Las reglas de ciberseguridad recientemente propuestas, por la SEC, están ejerciendo una inmensa presión sobre los miembros de la junta corporativa y los líderes ejecutivos para que asuman una mayor responsabilidad por la supervisión del ciberriesgo.
Pero esos cambios en las reglas están planteando más preguntas de las que responden.
Eso es de acuerdo con un panel de expertos líderes en la industria y regulaciones que el Centro de Ciberseguridad de NYU organizó en línea el July 12.
Durante el evento Mujeres líderes en ciberseguridad , seis panelistas analizaron cómo los líderes corporativos deben cumplir con nuevos mandatos significativos sobre la elaboración de informes de incidentes de ciberseguridad, la gestión de riesgos, la estrategia y la gobernanza, y, en particular, las implicaciones de un requisito propuesto controvertido para informar ciberataques en un plazo de cuatro días.
Jocelyn Hunter, vicepresidenta y asesora general adjunta de Home Depot, señaló que las empresas y los consejos están tratando de averiguar “el nuevo laico de la tierra” y actuar de manera transparente. La compañera panelista Bethany Mayer, presidenta de la junta directiva de la empresa de almacenamiento en línea Box, señaló: “Como miembros de la junta directiva, tenemos que cambiar”.
El March 9, la SEC propuso reglas que reforzarían los requisitos de divulgación en torno a una serie de problemas de ciberseguridad, incluida la gestión de riesgos, la estrategia, la gobernanza y la respuesta a incidentes<. Las nuevas recomendaciones están en el período de comentarios, pero potencialmente requerirían acciones como:
- Presentar un Formulario 8-K ante la SEC dentro de los cuatro días hábiles de un incidente de ciberseguridad material.
- Divulgar periódicamente las políticas y los procedimientos de la empresa relacionados con la identificación y gestión de riesgos de ciberseguridad, el rol de la gerencia en la implementación y la experiencia en ciberseguridad y las responsabilidades de supervisión de la junta directiva.
- Actualizar información sobre incidentes informados previamente.
“No estamos tratando de imponer un régimen”.Carolyn Welshhans, jefa interina, unidad cibernética de la SEC
Carolyn Welshhans, directora asociada de la división de aplicación de la SEC y jefa interina de los activos criptográficos y la unidad cibernética de la agencia, dijo durante el panel que las reglas finales podrían terminar siendo “muy diferentes” de lo que se ha propuesto. Hasta el momento, se han presentado unas 100 cartas de comentarios ante la SEC. Los comentarios se consideran parte del proceso de elaboración de reglas. Welshhans no ofreció un cronograma para cuándo se finalizarían las reglas.
¿Qué hay detrás de las nuevas reglas de ciberseguridad de la SEC?
La mayor frecuencia e intensidad de los incidentes cibernéticos en los últimos años ha motivado a la SEC a actuar. Los delincuentes cibernéticos han lanzado una ola inquietante de ataques de ransomware a empresas estadounidenses y proveedores de infraestructura crítica en los últimos años.
Cerraron plantas de empaque de carne, tuberías de gas, escuelas e instalaciones de atención médica. En cada caso, bloquearon los sistemas informáticos de las víctimas y exigieron dinero para devolver datos robados. Desde pequeñas empresas hastatodos los gobiernos: ninguna organización es inmune a estos ataques.
“Algunos de los problemas de hace cinco años aún no han sido abordados por las organizaciones”.Julie Cullivan, junta directiva de Axon, Heartflow y otras empresas
Por lo tanto, la propuesta de la SEC es una “alerta importante”, dijo la panelista Julie Cullivan, miembro de la junta directiva de varias empresas y ex líder de TI de Forescout Technologies. “Desde una perspectiva de riesgo, las cosas han empeorado en los últimos cinco años”, dijo. “Y algunos de los problemas de hace cinco años aún no han sido abordados por las organizaciones”.
Cullivan dijo que los equipos ejecutivos y las juntas directivas deben interactuar mejor con los problemas de ciberseguridad. La SEC ve que los conceptos básicos aún no se están abordando y desea asegurarse de que las empresas sean responsables.
Ese sentimiento fue compartido por Hunter de Home Depot y la moderadora del panel Judith Germano, una distinguida becaria del Centro de Ciberseguridad de NYU y exfiscal federal. Acordaron que las empresas deberían haber tomado medidas básicas hace años. Las prácticas recomendadas para la gestión de parches y la autenticación multifactor han sido bien conocidas durante años. La Agencia Federal de Seguridad de Infraestructura y Ciberseguridad (Cybersecurity and Infrastructure Security Agency, CISA) ha estado superando recientemente el ritmo de la escalada constante y la creciente sofisticación de los ciberataques.
La regla obligatoria de cuatro días de la SEC
Los líderes corporativos y sus juntas directivas están particularmente preocupados por uno de los nuevos requisitos: que los incidentes cibernéticos se divulguen dentro de los cuatro días de haber sido etiquetados como un evento “importante”. La regla de cuatro días, dijo Germano, es “problemática”. El límite de tiempo podría hacer que las empresas retrasen la determinación de que un evento es material y desalentarlas a realizar divulgaciones confidenciales informales a las partes interesadas y a los reguladores por miedo a activar un requisito de presentación pública.
También podría conducir a divulgaciones públicas de incidentes antes de que se haya contenido el daño y se hayan aplicado parches a los sistemas, y antes de que se haya informado a otras partes afectadas y hayan tenido la oportunidad de protegerse ”.Esto puede dificultar, no ayudar, la ciberseguridad”, dijo.
[Leer también: ¿Qué es la respuesta a incidentes?]
“En un período de cuatro días, es muy difícil saber qué va a ser material”, dijo Mayer de Box. “Se necesita más que esa cantidad de tiempo para entender si un incidente es material o no”. Además, la divulgación temprana podría indicar que la empresa está en ciberdificultad, lo que podría invitar a más ataques, dijo.
El período de cuatro días, dijo Hunter de Home Depot, sigue siendo “un período en el que hay muchas incógnitas”. Las fuerzas de seguridad pueden estar involucradas durante esta etapa temprana, y pueden aconsejar contra una divulgación rápida para evitar asustar a los delincuentes que aún podrían ser atrapados a medida que tropiezan a través de un sistema.
Cullivan dijo que los ejecutivos y expertos en tecnología han planteado inquietudes de que la regla de cuatro días llevará a los consejos a retener parte de su comunicación temprana, que puede ser vaga en el mejor de los casos. “He visto a las empresas de tecnología ser atacadas por no [retener]”, dijo. “Me preocupa que las personas se retengan porque les preocupa que la comunicación sea una señal demasiado pronto”.
[Leer también: Cómo su empresa puede sobrevivir a un ataque de ransomware]
Pero Welshhans de la SEC cree que es un delicado acto de equilibrio entre la divulgación y la velocidad, que puede ser crítico durante un ciberataque. “Una vez que haya [determinado que] algo es material, eso es algo que los inversionistas deben saber”, dijo.
Aun así, Welshhans señaló que la regla de cuatro días está lista para el análisis y que las empresas no deben tener miedo a la divulgación. “Lo más probable es”, dijo, “que vamos a escuchar al respecto de todos modos, porque si hay una fuga y se hace pública, en última instancia debe divulgarla. También recibimos noticias de nuestros otros socios de aplicación de la ley”.
Se necesita experiencia en ciberseguridad a nivel directivo
Dada la nueva presión por el aumento de las divulgaciones, es momento de que las empresas agreguen un experto en ciberseguridad a la junta directiva, dijo Mayer de Box. “Dado el tipo de riesgo que enfrentan las empresas, especialmente en las grandes empresas públicas, debe haber cierto nivel de conocimiento, no solo sobre la tecnología, sino también sobre los problemas legales y de responsabilidad”, dijo. “Eso tiene que ser parte del conocimiento de la junta directiva”.
Mayer, por su parte, está preocupada porque incluso las grandes empresas no tienen un nivel básico de conocimiento de ciberseguridad en la junta directiva. Eso puede ser un problema real cuando ocurre una filtración de ciberseguridad.
“[Las juntas directivas deben] comprender la interacción de la innovación cibernética con el liderazgo empresarial”.Nasrin Rezai, vicepresidente sénior y director de seguridad de la información de Verizon
La panelista Nasrin Rezai, vicepresidenta sénior y directora de seguridad de la información (Chief Information Security Officer, CISO) de Verizon, comparte la creencia de que las empresas y las juntas directivas necesitan agregar más tecnólogos a su estructura ejecutiva. Las juntas directivas y las empresas deben “comprender la interacción de la innovación cibernética con el liderazgo empresarial para asegurarse de que el negocio, la tecnología y la cibernética estén interrelacionados”, dijo.
SEC: No hay una solución “único para todos”
Welshhans dijo en el evento que las reglas propuestas por la SEC no serán una reglamentación “único para todos”. La agencia no está interesada en recetar un manual de estrategias de respuesta a incidentes y otras medidas específicas, agregó. “Las empresas necesitan resolver esto”, dijo.
Evaluar y responder al riesgo es diferente para cada empresa. “No estamos tratando de imponer un régimen”, dijo. “E incluso con la mejor ciberseguridad del mundo, algo va a suceder”. Aun así, los inversionistas necesitan información más importante sobre las violaciones cuando ocurren.
“Es un momento muy difícil y también es un momento en el que hay muchas prácticas en la plataforma”.Jocelyn Hunter, vicepresidenta y asesora general adjunta, Home Depot
La SEC debe trazar una línea fina entre la responsabilidad y ser “exceso”, dijo Germano de NYU. Los legisladores, las empresas y las organizaciones comerciales han criticado las reglas, diciendo que son innecesariamente onerosas, podrían poner en peligro la seguridad nacional al exponer públicamente información confidencial e impondrían una microgestión sin precedentes por parte del gobierno.
Hunter de Home Depot resumió las críticas al señalar que las propuestas bien intencionadas, como un requisito de divulgación de cuatro días, podrían agregar una capa innecesaria de estrés a una situación que ya es estresante. Cuando hay un evento cibernético, “es un momento realmente difícil y también es un momento en el que hay muchas prácticas prácticas”, dijo. “Y esto solo se sumaría a lo que todos intentan hacer”.
