Em 2024, as empresas adotarão estratégias mais proativas de gestão de riscos, não apenas para tentar impedir ameaças maliciosas e violações de dados, mas também para cumprir com sucesso o número crescente de regulamentações de segurança cibernética.
À medida que o panorama de ameaças se expande significativamente, especialmente nesta era da IA, aumentam as exigências para que as empresas sejam transparentes em relação a incidentes de segurança e divulguem ataques e violações. Essas duas realidades levarão as empresas a aprimorar suas estratégias de segurança cibernética para se tornarem resilientes a ameaças cibernéticas.
Por que a resiliência cibernética agora?
A resiliência cibernética está ganhando destaque para muitas organizações em todo o mundo, à medida que órgãos reguladores e legisladores buscam reforçar a transparência no que diz respeito a incidentes de segurança cibernética e à preparação para enfrentá-los.
“Eles querem que os executivos das empresas expliquem se e como a segurança cibernética faz parte da estratégia de negócios, dos processos de governança, do planejamento financeiro e da alocação de capital da empresa”, afirmou Melissa Hathaway, presidente da Hathaway Global Strategies e presidente do Conselho de Resiliência Cibernética da Commvault, em nosso relatório “7 Tendências Emergentes em Resiliência Cibernética”.
A norma de segurança cibernética da SEC, o Programa de Avaliadores Registrados em Segurança da Informação (IRAP) na Austrália, a DORA na União Europeia e até mesmo normas estaduais, como os Códigos, Regras e Regulamentos de Nova York (23 NYCRR Parte 500), estão exigindo que as empresas adotem a transparência.
Aqui, analisamos os requisitos regulatórios existentes e emergentes que os líderes em segurança cibernética devem dominar para garantir que as empresas às quais prestam apoio alcancem tanto a conformidade quanto a resiliência cibernética.
SEC
A recente norma da SEC exige que as empresas registradas divulguem incidentes significativos de segurança cibernética. Os efeitos dessa norma criam a necessidade de que os líderes de segurança e os executivos de alto escalão atuem em sintonia no que diz respeito a incidentes de segurança cibernética e à divulgação desses incidentes. Além disso, a norma da SEC exige que as empresas expliquem, em seus relatórios anuais, como a segurança cibernética e sua supervisão se encaixam em seu programa geral de gestão de riscos.
“Seja uma empresa que perde uma fábrica em um incêndio — ou milhões de arquivos em um incidente de segurança cibernética —, isso pode ser relevante para os investidores”, afirmou o presidente da SEC, Gary Gensler, em comunicado.
Com quase um quarto do ano de 2024 já decorrido, houve um número reduzido de registros 8-K junto à SEC relacionados a incidentes cibernéticos, e as empresas cujo exercício fiscal terminou em 31 de dezembro estão começando a divulgar relatórios 10-K com texto atualizado sobre resiliência cibernética.
Regulamento 23 NYCRR, Parte 500
O Departamento de Serviços Financeiros de Nova York (NYDFS) elaborou a Segunda Emenda ao Capítulo 23 dos Códigos, Regras e Regulamentos de Nova York (23 NYCRR, Parte 500) para fortalecer e proteger os sistemas de informação e financeiros contra a crescente prevalência e sofisticação dos ataques cibernéticos. A lei exige que as instituições financeiras abrangidas pelo NYDFS implementem e mantenham um programa de segurança cibernética que inclua procedimentos destinados a proteger os dados confidenciais dos clientes contra ameaças à segurança e a gerenciar os riscos cibernéticos.
Entre os requisitos de conformidade com o 23 NYCRR 500, há várias metas que as empresas abrangidas pelo NYCRR 500 devem se empenhar em cumprir. Para começar, a norma exige que as entidades estabeleçam e mantenham um programa de segurança cibernética destinado a salvaguardar a confidencialidade, a integridade e a disponibilidade de seus sistemas de tecnologia da informação. O programa deve gerenciar riscos em diversas áreas operacionais, incluindo segurança da informação, governança de dados, inventário de ativos, operações de sistemas, segurança de sistemas e redes, privacidade dos dados dos clientes e muito mais.
A lei exige que as empresas realizem testes de penetração e avaliações de vulnerabilidade. E a lista de obrigações para as entidades abrangidas não para por aí.
DORA
Os líderes de segurança cibernética e do mundo dos negócios também estão acompanhando de perto a aproximação dos prazos da Lei de Resiliência Operacional Digital (DORA).
A DORA entrou em vigor em 16 de janeiro de 2023, com um período de implementação de dois anos. Espera-se que as entidades financeiras abrangidas estejam em conformidade com a regulamentação até 17 de janeiro de 2025. Embora a lei se concentre em organizações na União Europeia (UE), as entidades fora da UE nos setores financeiro e de Tecnologias da Informação e Comunicação (TIC) também devem se esforçar para se alinhar à DORA caso prestem serviços essenciais de TIC a entidades financeiras sediadas na UE.
A DORA estabelece um marco regulatório para a resiliência operacional digital, segundo o qual todas as entidades abrangidas devem se empenhar em resistir, responder e se recuperar de interrupções e ameaças relacionadas às TIC. A lei tem como objetivo prevenir e mitigar ameaças cibernéticas. A DORA incorpora cinco pilares fundamentais, que são os seguintes:
- Gestão de riscos de TIC
- Notificação de incidentes relacionados às TIC
- Teste de resiliência operacional digital
- Risco de terceiros em TIC
- Compartilhamento de informações
A DORA visa melhorar a resiliência da infraestrutura digital crítica contra ameaças e ataques à segurança cibernética. Ao se alinharem aos princípios da DORA, as organizações ficam mais próximas de melhorar seu perfil de resiliência cibernética.
Torne-se resiliente a ameaças cibernéticas
Se o cenário de ameaças em constante expansão não for suficiente para deixar clara a necessidade de se tornar resiliente a ataques cibernéticos, a enxurrada de novas regulamentações vem reforçar ainda mais essa ideia. As empresas devem entender o que se espera delas em termos de prestação de contas.
Para muitas empresas, o cumprimento de inúmeras regulamentações exigirá que o conhecimento em segurança cibernética vá além do CISO, abrangendo toda a organização. Isso significa que os líderes de segurança devem trabalhar em conjunto com os executivos de alto escalão e o conselho administrativo para promover a transparência e a resiliência cibernética.
Para obter mais informações sobre como o Commvault Cloud pode ajudar sua organização em sua jornada rumo à resiliência cibernética, acesse: https://www.commvault.com/platform.
