La Comisión de Valores y Bolsa va a tomar medidas contra el sector de los servicios financieros.
Tras haber tomado medidas drásticas contra las empresas que cotizan en bolsa el año pasado con nuevas (y muy controvertidas) normas sobre la divulgación de fugas de datos, y haber puesto en vilo a los responsables de seguridad de la información (CISO) con una demanda histórica, la SEC está preparando una serie de normativas sobre ciberseguridad para el sector de los servicios financieros.
El vertiginoso conjunto de propuestas, en fase de elaboración desde hace casi dos años, ha irritado profundamente a los corredores de bolsa, los asesores de inversión y otros actores del sector. (Uno de los propios comisionados de la SEC calificó una norma como «arma contundente».)
Hemos estado haciendo un seguimiento de estas propuestas en , a través del punto de contactoy , mes tras mes, y cada vez que la SEC parece estar a punto de tomar una decisión, presenta un nuevo conjunto de propuestas, algunas de las cuales se hacen eco (o coinciden por completo) con propuestas anteriores, lo que genera confusión y deja preguntas (al menos algunas) sin respuesta.
«Dejen de seguir adelante con ideas mal concebidas que no hacen más que dar poder a una clase profesional de abogados cuyas tarifas por hora parecen aumentar cada vez que se adopta una nueva norma.»Christopher A. Iacovella, director ejecutivo de la Asociación Americana de Valores
Lo que está claro es que la SEC no se lo está tomando a la ligera. Las nuevas normas sobre filtraciones de datos , aprobadas el pasado mes de julio, exigen a las empresas que cotizan en bolsa que comuniquen cualquier incidente de ciberseguridad significativo o «relevante» en un plazo de cuatro días, una medida controvertida que ha causado revuelo en las salas de juntas de las empresas estadounidenses .
Y la respuesta de la SEC al devastador ataque a SolarWinds —una demanda contra dicha empresa y su director de seguridad de la información (CISO), Timothy Brown — supone la primera vez que se ha considerado a un CISO personalmente responsable por presuntamente engañar a los inversores sobre el estado de seguridad de la empresa y por no haber tomado las precauciones básicas de seguridad. Los CISO están, con razón, consternados, y algunos están planteándose abandonar el sector.
Para aquellos que trabajan en el sector de los servicios financieros y se preguntan qué implicaciones tendrá para ellos el cumplimiento normativo en los próximos meses, hemos recopilado las principales cuestiones que suscitan preocupación. Así que abróchense los cinturones: en un intento por reforzar su política de ciberseguridad y tecnología, la SEC nos está llevando por un camino lleno de baches.
Desglose de la normativa sobre ciberseguridad propuesta por la SEC para las empresas del sector de los servicios financieros
La SEC lleva más de dos años intentando poner orden en el sector de los servicios financieros. Todo comenzó con…
- Una propuesta de norma sobre ciberseguridad para asesores de inversión y fondos, publicada en February 2022. Se exigirían políticas por escrito para hacer frente a los riesgos de ciberseguridad, así como la notificación de incidentes significativos de ciberseguridad a la Comisión en un plazo de 48 horas. La SEC solicitó a los ciudadanos que dieran su opinión sobre la propuesta y recabó comentarios durante varios meses.
Aproximadamente un año después, en el documento « March 2023», la Comisión presentó una propuesta normativa similar dirigida a un grupo denominado colectivamente «entidades de mercado». Entre ellas se incluyen las sociedades de intermediación, las entidades de compensación, las asociaciones nacionales de valores y las bolsas de valores.
- Conocida como la « » (Regla 10), , esta normativa exigiría la existencia de políticas de seguridad por escrito que abarquen ámbitos como el control de acceso, la protección contra el malware y el almacenamiento y la supervisión de la información. Las entidades también necesitarían revisiones periódicas para garantizar que siguen adaptándose a la evolución de los riesgos de ciberseguridad, así como políticas de respuesta ante incidentes y de gestión de incidentes para hacer frente a los incidentes. La norma también exige que se notifique cualquier infracción en un plazo de 48 horas mediante la primera parte del formulario SCIR. Las empresas también tendrían que informar al público en el mismo año natural utilizando la segunda parte del formulario.
Al mismo tiempo, propuso dos modificaciones a otras disposiciones.
- Una de las enmiendas de la Ley de Protección de la Información de los Consumidores ( ) se refiere al Reglamento S-P, , que es una norma que establece políticas para la protección de los registros de los clientes. La enmienda obligaría a los intermediarios bursátiles, las sociedades de inversión, los asesores de inversión registrados y los agentes de transferencia a notificar a las personas afectadas por las filtraciones de datos.
- Otra enmienda de « » ( ) se refiere al cumplimiento y la integridad de los sistemas de regulación (Reg SCI), , una norma 2015 que la Comisión utiliza para supervisar los sistemas informáticos en los mercados de valores. Esta enmienda ampliaría el ámbito de aplicación a un mayor número de empresas e introduciría nuevas obligaciones, entre ellas la ampliación de la definición de «intrusión en los sistemas», lo que supondría un aumento de los requisitos de notificación.
Confusión, quejas y retrasos
Las normas propuestas y las enmiendas adicionales suscitaron una avalancha de comentarios negativos por parte del sector. «Instamos a esta Comisión a que deje de seguir adelante con ideas mal concebidas que no hacen más que reforzar el poder de una clase profesional de abogados y consultores cuyas tarifas por hora parecen aumentar cada vez que se aprueba una nueva norma», afirmó con dureza Christopher A. Iacovella, director ejecutivo de la Asociación Americana de Valores, en un comentario público publicado en .
Otros señalaron que había repeticiones.
«La Reg SCI ya permite alcanzar los mismos resultados en materia de ciberresiliencia, con arreglo a la Norma Propuesta 10 , para las entidades que están o estarán sujetas a la Reg SCI», se quejó Nashira Spencer, directora general de la Depository Trust & Clearing Corporation, en su respuesta a las propuestas.
Por si la avalancha de propuestas complicadas y solapadas no fuera suficiente, la Comisión también ha reabierto el plazo de consulta pública sobre la norma de inversión —¿recuerdan aquella primera propuesta relativa a los asesores de inversión y los fondos de la norma 2022?— en March 2023 con el fin de poder armonizarla con las nuevas propuestas, explica Richard Borden. Como socio del Grupo de Estrategia de Datos, Privacidad y Seguridad del bufete de abogados Frankfurt Kurnit Klein & Selz, el Sr. Borden ha seguido de cerca la regulación del sector de los servicios financieros por parte de la SEC. «[Es de suponer que] a continuación publicarán un conjunto completo que abarque todas las empresas que regulan».
A muchos comentaristas les preocupaban los plazos tan breves —tan solo 48 horas para notificar un ciberataque, a veces incluso menos— y el hecho de que los informes tuvieran que actualizarse a lo largo del ataque, algo que la Asociación de Asesores de Inversión ( ) calificó como «», señalando que inundaría a la SEC con datos que esta no podría procesar. , de Amazon Web Services, advirtió a que «facilitar información antes de que se haya evaluado un incidente puede dar lugar a confusión y malentendidos».
Los comisionados de la SEC tampoco se mostraron satisfechos con la propuesta de la Norma 10 , que se aprobó por 3-2 votos. Una de las comisionadas que se opuso, la Sra. Hester M. Peirce, advirtió de que la norma era un «» (") con el que se amenazaba a las entidades del mercado en lugar de ayudarlas. Le preocupaba la responsabilidad legal derivada de las inexactitudes u omisiones en la primera parte del formulario SCIR, que las empresas tendrían que cumplimentar en un momento de pánico en el que quizá aún no se dispusiera de información precisa.
«Esta norma resulta más fácil de entender como una herramienta para mejorar nuestras estadísticas de control de fin de año que como una propuesta seria para aumentar la seguridad de los mercados de valores», afirmó.
¿Trasladan las normas cibernéticas de la SEC el riesgo al punto más débil?
Las mejoras del SCI también tienen implicaciones preocupantes para las entidades del sector de valores que utilizan un servicio en la nube de tipo « » proveedores. La norma propuesta descarta explícitamente el principio de responsabilidad compartida. Se trata de un concepto bien consolidado en los proyectos de computación en la nube que divide las responsabilidades en materia de seguridad y resiliencia de los sistemas entre el proveedor de servicios en la nube y el usuario. En cambio, según la propuesta, es la organización amparada por la SCI la que asume la mayor parte de estas responsabilidades. Asimismo, se sugiere que una organización utilice varios proveedores de servicios en la nube de forma coordinada para lograr una mayor resiliencia cuando se considere necesario.
«. Eso resulta increíblemente difícil de llevar a cabo desde un punto de vista técnico y sería extremadamente costoso.»Richard Borden, socio de Frankfurt Kurnit Klein & Selz, en relación con una propuesta de normativa que obligaría a las organizaciones a recurrir a varios proveedores de servicios en la nube en determinadas situaciones
«Eso resulta increíblemente difícil de llevar a cabo desde el punto de vista técnico y sería extremadamente costoso», afirma Borden. Añade que esa complejidad adicional podría provocar problemas operativos que harían que los sistemas fueran menos fiables, y no más.
A Borden le preocupa que las normas propuestas hagan recaer la carga de la gestión de riesgos sobre instituciones financieras que quizá no dispongan de la capacidad necesaria para hacerle frente. Por ejemplo, los requisitos adicionales podrían obligar a las organizaciones afectadas a prescindir por completo de los servicios en la nube y a recurrir, en su lugar, a sistemas locales menos seguros.
«Me preocupa que puedan dar lugar a comportamientos inadecuados o a comportamientos que puedan resultar aún más perjudiciales», añade.
Estas ampliaciones normativas también corren el riesgo de solaparse con otras normas más. En el documento « October 2023», la Comisión propuso unos requisitos de supervisión para los servicios subcontratados por los asesores de inversión. Los asesores deberán examinar la competencia y los recursos de un proveedor de servicios, así como evaluar los riesgos que este pueda suponer, al tiempo que supervisan periódicamente el rendimiento del proveedor y revisan el contrato, manteniendo un registro de todo el proceso.
Los requisitos propuestos también incluyen varias medidas adicionales que afectan a los proveedores de servicios en la nube, entre ellas la firma de acuerdos para mantener al asesor como cliente durante un período mínimo de tiempo y garantizar la disponibilidad.
La normativa cibernética de la SEC somete a la inteligencia artificial a un minucioso escrutinio
Ningún organismo regulador que se precie dejaría pasar la oportunidad de regular el riesgo que plantea la IA; por ello, en October 2023 , la Comisión publicó una propuesta de normativa relativa al uso de tecnologías como la IA y el análisis predictivo. Esto se debe a la preocupación de que los asesores puedan utilizar estas tecnologías para favorecer sus propios intereses en detrimento de los inversores, y se aplica incluso a los servicios de asesores robóticos.
El problema es que esto también se aplica a todo lo demás, advirtió el comisario Mark T. Uyeda en un comunicado publicado en en el que rechazaba apoyar la propuesta.
«Según el texto de la norma, incluso las calculadoras no electrónicas, como el ábaco, podrían estar legalmente incluidas en su ámbito de aplicación», advirtió.
Uyeda también criticó «la tendencia de las recientes propuestas de la Comisión a incluir elementos algo extravagantes, lo que atrajo la atención y el interés de quienes formularon observaciones».
Una de esas críticas procedía de Jennifer W. Han, vicepresidenta ejecutiva de la Asociación de Fondos Gestionados. Su comentario, disponible en , sobre la propuesta incluía un análisis de impacto de la norma propuesta que el Ministerio de Asuntos Exteriores encargó a la consultora económica NERA. Advirtió de que la norma supondría «costes de cumplimiento considerables que podrían obligar a las empresas a cerrar o a fusionarse».
La falta de una visión global
Una de las principales preocupaciones que suscitan muchas de las normas de la SEC no es solo su carácter solapado, sino también su falta de armonización con otras normas gubernamentales en materia de información financiera.
Harley L. Geiger, asesor jurídico especializado en legislación y políticas de ciberseguridad del bufete Venable LLP, destaca un informe de la Oficina de Estrategia, Política y Planes del Departamento de Seguridad Nacional, titulado « September 2023 » () y disponible en , que analiza la armonización de la notificación de incidentes cibernéticos al Gobierno federal. En su análisis de 52 requisitos vigentes o propuestos en materia de notificación de incidentes cibernéticos, se detectaron requisitos que podrían ser redundantes.
Esta falta de una política de presentación de informes coordinada podría hacer que las organizaciones —especialmente aquellas reguladas por múltiples organismos reguladores— se enfrenten a una gran cantidad de requisitos y plazos de presentación de informes distintos, afirma Geiger. «Se trata de un marco normativo que deja mucho que desear». «Consideramos que es importante que las organizaciones estén preparadas para gestionar este mosaico de normas, pero también que exista una mayor armonización en la política federal de notificación de incidentes cibernéticos».
Por favor, espere un momento
La SEC (que no ha respondido a nuestra consulta) no se ha pronunciado sobre si las normas propuestas podrían entrar en vigor ni sobre cuándo podría suceder.
Borden esperaba inicialmente que la Comisión presentara algún resultado poco después de la publicación de la normativa inicial sobre asesores de inversión. «Entonces, cuando llevaron a cabo todo ese conjunto de medidas el año pasado, pensé: “De acuerdo, tendremos algo dentro de 90 días”», concluye. «Bueno, ya han pasado 14 meses».
