Note "F" écrite au stylo rouge sur du papier de cahier.
GettyLa SEC a récemment publié ses règles finales de divulgation en matière de cybersécurité. Bien qu'il s'agisse d'un pas en avant par rapport à leurs directives de cybersécurité reconnues inefficaces de 2011 et 2018, ce qu'ils ont choisi d'éliminer des règles finales fait échouer les investisseurs de plusieurs manières critiques.
Voici les 5 principales choses qu'ils ont laissées de côté dans les règles finales et comment ces omissions ont fait échouer les investisseurs :
#5 — En autorisant le délit d'initié depuis la découverte de l'incident jusqu'à ce qu'il soit déterminé qu'il est important.
Bien que les délits d'initiés pendant la période allant de la découverte de l'incident à la détermination de l'importance relative aient été explicitement interdits dans les règles proposées, ils n'ont pas été retenus. Cela prend désormais un nouveau sens étant donné le pouvoir discrétionnaire de la direction de déterminer l'importance de l'incident - c'est-à-dire le moment où il doit maintenant être divulgué - laissant la période allant de la découverte à la détermination de l'importance par la direction ouverte aux délits d'initiés. Que le délit d'initié commence.
#4 — En n'exigeant pas des conseils d'administration qu'ils expliquent comment ils intègrent la cybersécurité dans la stratégie d'entreprise, la gestion des risques et la surveillance financière.
La SEC a initialement proposé que les investisseurs trouvent utiles des informations sur la façon dont le conseil comprend la cybersécurité dans le contexte de la stratégie, des risques et de la surveillance financière. Cependant, dans leurs règles finales, ils ont changé d'avis. Un changement de point de vue troublant lorsque près de 3 000 responsables de la gestion des risques dans le baromètr...
[Courte citation de 8% de l'article original]