SEC의 4일간 보고 규정이 중요성 정의에 새로운 중요성 부여

The SEC´s Four-Day Reporting Rule Presents a Critical New Need to Define Materiality

발행일: 2023년 09월 | 리서치사:

IDC | 페이지 정보: 영문 11 Pages | 배송안내 : 즉시배송

※ 본 상품은 영문 자료로 한글과 영문 목차에 불일치하는 내용이 있을 경우 영문을 우선합니다. 정확한 검토를 위해 영문 목차를 참고해주시기 바랍니다.

이번 IDC 전망에서는 중요도를 정의하는 중요한 새로운 필요성을 제시하는 SEC의 4일 보고 규칙에 대해 설명합니다. 월가의 최고 규제 기관인 미국 증권거래위원회(SEC)는 기업이 중대한 사이버 침해가 발생했다고 판단한 후 4일 이내에 이를 공개하도록 하는 새로운 사이버 보안 규정을 채택했습니다. 지금까지 정보 유출에 대한 통보는 주로 "불합리한 지연 없이" 통지하도록 요구하는 규정과 업계 규칙에 의해 진행되어 왔으며, SEC의 새로운 규칙은 공개 기업에 대한 기준을 높이고, 사건 발생 사실을 알 수 있도록 요구할 뿐만 아니라 회사의 재무 상태, 운영, 고객 관계, 평판에 중대한 영향을 미치는 관계, 평판에 중대한 영향을 미칠 수 있는 경우, 이사회가 사실에 근거해 신속하게 파악할 것을 요구하고 있습니다. IDC의 IT 임원 프로그램(IEP)의 비상근 리서치 어드바이저인 알리사베스 칼더(Alisabeth Calder)는 "사고의 중요도에 따른 평가와 보고는 상장 기업의 CIO와 CISO에게 새로운 중요한 분석 수준을 추가하는 것입니다. 96시간 규정이 실제로 중요하고 보고 대상인지에 대한 신중한 판단을 훼손하는 비상사태에 휘말리지 않도록 사건 발생 전에 최선의 해석과 가드레일로 무장해야 합니다. 더 많은 참고자료가 나오기를 기대하며, 세부적인 내용이 밝혀질수록 우리의 생각과 지침을 더욱 명확히 할 것입니다."고 말했습니다

주요 요약

상황 개요

테크놀러지 구입자에 대한 어드바이스

무엇을 보고할 필요가 있을까를 명확하게 하는 : 리스크 선호
승인된 리스크 허용도에 기반해 평가, 감시, 보고하기 위한 데이터가 있는 것을 확인한다
- 인시던트의 영향을 정의 및 측정하는 방법
- 인시던트를 보고하는 방법
사전에 계획을 세워 침해 통지와 컴플라이언스의 영향을 경감한다

참고 자료

관련 조사
요약

ksm 23.10.30

This IDC Perspective discusses SEC's four-day reporting rule that presents a critical new need to define materiality. Wall Street's top regulator, the U.S. Securities and Exchange Commission, has adopted new cybersecurity rules that require companies to disclose a material cyberbreach within four days of determining that the breach is material. Until now, breach notification has been driven primarily by regulations or industry rules requiring notification "without unreasonable delay," which affords a fair amount of bandwidth within which to understand and assess a situation and then determine the most appropriate path forward. The new SEC rules raise the bar for publicly traded companies, not only demanding that they know that an incident has occurred but also requiring their boards to quickly get fact based regarding where there is significant potential impact on the company's financial position, operations, customer relationships, or reputation. "Assessing and reporting based on materiality of an incident adds a new and critical level of analysis for CIOs and CISOs in publicly traded companies," says Alizabeth Calder, adjunct research advisor for IDC's IT Executive Programs (IEP). "We need to arm ourselves with the best possible interpretation and guardrails in advance of an incident, so we don't get caught in situational urgency where the 96-hour rule undermines prudent decisions about whether the incident is actually material and thus reportable. We look forward to learning more as the SEC rules are absorbed and will sharpen our thoughts and guidance as more details emerge."

Executive Snapshot

Situation Overview

Advice for the Technology Buyer

Have Clarity on What Needs to Be Reported: The Risk Appetite
Ensure That You Have the Data to Assess, Monitor, and Report in the Context of the Approved Risk Tolerance
- How to Define and Measure the Incident Impact
- How to Report an Incident
Reduce the Impact of Breach Notification and Compliance by Planning Ahead