کمیسیون بورس و اوراق بهادار (SEC) اصلاحاتی را در مقررات S-P به تصویب رسانده است که بر اساس آن مؤسسات مالی خاصی را ملزم می کند که حوادث نقض داده ها را برای افراد تحت تأثیر، ظرف ۳۰ روز پس از کشف اعلام کنند.
مقررات S-P در سال ۲۰۰۰ معرفی شد و نحوه برخورد برخی از نهادهای مالی با اطلاعات شخصی غیرعمومی متعلق به مصرف کنندگان را کنترل می کند. این قوانین شامل توسعه و اجرای سیاست های حفاظت از داده ها، رازداری و تضمین های امنیتی، و محافظت در برابر تهدیدات پیش بینی شده است.
اصلاحات جدید اتخاذ شده در اوایل این هفته بر شرکت‌های مالی مانند معامله‌گران کارگزار (شامل پورتال‌های تامین مالی)، شرکت‌های سرمایه‌گذاری، مشاوران سرمایه‌گذاری ثبت‌شده و نمایندگان انتقال تاثیر می‌گذارد.
این تغییرات ابتدا در مارس سال گذشته برای نوسازی و بهبود حفاظت از اطلاعات مالی فردی در برابر نقض داده ها و قرار گرفتن در معرض اشخاص غیر وابسته پیشنهاد شد.
در زیر خلاصه ای از تغییرات معرفی شده آمده است:
در صورتی که اطلاعات حساس آنها بدون مجوز مورد دسترسی یا استفاده قرار گیرد، در صورتی که جزئیات حادثه، داده های نقض شده و اقدامات حفاظتی اتخاذ شده باشد، ظرف ۳۰ روز به افراد آسیب دیده اطلاع دهید. این معافیت در صورتی اعمال می شود که انتظار نمی رود این اطلاعات باعث آسیب یا ناراحتی قابل توجهی برای افراد در معرض خطر شود.
خط مشی‌ها و رویه‌های مکتوب را برای یک برنامه واکنش به حادثه برای شناسایی، پاسخگویی و بازیابی از دسترسی یا استفاده غیرمجاز از اطلاعات مشتری، توسعه، اجرا و حفظ کنید. این باید شامل رویه هایی برای ارزیابی و مهار حوادث امنیتی، اجرای سیاست ها و نظارت بر ارائه دهندگان خدمات باشد.
قوانین حفاظت و دفع را گسترش دهید تا همه اطلاعات شخصی غیرعمومی، از جمله اطلاعات دریافتی از سایر مؤسسات مالی را پوشش دهد.
نیاز به مستندات مربوط به انطباق با قوانین حفاظتی و دفع، به استثنای پورتال های تامین مالی می باشد. تحویل سالانه اخطار حریم خصوصی را با قانون FAST مطابقت دهید و شرایط خاصی را مستثنی کنید. ضمانت ها و قوانین دفع را برای انتقال عوامل ثبت شده در SEC یا سایر آژانس های نظارتی گسترش دهید.
این تغییرات به‌روزرسانی مهمی برای قانونی است که ابتدا در سال ۲۰۰۰ تصویب شد و دیگر نمی‌توانست به اندازه کافی از حریم خصوصی داده‌های مالی مشتریان در چشم‌انداز امنیت سایبری امروزی محافظت کند.
گری گنسلر، رئیس SEC، گفت: «در ۲۴ سال گذشته، ماهیت، مقیاس و تأثیر نقض داده ها به طور قابل توجهی تغییر کرده است.
“این اصلاحات در مقررات S-P به‌روزرسانی‌های مهمی را در قاعده‌ای ایجاد می‌کند که اولین بار در سال ۲۰۰۰ تصویب شد و به محافظت از حریم خصوصی داده‌های مالی مشتریان کمک می‌کند.”
ایده اصلی برای شرکت‌های تحت پوشش این است که اگر تخلفی دارید، باید اطلاع دهید. این برای سرمایه‌گذاران خوب است.
این اصلاحات ۶۰ روز پس از انتشار در فدرال رجیستر، مجله رسمی دولت فدرال ایالات متحده، از جمله قوانین آژانس، قوانین پیشنهادی، و اطلاعیه های عمومی اعمال می شود.
سازمان‌های بزرگ‌تر دارای تاریخ انطباق ۱۸ ماه پس از انتشار تغییرات در ثبت فدرال هستند. برای واحدهای کوچکتر، این دوره به دو سال افزایش می یابد.
در ماه دسامبر، SEC همچنین قوانین جدیدی را معرفی کرد که از همه شرکت‌های دولتی می‌خواهد در صورتی که بر استراتژی کسب‌وکار، نتایج عملیات یا وضعیت مالی تأثیر اساسی گذاشته یا احتمالاً به طور معقولی بر آن تأثیر می‌گذارد، متحمل نقض شده‌اند، افشا کنند.
