Simplifique las evaluaciones de riesgos de terceros frente a los requisitos de información de la SEC.
En julio de 2023, la Comisión de Bolsa y Valores de Estados Unidos (SEC) adoptónuevas normas y enmiendaspara mejorar y estandarizar la divulgación de información relativa a la gestión de riesgos de ciberseguridad, la estrategia, la gobernanza y la notificación de incidentes por parte de las empresas que cotizan en bolsa.
La publicación de la SEC señala que los riesgos de ciberseguridad se han intensificado recientemente por diversas razones, entre ellas la creciente dependencia de las empresas de proveedores de servicios externos para los servicios de TI y el aumento del número de incidentes de ciberseguridad en los que están involucrados proveedores de servicios externos.
Las nuevas enmiendas y requisitos de presentación de informes entraron oficialmente en vigor el 18 de diciembre de 2023.
Requisitos pertinentes
-
Divulgar información sobre un incidente de ciberseguridad relevante en un plazo de cuatro días hábiles después de que la empresa determine que el incidente es relevante.
-
Proporcionar información actualizada sobre incidentes de ciberseguridad previamente divulgados cuando estos adquieran relevancia general.
-
Explique el papel de la dirección en la gobernanza de la ciberseguridad.
Cumplimiento de los requisitos de divulgación de información sobre ciberseguridad de la SEC
Las normas y enmiendas de la SEC se introdujeron en respuesta a la falta de coherencia en la notificación de incidentes de ciberseguridad por parte de las empresas públicas, lo que puede minar la confianza de los inversores. La tabla siguiente resume los requisitos clave para la gestión de riesgos de terceros y la divulgación de incidentes con el fin de restablecer esa confianza.
NOTA: Esta información se presenta únicamente a modo de orientación resumida. Las organizaciones deben revisar losrequisitoscompletosde la SECen su totalidad, consultando con sus auditores.
| Enmiendas | Cómo ayudamos |
|---|---|
| Notificación de incidentes de ciberseguridad en el formulario 8-K Punto 1.05 |
|
| «Describa los aspectos materiales de la naturaleza, el alcance y el momento del incidente, así como el impacto material o el impacto material razonablemente probable sobre el registrante, incluyendo su situación financiera y los resultados de sus operaciones». | Prevalent enables your team to rapidly identify, respond to, report on, and mitigate the impact of third-party vendor security incidents como parte de su estrategia de gestión de incidentes.
Además de nuestras soluciones de plataforma SaaS, Prevalent ofrece un servicio gestionado en el que nuestros expertos gestionan de forma centralizada a sus proveedores, realizan evaluaciones proactivas de riesgos de eventos, puntúan los riesgos identificados, los correlacionan con la supervisión cibernética continua y emiten directrices de corrección, todo ello en su nombre. Las capacidades clave incluyen:
Prevalent también proporciona acceso a una base de datos que contiene más de 10 años de historial de violaciones de datos de miles de empresas de todo el mundo, incluyendo los tipos y cantidades de datos robados, cuestiones de cumplimiento y normativas, y notificaciones en tiempo real de violaciones de datos de proveedores. Con esta información, su equipo podrá comprender mejor el alcance y el impacto del incidente, qué datos se vieron afectados, si las operaciones de terceros se vieron afectadas y cuándo se completaron las medidas correctivas, todo ello gracias a la ayuda de los expertos de Prevalent. |
| Divulgación sobre incidentes de ciberseguridad en informes periódicos: actualizaciones de la divulgación del formulario 8-K presentado anteriormente. | |
| «Divulgar la información que se habría comunicado inicialmente en el formulario 8-K si se hubiera conocido o estuviera disponible en el momento de la divulgación inicial». | Prevalent realiza un seguimiento y un análisis continuos de amenazas externas a tercerosLa solución supervisa Internet y la web oscura en busca de amenazas cibernéticas y vulnerabilidades, así como fuentes públicas y privadas de información sobre reputación, sanciones y finanzas.
Todos los datos de supervisión se correlacionan con los resultados de la evaluación y se centralizan en un registro de riesgos unificado para cada proveedor, lo que agiliza las iniciativas de revisión, notificación, corrección y respuesta ante riesgos. Las fuentes de supervisión incluyen:
|
| Divulgación de la gestión y la estrategia de riesgos de ciberseguridad de un registrante
Punto 106(b) del Reglamento S-K |
|
| «Si los procesos de ciberseguridad descritos en el punto 106(b) se han integrado en el sistema o los procesos generales de gestión de riesgos del registrante y, en caso afirmativo, de qué manera». | Prevalent se asocia con usted para crear un programa integral de gestión de riesgos de terceros (TPRM) en consonancia con sus programas más amplios de seguridad de la información y gobernanza, riesgo y cumplimiento, basándose en las mejores prácticas probadas y en una amplia experiencia en el mundo real.
Nuestrosexpertoscolaboran con su equipo en la definición e implementación de procesos y soluciones de TPRM; la selección de cuestionarios y marcos de evaluación de riesgos; y la optimización de su programa para abordar todo el ciclo de vida del riesgo de terceros, desde la contratación y la diligencia debida hasta la rescisión y la salida, de acuerdo con la propensión al riesgo de su organización. Como parte de este proceso, Prevalent puede ayudarle a definir:
|
| «Si el solicitante del registro contrata a evaluadores, consultores, auditores u otros terceros en relación con cualquiera de dichos procesos». | Prevalent cuenta con una biblioteca de más de 750 plantillas prediseñadas para evaluaciones de riesgos de terceros. Las evaluaciones pueden realizarse en el momento de la incorporación, la renovación del contrato o con la frecuencia que sea necesaria (por ejemplo, trimestral o anualmente), dependiendo de los cambios sustanciales que se produzcan.
Las evaluaciones se gestionan de forma centralizada en la plataforma Prevalent y están respaldadas por funciones de flujo de trabajo, gestión de tareas y revisión automatizada de pruebas para garantizar que su equipo tenga visibilidad de los riesgos de terceros a lo largo de todo el ciclo de vida de la relación. Es importante destacar que Prevalent ofrece recomendaciones de corrección integradas basadas en los resultados de la evaluación de riesgos para garantizar que sus terceros aborden los riesgos de manera oportuna y satisfactoria y puedan proporcionar pruebas adecuadas a los auditores. La solución automatiza la auditoría de cumplimiento de la gestión de riesgos de terceros mediante la recopilación de información sobre los riesgos de los proveedores, la cuantificación de los riesgos, la recomendación de medidas correctivas y la generación de informes para docenas de normativas gubernamentales y marcos industriales. Prevalent asigna automáticamente la información recopilada a partir de evaluaciones basadas en controles a ISO 27001, NIST, GDPR, CoBiT 5, SSAE 18, SIG, SIG Lite, SOX, NYDFS y otros marcos normativos, lo que le permite visualizar y abordar rápidamente los requisitos de cumplimiento importantes y ajustar su programa en consecuencia, incluyendo si aceptar o no los riesgos residuales. Para las organizaciones con recursos y experiencia limitados, Prevalent puedegestionar el ciclo de vida del riesgo de terceros en su nombre, desde la incorporación de proveedores y la recopilación de pruebas hasta la orientación sobre medidas correctivas y la presentación de informes sobre los acuerdos de nivel de servicio (SLA) de los contratos. Como resultado, se reduce el riesgo de los proveedores y se simplifica el cumplimiento normativo sin sobrecargar al personal interno. |
| «Si el solicitante del registro cuenta con procesos para supervisar e identificar los riesgos significativos derivados de las amenazas a la ciberseguridad asociadas al uso de cualquier proveedor de servicios externo». | Prevalent enables you to assess and monitor your third parties based on extent of the threats to your information assets by capturing, tracking and quantifying riesgos inherentes for all third parties. Criteria used to calculate inherent risk for third-party classification includes:
A partir de esta evaluación de riesgos inherentes, su equipo puede clasificar automáticamente a los proveedores, establecer los niveles adecuados de diligencia adicional y determinar el alcance de las evaluaciones continuas. La lógica de clasificación por niveles basada en reglas permite categorizar a los proveedores utilizando una serie de consideraciones relacionadas con la interacción de datos, las finanzas, la normativa y la reputación. |
| Divulgación de la función de la dirección y del consejo de administración de una entidad registrada en la gobernanza de la ciberseguridad
Apartados 106(c)(1) y 106(c)(2) del Reglamento S-K. |
|
| «Los procesos mediante los cuales se informa al consejo de administración sobre los riesgos de ciberseguridad y la frecuencia con la que se debate este tema; y...
«Los procesos mediante los cuales dichas personas o comités son informados y supervisan la prevención, detección, mitigación y reparación de incidentes de ciberseguridad... «Si dichas personas o comités informan sobre dichos riesgos al consejo de administración o a un comité o subcomité del consejo de administración». |
Prevalent provides a framework for centrally measuring third-party KRIs contra sus requisitos y reduciendo las deficiencias en la supervisión de proveedores con información integrada de aprendizaje automático (ML) e informes personalizables basados en funciones.
Estas capacidades pueden ayudar a su equipo a descubrir tendencias de riesgo, determinar el estado de riesgo de terceros e identificar excepciones al comportamiento habitual que podrían justificar una investigación más profunda. Prevalent también mejora la eficiencia al hacer llegar los datos adecuados a las personas adecuadas en el momento adecuado. Esto facilita a los destinatarios de los informes determinar rápidamente la aceptabilidad del riesgo y tomar decisiones con confianza, independientemente de su nivel de competencia. |
