Die Auswirkungen der SEC-Cyberregeln auf das Unternehmensrisikomanagement

Wenn Sie in Cybersicherheit, Wenn Sie regulatorische Änderungen verfolgen oder Teil der Branche sind, haben Sie die jüngsten regulatorischen Entwicklungen wahrscheinlich genau beobachtet. SEC-Regeln zur Offenlegung von Cybersicherheitsvorfällen und der EU Cyber Resilience Act (CRA), Diese Entwicklungen haben Organisationen dazu gezwungen, ihre Strategien zu überdenken und neu auszurichten. Angesichts der rasanten Fortschritte im Bereich der KI ist es nun an der Zeit für einen verantwortungsvollen Einsatz und eine strengere regulatorische Aufsicht. 

Während die sichere Entwicklung und Nutzung von KI ist noch nicht gesetzlich geregelt, eine bemerkenswerte Cybersicherheitsverordnung aus dem letzten Jahr waren die neuen SEC-Regeln zum Cybersicherheitsrisikomanagement und zur Meldung von Vorfällen. Sie verpflichten börsennotierte Unternehmen nun zu Folgendem:

• Melden Sie bedeutende Cybervorfälle der SEC innerhalb von vier Werktage.
• Stellen Sie detaillierte Informationen über die Aufsicht des Vorstands über Cybersicherheitsrisiken bereit. 

Um die Auswirkungen dieser Veränderungen besser zu verstehen, haben wir uns mit folgenden Partnern zusammengetan: Sapio Forschung Eine Studie befragte 500 Entscheidungsträger im Bereich Cybersicherheit aus großen Unternehmen in den USA und Großbritannien. Den vollständigen Bericht können Sie hier herunterladen: Regulierung 2024 vs. Realität: Sind die Versuche der Fed, die Offenlegung von Vorfällen zu regeln, effektiv?

Die Kosten der Vernachlässigung von Cybersicherheitsvorschriften 

Als Chief Information Security Officer (CISO) von Swimlane habe ich aus erster Hand miterlebt, wie regulatorische Änderungen unsere Branche umgestalten und welche Folgen es hat, wenn man sie ignoriert. Beispielsweise durch aufsehenerregende Vorfälle wie den Ransomware-Angriff auf Change Healthcare, haben das Vertrauen der Öffentlichkeit kontinuierlich verringert.

Der Ransomware-Angriff auf Change Healthcare ist einer von mehreren Vorfällen in diesem Jahr, die die schwerwiegenden Folgen verdeutlichen, denen Unternehmen ausgesetzt sein können, wenn sie das Risikomanagement vernachlässigen. Dazu gehören: 

• Reputationsschaden 
• Finanzielle Verluste
• Betriebsausfallzeit 
• Verlust sensibler Daten

Schau dir diese Zahl noch einmal an… $1.6B könnte die gesamten finanziellen Auswirkungen auf Change Healthcare sein. In meinem kürzlich erschienenen Blogbeitrag, Das Rätsel der “Wesentlichkeit”: Ein Leitfaden für CISOs zur Einhaltung der SEC-Vorschriften, Ich habe die Bedeutung des Verständnisses der Wesentlichkeitsdefinition, der damit verbundenen Risiken und der potenziellen finanziellen Folgen hervorgehoben. Zu diesen Folgen zählen unter anderem Anwaltskosten, Bußgelder, Kosten für die Behebung von Mängeln und Benachrichtigungen von Kunden. Ein weiteres zentrales Problem der Cybersicherheitsvorschriften der SEC ist die unklare Definition von “Wesentlichkeit”. Ohne eindeutige Vorgaben müssen Unternehmen proaktiv festlegen, was einen “wesentlichen” Cybersicherheitsvorfall darstellt. 

Vor diesem Hintergrund kann man mit Sicherheit sagen, dass die jüngst verstärkte regulatorische Kontrolle entscheidend dazu beiträgt, das Vertrauen wiederherzustellen und sicherzustellen, dass Unternehmen der Cybersicherheit höchste Priorität einräumen. 

3 proaktive Cybersicherheitstipps zur Einhaltung von Vorschriften

Die Erfüllung der jüngsten regulatorischen Anforderungen beinhaltet zahlreiche “Aufgaben” und SecOps Taktiken. Es ist jedoch wichtig, zwischen der bloßen Erfüllung von Vorschriften und dem Aufbau einer wirklich proaktiven Risikomanagementstrategie zu unterscheiden. Sich mit dem Nötigsten zufriedenzugeben, ist nicht ausreichend. “ausreichende” Sicherheit Das wird Ihr Unternehmen nicht schützen. Glauben Sie mir nicht einfach so – sehen Sie sich die zahlreichen Unternehmen an, die darunter gelitten haben. Datenpannen und Cyberangriffe im Jahr 2024 allein.

Hier sind drei Möglichkeiten, wie Sie mit Risikomanagementstrategien proaktiv vorgehen können:

1. Implementierung unternehmensweiter Cybersicherheitsexpertise 

Die reine Abarbeitung von Checklisten greift immer wieder zu kurz. Als Führungskräfte müssen wir uns von der Spitze bis zu den Mitarbeitern für Cybersicherheit einsetzen. Dieses Engagement ist unerlässlich, um Risiken zu minimieren und Cyberangriffe zu verhindern.

Dies beginnt mit Cybersicherheitsexpertise auf Vorstandsebene. Unser aktueller Bericht hebt Folgendes hervor:

• 81% Er sagte, dass alle Unternehmen mit einem Verwaltungsrat mindestens ein Mitglied mit Fachkenntnissen im Bereich Cybersicherheit haben sollten.
• Obwohl, nur 55% Die Befragten gaben an, dass mindestens ein Vorstandsmitglied über Fachkenntnisse im Bereich Cybersicherheit verfügt.

Die Investition in die richtigen Cybersicherheitstools und Schulungen für Ihr Team wird Ihre gesamten Prozesse deutlich verbessern. Dieser proaktive Ansatz stellt sicher, dass jeder – vom Einsteiger bis zur Führungskraft – die Bedeutung von Cybersicherheit versteht und mit den richtigen Tools effektiv auf Vorfälle reagieren kann. Dadurch werden die Abwehrkräfte gestärkt, das Risikomanagement verbessert und die Abläufe optimiert. Reaktion auf Zwischenfälle, und eine widerstandsfähigere Organisation zu schaffen.

Beachten Sie, dass Governance und Compliance nicht automatisch Risikominderung oder verbesserte Cybersicherheit bedeuten. Sicherheitslage, Resilienz, technische Kontrollen und Zero Trust hingegen schon. Sie müssen zunächst die Grundlagen beherrschen. 

2. Schwerpunktverlagerung bei der Offenlegung von Cybervorfällen

Organisationen müssen ihren Fokus bei der Meldung von Cybervorfällen an Aufsichtsbehörden und die Öffentlichkeit verlagern. Es ist wichtig, über die technischen Aspekte eines Cybervorfalls hinauszugehen und die umfassenderen finanziellen, betrieblichen und Reputationsrisiken für eine korrekte Berichterstattung zu bewerten. Unser Bericht stellt fest:

• Lediglich 25% der Befragten melden Sicherheitsvorfälle innerhalb von 3-4 Werktagen.
• Und 43% hatten im vergangenen Jahr mit längeren Meldezeiten zu kämpfen.

Dies verdeutlicht die Herausforderung, vor der viele Organisationen bei der Aufrechterhaltung schneller und effizienter Prozesse stehen. Der Einsatz einer Sicherheitsautomatisierungsplattform wie Swimlane Turbine kann jedoch zur Behebung dieses Problems beitragen.

3. Automatisierte Reaktion auf Vorfälle

Nutzen Sie Playbooks zur Automatisierung Reaktion auf Zwischenfälle Prozesse. Dieser optimierte Ansatz ermöglicht schnellere Entscheidungen und versetzt Unternehmen in die Lage, rasch auf Cybersicherheitsvorfälle zu reagieren und Risiken umgehend zu minimieren. Bei Swimlane nutzen wir unsere eigenen Sicherheitsautomatisierung Plattform zum Aufbau Notfallreaktionsleitfäden. Dies führt zu einfacheren Prozessen, die es mir ermöglichen, fundierte Entscheidungen zu treffen und dem Führungsteam Details zur Reaktion auf kritische Vorfälle klarer zu berichten. 

Die Balance zwischen menschlicher Expertise und KI-gestützter Automatisierung

Durch die optimale Kombination von menschlicher Expertise und KI-gestützten Automatisierungstools wird der operative Aufwand reduziert. Es ist an der Zeit, Routineaufgaben wie Bedrohungserkennung und Protokollanalyse zu automatisieren, um Sicherheitsexperten für kritische, fundierte Entscheidungen freizustellen. Dies steigert Effizienz und Effektivität und stärkt letztendlich das Vertrauen der Entscheidungsträger in ihre Fähigkeit, Compliance-Vorgaben einzuhalten. 

Während sich Ihre Organisation an neue Vorschriften und Herausforderungen im Bereich Cybersicherheit anpasst, hoffe ich, dass Ihnen diese Erkenntnisse dabei helfen, Resilienz und ein proaktives Risikomanagement zu entwickeln. Ich hoffe außerdem, dass sich alle meine Sicherheitsverantwortlichen mit mir vernetzen. LinkedIn um weitere proaktive Gespräche zu führen.