Dic 30, 2024 Approfondimenti, Attacchi, In evidenza

---

Nonostante gli sforzi per redigere e consegnare i report sugli incidenti di sicurezza, le aziende non sono in grado di compilarli correttamente. Secondo l’analisi di Paul Hastings LLP, dopo le normative di cybersecurity introdotte dalla SEC (Securities and Exchange Commission) entrate in vigore a dicembre 2023, il numero di report sugli incidenti è aumentato del 60%, ma meno del 10% di essi conteneva la descrizione dell’effettivo impatto dell’attacco.

Le regole imposte dalla SEC prevedono delle sanzioni in caso di ritardo delle comunicazioni e per questo le imprese hanno cercato di compilare i documenti il più velocemente possibile.

Secondo il report infatti il 32% delle aziende ha presentato la comunicazione sull’attacco entro quatto giorni dalla scoperta dell’incidente. La Commissione ha specificato però che il limite dei quattro giorni si intende non dalla scoperta dall’attacco, ma da quando si è riusciti a verificare l’effettivo impatto dell’incidente.

Temendo di essere multate per il ritardo nelle comunicazioni, le imprese hanno agito troppo rapidamente, omettendo o inserendo solo parzialmente informazioni fondamentali quali la natura, lo scope e le tempistiche dell’incidente, oltre che le conseguenze finanziarie e operative sul business. Dall’analisi è emerso anche che il 42% delle aziende ha presentato più report di sicurezza per lo stesso incidente, arricchendoli ogni volta di maggiori dettagli per completarli.

“La SEC richiede che le società effettuino una determinazione della rilevanza “senza ritardi irragionevoli”, ma osserva anche che “una determinazione della rilevanza richiede un processo informato e deliberativo”” si legge nell’analisi. “Le società dovrebbero continuare a valutare i controlli di divulgazione e a impegnarsi in esercitazioni a tavolino per esercitarsi nel processo decisionale necessario a prendere tali decisioni sulla rilevanza in caso di incidente“.

---

• analisi incidenti sicurezza, divulgazione incidente sicurezza, impatto attacchi, normative cybersecurity, report sicurezza, SEC

---

---