Divulgações de segurança cibernética

Kovalsky disse que devido à natureza mutável das ameaças à segurança cibernética e às constantes mudanças na tecnologia, todo controle de cibersegurança está em algum estado de evolução.

As empresas estão acostumadas a divulgar informações internamente sobre o estado das práticas e controles de segurança cibernética. Os CFOs têm-se reunido com CIOs e CISOs há anos para discutir a eficácia dos controles, gestão de ameaças, riscos potenciais e riscos que podem ainda não ser mitigados de forma satisfatória.

“Mas isso é muito diferente de dizer que você está pronto para divulgar isso ao público”, disse Frazier. “Assim como no MD&A, cabe à administração garantir que o que é divulgado seja completo e preciso.”

No entanto, Kovalsky disse que um elemento do ambiente de negócios pode impedir uma divulgação completa e precisa. Às vezes, os CISOs participam de reuniões do conselho sob pressão de outros executivos para fazer com que os processos e proteções de gerenciamento de riscos de segurança cibernética de uma organização pareçam mais maduros do que realmente são.

Se o conselho não tiver uma avaliação completa dos riscos decorrentes dessas pressões, é mais provável que as divulgações à SEC sejam incorretas. “Os conselhos precisam estar preparados para fazer perguntas mais detalhadas e pontuais. Deve ser uma expectativa razoável que o CISO não apenas descreva os riscos em termos qualitativos, mas também os quantifique para o conselho ou comitê encarregado da supervisão do risco cibernético.” Kovalsky disse.

Esses painéis permitem relatórios consistentes e orientados por processos para o conselho, com um nível de detalhe que pode permitir uma melhor governança da segurança cibernética. Em última análise, o levantamento e a compilação das principais métricas de segurança cibernética que alimentam os painéis inspiram disciplina, rigor e consistência em torno dos dados, o que também pode ajudar as organizações no fornecimento de informações precisas e completas sobre riscos e incidentes aos investidores e à SEC.

Os conselhos também precisam considerar se seus membros apoiam suficientemente uma governança eficaz de cibersegurança. Quando necessário, os conselhos devem contratar regularmente profissionais terceirizados para fornecer educação sobre práticas e questões de segurança cibernética. Também é importante que pelo menos um membro do conselho tenha ampla experiência no assunto.

A orientação da SEC de julho não exige que os registrantes divulguem a extensão do conhecimento e experiência em segurança cibernética de seus conselhos. Mas os riscos de conformidade aumentam o valor e a necessidade de experiência em segurança cibernética nos conselhos.

“Tal como acontece com os conhecimentos financeiros ou jurídicos, os conselhos devem certificar-se de que possuem a tecnologia da informação e os conhecimentos de cibersegurança necessários para cumprir com suas responsabilidades de governança”, disse Frazier.