Les entreprises publiques doivent désormais signaler les violations de données dans les 4 jours

Finies les révélations discrètes et tardives.

Les entreprises américaines ne peuvent plus publier d’informations silencieuses et tardives sur les violations de données.

La Securities and Exchange Commission a publié hier de nouvelles règles obligeant les entreprises américaines à signaler les violations de données et autres incidents de cybersécurité dans les quatre jours.

« Qu’une entreprise perde une usine dans un incendie – ou des millions de fichiers dans un incident de cybersécurité – cela peut être important pour les investisseurs », a déclaré le président de la SEC, Gary Gensler, dans un communiqué de presse. « Actuellement, de nombreuses entreprises publiques fournissent des informations sur la cybersécurité aux investisseurs. Je pense cependant que les entreprises et les investisseurs bénéficieraient si cette divulgation était faite de manière plus cohérente, comparable et utile pour la prise de décision. En aidant à garantir que les entreprises divulguent la cybersécurité matérielle informations, les règles d’aujourd’hui profiteront aux investisseurs, aux entreprises et aux marchés qui les relient. »

La décision de la SEC poursuit en disant que la règle des quatre jours peut être retardée si le procureur général des États-Unis décide que le partage de l’incident de cybersécurité « constituerait un risque substantiel pour la sécurité nationale ou la sécurité publique ».

Cette décision, qui a été adoptée par un vote de 3 contre 2 selon les lignes du parti selon l’Associated Press, n’est pas une surprise totale. Comme l’a rapporté 9to5Mac, en Europe, les entreprises doivent divulguer les violations de données dans les trois jours. Et les vrais chefs de la SEC se souviendront que les nouvelles règles ont été initialement proposées il y a un an, en mars 2022, lorsque la SEC a remarqué une augmentation du risque de cybersécurité alors que de nombreuses entreprises américaines ont commencé à autoriser les employés à travailler à domicile. Actuellement, les entreprises américaines omettent souvent de dire aux clients que leur entreprise a été piratée jusqu’à des mois après le piratage – il suffit de regarder la façon dont T-Mobile et Twitter ont géré leurs récentes violations de données.