Comunicação de ataques cibernéticos: proposta da SEC é duramente criticada e pode causar inconsistências entre regulações setoriais
Diante do aumento de ataques cibernéticos e seus impactos, como vazamentos de dados pessoais ou a disfunção de serviços relevantes à sociedade, cresce o interesse de autoridades públicas para que agentes do setor privado lhes comuniquem tais ocorrências. No entanto, diferentes órgãos com jurisdições concomitantes podem ter práticas diferentes, como é o caso da SEC e da Agência de Cibersegurança e Segurança de Infraestruturas (CISA) nos EUA.
Em março deste ano, a SEC propôs novas regras sobre o gerenciamento de risco e a comunicação de incidentes cibernéticos por companhias abertas. Nas regras propostas pela SEC, companhias abertas deveriam divulgar informações de forma pública sobre incidentes cibernéticos dentro de um prazo de 4 dias úteis. Esse pequeno espaço de tempo e a exigência de divulgar as informações publicamente causaram divergências.
Em carta submetida à SEC, críticas foram feitas pelo Information Technology Industry Council (ITIC), associação que representa empresas do setor de tecnologia e cujos membros incluem, dentre outros, Cisco, Amazon, Intel e Visa. Segundo o ITIC, a divulgação pública de informações sobre incidentes de segurança pode aumentar os riscos cibernéticos porque agentes maliciosos podem utilizá-las para atingirem as empresas. Além disso, o ITIC aponta que um prazo curto, de 4 dias úteis, seria ineficaz para fins de informação e transparência porque companhias ainda não teriam informações completas e precisas sobre o incidente.
Por fim, o ITIC destacou a inconsistência regulatória que poderia ser criada pela proposta da SEC em relação às regras da CISA sob a Lei de Comunicação de Incidentes Cibernéticos para Infraestruturas Críticas, promulgada em março deste ano. Nesta seara, companhias que operam em setores críticos teriam 72 horas para comunicar o acontecimento de um incidente à CISA, porém de forma confidencial. Esses setores críticos envolvem, dentre outros, energia, comunicações, finanças e saúde. Consequentemente, pediu-se por uma maior colaboração entre as agências a fim de garantir um framework regulatório harmônico.
Para ler o comunicado da SEC sobre a proposta, clique aqui.
Para ler a carta do Information Technology Industry Council, clique aqui.
Este conteúdo faz parte do Informativo de Proteção de Dados. Clique aqui para ler mais notícias.
