UZMAN PERSPEKTİFİ — Siber Girişimler Grubu (The Cipher Brief tarafından desteklenmektedir), SEC’in bu hafta Kamu Şirketleri tarafından Siber Güvenlik Risk Yönetimi, Strateji, Yönetişim ve Olay İfşası ile ilgili önerilen kuralları desteklemek için ulusal güvenlikle ilgili yorumlarda bulundu. Resmi dosya aşağıdadır.
Eski Ulusal Güvenlik Ajansı Baş Hukuk Müşaviri tarafından yönetilen yorumcular Glenn Gerstell, Dahil etmek Kelly Bissel, Küresel Güvenlik Hizmetleri Lideri, Microsoft Corporation, HON. Sue Gordon, eski Ulusal İstihbarat Başkan YardımcısıMatt Hayden, Siber, Altyapı, Risk ve Dayanıklılık için eski Ulusal Güvenlik Bakan Yardımcısı, GEN Michael Hayden (E.), Merkezi İstihbarat Teşkilatı ve Ulusal Güvenlik Teşkilatı eski Direktörü, HON. S. Leslie İrlanda, İstihbarat ve Analizden Sorumlu eski Hazine Müsteşar YardımcısıRichard H. Ledgett, Jr., Eski Müdür Yardımcısı, Ulusal Güvenlik Ajansı, RADM Mark Montgomery (Et.), eski İcra Direktörü Cyberspace Solaryum Komisyonu ve Debora Plunkett, fUlusal Güvenlik Kurumu Bilgi Güvence Müdürlüğü eski Müdürü.
Bizim sırasında CIG Müdürlerine katılın 25 Mayıs Çarşamba Sanal Bahar Zirvesiinci ve Rusya tarafından başlatılan potansiyel siber operasyonlardan kritik altyapının korunmasına, fidye yazılımı patlamasının ele alınmasına ve üçüncü taraf sağlayıcıların yönetilmesine kadar çeşitli konularda kamu ve özel sektör liderleriyle bağlantı kurun. Etkinlik ücretsiz, kayıtlı bir etkinliktir. Şimdi yerinizi ayırtın.
Dosya Numarası S7-09-22 – Önerilen Kural Hakkında Yorumlar
Aşağıda imzası bulunanlar, Komisyon tarafından 9 Mart 2022’de önerilen Siber Güvenlik Risk Yönetimi, Strateji, Yönetişim ve Halka Açık Şirketler Tarafından Olay Açıklamasına ilişkin kuralların (“Önerilen Kurallar”) hedeflerini desteklemek için bu yorumları sunar.
Aşağıda imzaları bulunanlar, siber güvenlik ve ulusal güvenlik konularında farkındalığı artırmak için Amerika Birleşik Devletleri’ndeki özel sektörle ilişki kuran özel bir medya kuruluşu olan The Cipher Brief tarafından oluşturulan ve desteklenen bir komite olan Siber Girişimler Grubunun Yöneticileridir. Birçoğumuz şu anda özel sektörde siber konulara doğrudan dahiliz ve siber güvenliğin hem politika hem de operasyonel boyutunda önemli deneyime sahibiz; çoğumuz ulusumuzun silahlı kuvvetlerinin veya istihbarat topluluğunun en üst seviyelerinde hizmet verdik, diğerleri ise ülkenin en önemli siber güvenlik firmalarında ve teknoloji sağlayıcılarında lider rollere sahip. (Kişisel kapasitemizde yazıyoruz ve aşağıda belirtilen üyelikler yalnızca tanımlama amaçlıdır.)
Bu yorumları sunmaktaki amacımız, Önerilen Kuralın amaçlarını desteklemek, bizim görüşümüze göre ulusal güvenlik endişelerinin kural koyma için geçerli ve önemli bir gerekçe olduğu konusunda Komisyona tavsiyede bulunmak ve Önerilen Kuralın bundan fayda sağlama potansiyeline sahip olduğunun altını çizmektir. sadece yatırımcılar ve tescil ettirenler değil, aynı zamanda ve bize göre daha da önemlisi ulusal güvenliğimiz. Bunu yaparken, Teklif Edilen Kuralın kapsamı, düzenleyici yükü veya diğer teknik yönleri hakkında yorum yapmıyoruz – çünkü diğerleri bu ayrıntıları daha uygun bir şekilde ele alabilir. Bununla birlikte, halka açık şirketler için daha iyi bir siber güvenlik duruşunun ulusal güvenlik sonuçları hakkında yorum yapabilecek durumdayız.
Komisyonun, Önerilen Kurala eşlik eden Arka Plan Açıklamasında belirttiği gibi, “[l]arge ölçekli siber güvenlik saldırılarının, kritik altyapı ve ulusal güvenlik üzerinde ciddi etkiler de dahil olmak üzere bir bütün olarak ekonomi üzerinde sistemik etkileri olabilir.”
Aşağıda imzası bulunanların tümü, siber düşmanlarımızın teknik gelişmişlik düzeyine aşinadır ve bunun artmaya devam edeceğine ve ulusumuza daha büyük riskler getireceğine inanmaktadır. Bu bağlamda, not ediyoruz ki, ABD İstihbarat Topluluğunun Yıllık Tehdit Değerlendirmesi (7 Şubat 2022 tarihli), dört ulus devlet rakibinden (Çin, Rusya, İran ve Kuzey Kore) gelen siber kötü niyetli saldırıları en üst sıradaki tehditler olarak gösterdi. Ne yazık ki, düşman tehdidi arttıkça, ticari, resmi ve kişisel hayatımızın tüm yönlerinde dijital teknolojiye giderek daha fazla güvendiğimiz için kırılganlığımız da artıyor. Nesnelerin internetinin ortaya çıkışı ve 5G telekom teknolojisi, yapay zeka ve potansiyel olarak kuantum hesaplama (sadece birkaç gelişmeyi saymak gerekirse) tarafından üretilen, depolanan ve kullanılan çok büyük miktardaki veri, kötü amaçlı yazılımlar için ek çekici hedefler yaratacaktır. siber aktivite, böylece ulusumuzun altyapısı, işletmeleri ve vatandaşları için riski artırıyor. Bu teknolojinin çoğu kamu şirketlerine aittir ve onlar tarafından işletilmektedir. Bu güvenlik açıkları ulusal güvenliğimizi doğrudan etkileyebilir.
Önemli siber güvenlik olayları hakkında güncel raporların yanı sıra (1) bir tescil ettirenin siber güvenlik risklerini belirlemeye ve yönetmeye yönelik politika ve prosedürlerine, (2) yönetimin siber güvenlik politika ve prosedürlerini uygulamadaki rolüne ve (3) ilgili periyodik açıklamalara ihtiyaç duymanın hedeflerine inanıyoruz. yönetim kurulunun siber güvenlik uzmanlığı ve siber güvenlik riski gözetimi uygundur ve tescil ettirenlerin siber güvenlik duruşunu geliştirmesi muhtemeldir. Kamu şirketleri kritik altyapıya sahiptir, her sanayi, tarım ve hizmet sektöründeki kilit işleri yürütür veya yönetir ve birçok açıdan Amerikan ekonomisinin bel kemiğini oluşturur. Sonuç olarak, halka açık şirketlerdeki gelişmiş siber güvenlik, doğrudan daha siber güvenli ve siber dirençli bir ulusal ekonomiye dönüşür. Maddi siber olaylar hakkında ek raporlama gerektirmenin yatırımcıları, genel olarak halkı ve devlet kurumlarını daha iyi bilgilendireceği ve siber politikalar ve yönetim kurulu deneyimi hakkında artan açıklamanın kamu şirketlerini (ve buna bağlı olarak özel şirketleri, en azından bir dereceye kadar) teşvik edeceği mantıklıdır. ) bu alanlarda piyasa beklentilerini aşmamak kaydıyla karşılamak.
Doğaları gereği, bu faydalar kolayca ölçülemez, ancak kesin ölçüm eksikliği bu durumda açıkça açık ve mantıklı olanı reddetmek için bir neden olamaz. Ulusal refahımız için bu faydaların kritik olduğuna ve Komisyon tarafından politika geliştirme ve kural oluşturma süreçlerinde dikkate alınması gerektiğine ve dikkate alınması gerektiğine inanıyoruz.
İlgili tarafların, Önerilen Kuralın kapsamı ve diğer teknik yönleri hakkında farklı görüşlere sahip olacağını ve yukarıda belirtildiği gibi, burada bu konular hakkında fikir beyan etmediklerini anlıyoruz. Ancak, bildirim ve ifşayı diğer gerekliliklerle (örneğin, 2022 Kritik Altyapı için Siber Olay Raporlama Yasası kapsamında uygulanacak olanlar gibi) standartlaştırma ve uyumlu hale getirme çabalarının, açıkça daha güçlü bir uyum etkisine sahip olacağını belirtmek isteriz. ve ayrıca Önerilen Kuralın amaçları.
Siber Girişimler Grubu bültenine kaydolun. Siberde daha iyi sonuçlar daha iyi düşünmeyi gerektirir. Biz eğitirken ve yeni bir siber gelecek yaratırken, yeni kamu-özel siber ekosisteminden uzmanlara katılın. CIG bültenine bugün kaydolun.
Ulusal Güvenlik Herkesin İşi Olduğundan The Cipher Brief’te uzman odaklı ulusal güvenlik içgörüleri, bakış açısı ve analizlerini okuyun.