Règles de divulgation de la SEC en matière de cybersécurité : 9 questions clés à poser aux tiers

En 2023, la Securities and Exchange Commission (SEC) des États-Unis a adopté denouvelles règles et modificationsvisant à améliorer et à normaliser les informations relatives à la gestion des risques de cybersécurité, à la stratégie, à la gouvernance et au signalement des incidents par les entreprises publiques. La publication de la SEC note que les risques de cybersécurité ont récemment augmenté pour diverses raisons, notamment la dépendance croissante des entreprises à l'égard de fournisseurs de services tiers pour les services informatiques et le nombre croissant d'incidents imputables à des fournisseurs de services.

Ces nouvelles règles sont entrées en vigueur en décembre 2023, et nous commençons à voir les effets de leur non-respect. La SEC a annoncé des mesures d'exécution à l'encontre de quatre sociétés de logiciels pour avoir fait des déclarations trompeuses sur les risques et les incidents de cybersécurité liés à la brèche de 2020 dans le système SolarWinds. En minimisant l'impact de cette brèche sur leurs systèmes, les régulateurs ont estimé que ces entreprises avaient enfreint les lois fédérales sur les valeurs mobilières, et l'une d'entre elles a également été accusée d'avoir mis en place des contrôles inadéquats en matière de divulgation.

Implications des règles de divulgation de la SEC en matière de cybersécurité sur la gestion des risques par des tiers

Ces récentes accusations renforcent l'importance cruciale d'une gestion solide des risques de cybersécurité dans le cadre des programmes de gestion des risques par des tiers (TPRM). Voici quelques-unes des principales implications à souligner :

• Améliorer les informations sur la cybersécurité: Les organisations doivent fournir des informations transparentes et précises sur leur position en matière de cybersécurité, en particulier en ce qui concerne les risques associés aux fournisseurs tiers. Des informations trompeuses peuvent entraîner des sanctions réglementaires importantes.
• Renforcer les processus de diligence raisonnable: Les entreprises devraient améliorer leurs procédures de diligence raisonnable lors de l'intégration de fournisseurs tiers. Il s'agit notamment d'évaluer les pratiques des fournisseurs en matière de cybersécurité et de s'assurer qu'ils disposent de mesures solides pour atténuer les risques. Il est essentiel de procéder à des évaluations et à des audits réguliers de la conformité des fournisseurs.
• Mettre en œuvre des contrôles et des procédures plus solides: Les organisations doivent mettre en place et maintenir des contrôles internes efficaces pour signaler les incidents de cybersécurité. Veillez à signaler rapidement et précisément toutes les violations impliquant des fournisseurs tiers et à établir des protocoles de communication clairs.
• Procéder à une évaluation complète des risques liés aux fournisseurs: Les entreprises doivent évaluer les risques associés à chaque fournisseur en fonction de ses capacités en matière de cybersécurité. En classant les fournisseurs par niveau de risque, les entreprises peuvent adapter leurs stratégies de gestion des risques et imposer des exigences plus strictes en matière de cybersécurité aux fournisseurs présentant un risque plus élevé.
• Assurer une formation et une sensibilisation continues: Les organisations doivent proposer à leurs employés des programmes réguliers de formation et de sensibilisation à l'importance d'une information exacte sur la cybersécurité et aux conséquences d'une information trompeuse. Le personnel doit comprendre les obligations légales liées aux risques de cybersécurité et l'importance de la transparence.
• Élaborer de solides plans de réponse aux incidents: Les entreprises doivent élaborer des plans de réponse aux incidents efficaces qui incluent les fournisseurs tiers. Veillez à ce que ces plans traitent des violations potentielles par le biais de canaux tiers, en décrivant les stratégies de communication et les protocoles d'escalade.
• Rester en conformité avec les exigences réglementaires: Les organisations doivent rester vigilantes face à l'évolution des attentes réglementaires en matière de cybersécurité. Les mesures prises par la SEC indiquent une tendance à l'intensification de la surveillance réglementaire, ce qui rend crucial le respect des lois et des lignes directrices applicables.

Les organisations devraient réévaluer et renforcer leurs programmes de gestion des risques liés aux tiers, afin de s'assurer qu'elles peuvent gérer et divulguer efficacement les risques liés à la cybersécurité. Ce faisant, elles peuvent mieux protéger leur réputation, maintenir la confiance des investisseurs et atténuer les répercussions juridiques et financières potentielles.