美國證券交易委員會(SEC)於今年3月宣佈了一系列旨在保護金融系統免受網路安全事件影響的政策，隨後於7月26日頒佈了規定，要求所有上市公司在確認網路安全事件具有重大影響後的四天內揭露相關資訊。如果美國司法部長認定立即揭露會對國家安全或公共安全構成重大風險，揭露可以最多延遲至60天。這些規定要求企業揭露網路安全事件的性質、範圍、時間以及對公司可能造成的實質性影響。此外，企業還需要描述其評估、識別和處理網路安全威脅的流程，並在年報（annual 10-K filing）中揭露這些資訊，包括在進行中的或持續進行的補救措施。
這些規定最初是在2022年3月所提出的，當時SEC認定企業面臨的網路威脅正在持續升級，隨著企業數位化營運和遠端辦公的增加，網路安全事件對投資人帶來的損失也在增加。
SEC主席Gary Gensler在一份聲明中表示：“不管是企業失火導致工廠損毀，還是網路安全事件導致數百萬筆檔案遺失，這都可能對投資人產生實質性影響。”他指出目前揭露的資訊存在不一致性。穆迪公司(Moody's Investors Service)高級副總裁Lesley Ritter表示，這些規定將進一步增加上市企業資訊揭露的透明度，同時也將促進企業網路安全防護措施的改善。
WTW韋萊韜悅提醒您在企業網路安全風險管理方面應當注意以下幾點：
如果企業有網路安全保險投保需求，保險公司目前都會要求企業滿足特定的網路安全標準，才會提供相關網路安全保險保障。此類網路安全標準可能包括：
- 指定網路安全負責人；
- 設置適當的特權存取控制；
- 員工培訓、演練和訓練；
- 實施技術和物理安全控制；
- 充分的記錄和文件化程序。
提前做好風險管理是應對網路安全衝擊的最佳解方
無論企業是否上市，管理與網路安全相關的漏洞都應成為每個企業運營韌性戰略的一部分。提前做好風險管理是降低處理重大網路安全事件成本的最佳方法之一。WTW韋萊韜悅可以協助您量身定制網路安全風險管理方案，以適應您的風險偏好和業務需求，並為您提供關於如何遵守SEC新規定的建議。此外，我們專職的網路安全風險團隊可以提供定制諮詢服務，以協助您的企業應對最新的SEC規定，增強組織的網路安全風險韌性。
通過專業的風險管理和網路安全保險計畫，企業可以更好地應對網路安全威脅，從而保護企業資產和聲譽，維護客戶和投資者的信任，並確保業務的持續穩健發展。
如有任何問題，請隨時聯繫我們的網路安全風險專家，我們將竭誠為您提供幫助和支援。
聯絡我們
網路風險管理
WTW採取整合式而全面性的網路風險管理方法，協助企業全方位管理員工、資本與技術風險。
