Pubblicato il: Dicembre 13, 2023

L'FBI questa settimana ha emesso un avviso politico, delineando le regole che le aziende devono seguire per richiedere un ritardo nella segnalazione di incidenti informatici alla Securities and Exchange Commission (SEC).

Secondo il documento, le aziende possono chiedere al DOJ (Dipartimento di Giustizia), tramite l'FBI, un ritardo fino a 30 giorni se la divulgazione costituisce un rischio per la sicurezza nazionale o minaccia la sicurezza pubblica di qualcuno. Il dipartimento può concedere una richiesta fino a 60 giorni lavorativi aggiuntivi in ​​“circostanze straordinarie” considerate sostanziali rischi per la sicurezza nazionale. Tuttavia, l’FBI ha affermato che ciò non si applica ai rischi per la sicurezza pubblica.

L’FBI documenterà ogni richiesta che riceve, coordinerà i “controlli sulla sicurezza nazionale e sulle azioni di pubblica sicurezza del governo statunitense” e le inoltrerà al Dipartimento di Giustizia per la revisione.

“Dopo che l’FBI avrà effettuato un rinvio sulla base di controlli azionari e procedure di accertamento dei fatti, il Dipartimento di Giustizia emetterà una decisione di ritardo. Questa decisione sarà comunicata per iscritto contemporaneamente alla vittima e alla SEC. Se il Dipartimento di Giustizia approva la richiesta di ritardo, l'FBI dovrebbe invitare la vittima a presentare eventuali richieste di estensione del ritardo all'Ufficio di presidenza. Presto sarà disponibile un indirizzo e-mail a cui le vittime potranno inviare tali richieste", ha spiegato l'FBI.

L’FBI e il Dipartimento di Giustizia determineranno se la situazione giustifica un ritardo in base a una serie di fattori, tra cui il tipo di vulnerabilità sfruttata al momento dell’attacco iniziale e il settore della vittima.

"Se si tratta di qualcosa come uno zero-day e uno stato-nazione, probabilmente saremo più propensi a nutrire una potenziale preoccupazione per tale divulgazione in termini di beneficio in termini di rischio per la sicurezza nazionale rispetto a una sorta di phishing ordinario." attacco”, ha detto il viceprocuratore generale aggiunto del Dipartimento di Giustizia Eun Young Choi. "Queste sono decisioni caso per caso che dovremo prendere."

Un avvertimento importante per le aziende che desiderano richiedere un ritardo è che devono segnalare immediatamente l'incidente una volta stabilita la sua gravità. L’ufficio di presidenza spiega che un incidente materiale di sicurezza informatica è quello in cui “esiste una sostanziale probabilità che un azionista ragionevole lo consideri importante” nel caso in cui si prenda una decisione di investimento.

"Le richieste di ritardo non verranno elaborate a meno che non vengano effettuate immediatamente dopo la determinazione della materialità da parte dell'azienda", ha sottolineato l'FBI, aggiungendo che se l'azienda non è sicura che l'incidente sia materiale, dovrebbe comunque contattare immediatamente l'FBI e gli agenti. aiuterà a determinare se è materiale.

L'avviso politico dell'FBI arriva poco più di una settimana prima che le nuove regole approvate dalla SEC all'inizio di quest'anno entrino in vigore il 18 dicembre. Richiedono alle aziende di compilare un modulo 8-K e di inviarlo alla SEC entro 4 giorni lavorativi da un problema di sicurezza informatica. incidente in atto.

L’ufficio “incoraggia fortemente le aziende a contattare l’FBI subito dopo la scoperta di un incidente informatico. Questo contatto tempestivo consente all’FBI di familiarizzare con i fatti e le circostanze di un incidente prima che l’azienda prenda una decisione sulla materialità”.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.safetydetectives.com/news/fbi-details-how-companies-can-delay-sec-cyberattack-disclosures/