Table of Contents
SEC e as Multas por Divulgações Inadequadas de Invasões de Dados
Os reguladores da Securities and Exchange Commission (SEC) continuam a investigar a violação SolarWinds de 2020. Recentemente, a SEC acusou quatro empresas de minimizar o impacto da invasão em seus sistemas.
A Unisys recebeu a maior penalidade civil — US$ 4 milhões — por práticas de divulgação enganosas e violações de controle. A empresa descreveu riscos de cibersegurança como hipotéticos, apesar de saber sobre duas intrusões relacionadas à SolarWinds. Essas divulgações, consideradas enganosas, resultaram de controles deficientes. A Unisys não comentou o caso.
A Avaya Holdings Corp. pagará US$ 1 milhão por não revelar completamente o comprometimento de seu ambiente de nuvem. A empresa expressou satisfação em encerrar o assunto e continua focada em fortalecer seu programa de cibersegurança.
A Check Point foi multada em US$ 995.000 por ser vaga em suas divulgações. Embora não tenha encontrado evidências de acesso a dados sensíveis, a empresa decidiu cooperar com a SEC.
A Mimecast pagará US$ 990.000 por não divulgar a natureza do código exfiltrado e a quantidade de credenciais acessadas. A empresa afirmou ter agido com transparência e continuará a cumprir as exigências da SEC.
SEC Buscando Desestimular Divulgações Vagas
A SEC visa desestimular o uso de “meias verdades” em comunicações pós-violação. Jorge G. Tenreiro, chefe interino da Unidade de Criptoativos e Ciber, destacou a má estratégia de minimizar violações cibernéticas significativas.
“As empresas não podem mais confiar em generalizações ou hipóteses”, afirma a advogada especializada em cibersegurança Beth Burgin Waller.
Waller enfatiza que as empresas devem considerar riscos pós-litigação, incluindo ações coletivas de violação de dados. O novo cenário exige que diretores de segurança da informação (CISOs) colaborem com equipes jurídicas.
A SEC está pressionando as empresas a divulgarem detalhes logo no início de uma investigação, o que pode ser usado em processos futuros. CISOs precisam trabalhar com conselhos internos e externos sobre a materialidade de incidentes cibernéticos, especialmente à luz da precisão técnica exigida.
Importância das Práticas de Divulgação Precisas
- Transparência e Confiabilidade: Divulgações precisas mantêm a confiança de investidores e clientes. Evitar minimizar a extensão de uma violação é crucial para a reputação.
Compliance Regulamentar: A SEC exige informações detalhadas sobre incidentes. Não conformidade pode resultar em penalidades severas, como as aplicadas recentemente.
Prevenção de Consequências Legais: Precisão nas divulgações ajuda a evitar ações judiciais futuras. A SEC pressiona por divulgações precisas, que podem ser usadas judicialmente.
Melhoria da Segurança: Divulgações precisas permitem aprendizado e implementação de medidas de mitigação eficazes, fortalecendo a segurança cibernética.
Influência da SEC
Desestimular Divulgações Vagas: A SEC usa acusações e multas para evitar “meias verdades” em comunicações pós-violação.
Exigência de Detalhes Precisos: A SEC demanda detalhes desde o início de uma investigação, incluindo a natureza e impacto do incidente.
Colaboração entre Equipes: CISOs devem trabalhar com equipes jurídicas para garantir precisão técnica nas divulgações.
Cultura de Segurança: A SEC promove uma cultura de segurança que valoriza a transparência, fomentando um espírito comunitário contra o cibercrime.
A SEC está impulsionando práticas de divulgação precisas e transparentes, essenciais para manter confiança, cumprir regulamentações e melhorar a segurança cibernética geral.
Comentários de Especialistas sobre as Implicações Futuras
Especialistas acreditam que as ações da SEC definirão um novo padrão para práticas de divulgação de cibersegurança. Empresas precisarão adotar uma abordagem mais proativa e detalhada em suas comunicações pós-violação. Isso poderá resultar em uma maior colaboração entre departamentos de TI e jurídico, além de incentivar a adoção de tecnologias avançadas para detecção e resposta a incidentes.
Além disso, espera-se que as empresas invistam mais em treinamentos de conscientização sobre cibersegurança para seus funcionários, fortalecendo a primeira linha de defesa contra ataques cibernéticos. A SEC, ao estabelecer essas diretrizes rigorosas, busca não apenas proteger os investidores, mas também criar um ambiente de negócios mais seguro e resiliente.
Visualização de Dados
Para facilitar a compreensão das penalidades e implicações das ações de divulgação, gráficos e tabelas podem ser utilizados para sintetizar os dados. Isso ajuda a visualizar rapidamente as consequências financeiras e operacionais das decisões de divulgação inadequadas.
Fontes:
#SEC, #cybersegurança, #divulgação, #invasões, #empresas, #cryptoalch
Fonte inicial