A SEC (Securities and Exchange Commission) apresentou recentemente propostas para aprimorar a preparação e resiliência cibernética de todas as entidades registradas nela, que acho que pode ser uma boa referência para as instituições interessadas no tema, e por que não nossos reguladores.
As propostas abrangem as áreas de enfoque:
1) Políticas e procedimentos escritos
2) Avaliações de risco cibernético
3) Notificação e divulgação de incidentes
4) Ampliação da cobertura entre os participantes do mercado.
As propostas exigem que as entidades de mercado:
1) Adotem políticas e procedimentos escritos, revisando e avaliando anualmente a eficácia desses documentos.
2) Reportem incidentes cibernéticos significativos imediatamente à SEC.
As entidades de mercado são divididas em "Entidades Cobertas" e "Entidades Não Cobertas". As Entidades Cobertas incluem a MSRB, todas as agências de compensação, associações e bolsas de valores nacionais, repositórios de dados de swaps, entidades de swaps e agentes de transferência. Elas também incluem corretoras que se enquadram em seis categorias específicas.
As Entidades Cobertas estão sujeitas a requisitos adicionais, como:
1) Adoção de políticas e procedimentos específicos.
2) Avaliações periódicas de riscos cibernéticos.
3) Controles de segurança e acesso do usuário.
4) Proteção de informações.
5) Gerenciamento de ameaças e vulnerabilidades.
6) Resposta e recuperação de incidentes cibernéticos.
Além disso, as Entidades Cobertas devem reportar incidentes cibernéticos significativos à SEC por meio do novo Formulário SCIR, em duas partes, sendo a primeira parte confidencial e a segunda parte divulgada publicamente.
As propostas também incluem a retenção de registros relacionados à gestão de riscos cibernéticos. A preservação e manutenção desses registros seriam aplicadas por meio de emendas às regras já existentes.
Concomitantemente, a SEC reabriu o período de comentários sobre as regras e emendas propostas anteriormente para gestão de riscos cibernéticos e divulgação de assessores de investimento registrados e fundos. Isso permitirá às partes interessadas tempo adicional para analisar as questões e preparar comentários, considerando outros desenvolvimentos regulatórios.
Nenhuma grande novidade, mas vale a pena ver o detalhamento disto no documento completo em:
