires, le résultat pourrait avoir des implications significatives sur la manière dont les entreprises gèrent les incidents de cybersécurité et communiquent avec les investisseurs à l'avenir. Le débat en cours met en lumière l'équilibre délicat entre transparence et nécessité de confidentialité dans un paysage de cybersécurité de plus en plus complexe.
Sources
-
Les groupes bancaires demandent à la SEC de supprimer la règle de divulgation des incidents de cybersécurité, Cointelegraph.
-
Les banques poussent à l'abrogation de la règle de rapport sur la cybersécurité de la SEC, Digital Watch Observatory.
-
-
Cet article a été créé avec le soutien d'une technologie alimentée par l'IA, en s'appuyant sur plusieurs sources réputées. Le contenu final a été soigneusement examiné et édité par l'équipe éditoriale de BlockzHub afin de garantir précision, clarté et cohérence. Les sources d'information originales sont créditées lorsque cela est approprié et requis. Les opinions exprimées dans cet article ne reflètent pas nécessairement les points de vue ou les positions officielles de BlockzHub. Cet article est uniquement destiné à des fins informatives et ne doit pas être considéré comme un conseil financier ou professionnel. Investir comporte des risques, et il est recommandé de consulter un conseiller financier qualifié avant de prendre toute décision d’investissement.
-