La Securities and Exchange Commission sta per intervenire nel settore dei servizi finanziari.
Dopo aver adottato misure restrittive nei confronti delle società quotate in borsa con le nuove (e oggetto di accesi dibattiti) norme sulla divulgazione delle violazioni dei dati lo scorso anno, e aver messo in allarme i responsabili della sicurezza informatica (CISO) con una causa legale storica, la SEC sta preparando una serie di normative in materia di sicurezza informatica per il settore dei servizi finanziari.
La serie vertiginosa di proposte, in fase di elaborazione da quasi due anni, ha suscitato grande irritazione tra i broker, i consulenti finanziari e altri operatori del settore. (Uno degli stessi commissari della SEC ha definito una norma come un “bastone”.)
Abbiamo seguito l’evoluzione di queste proposte su Focal Point mese dopo mese, e ogni volta che la SEC sembra vicina a una decisione, essa presenta una nuova serie di proposte, alcune delle quali riprendono (o si sovrappongono completamente) a quelle precedenti, lasciando tutti disorientati e con domande (almeno alcune) senza risposta.
«Smettete di portare avanti idee mal concepite che non fanno altro che rafforzare il potere di una classe professionale di avvocati le cui tariffe orarie sembrano aumentare ogni volta che viene adottata una nuova norma.»Christopher A. Iacovella, CEO, American Securities Association
Ciò che è chiaro è che la SEC non sta agendo con cautela. Le nuove norme in materia di violazioni dei dati , adottate lo scorso luglio, impongono alle società quotate in borsa di rendere noti eventuali incidenti di sicurezza informatica significativi o “rilevanti” entro quattro giorni: una misura controversa che ha suscitato grande scalpore nelle sale dei consigli di amministrazione delle società statunitensi .
E la risposta della SEC al devastante attacco a SolarWinds – un’azione legale ai sensi della legge “ ” contro tale società e il suo CISO, Timothy Brown – segna la prima volta in cui un CISO è stato ritenuto personalmente responsabile per aver presumibilmente fuorviato gli investitori in merito alla situazione di sicurezza dell’azienda e per non aver adottato le misure di sicurezza di base. I CISO sono giustamente sbalorditi e alcuni stanno pensando di abbandonare il settore.
Per coloro che operano nel settore dei servizi finanziari e si chiedono quali saranno le implicazioni della conformità per loro nei prossimi mesi, abbiamo illustrato le principali questioni da tenere in considerazione. Allacciatevi quindi le cinture: nel tentativo di rafforzare la propria politica in materia di sicurezza informatica e tecnologia, la SEC ci sta conducendo lungo un percorso irto di ostacoli.
Analisi dettagliata delle norme proposte dalla SEC in materia di sicurezza informatica per le società del settore dei servizi finanziari
Da oltre due anni la SEC sta cercando di tenere sotto controllo il settore dei servizi finanziari. Tutto è iniziato con…
- Una proposta di regolamento in materia di sicurezza informatica destinata ai consulenti di investimento e ai fondi, pubblicata su febbraio 2022. Ciò richiederebbe l’adozione di politiche scritte volte ad affrontare i rischi legati alla sicurezza informatica, nonché la segnalazione alla Commissione di incidenti significativi in materia di sicurezza informatica entro 48 ore. La SEC ha invitato il pubblico a esprimere il proprio parere sulla proposta e ha raccolto osservazioni per diversi mesi.
Circa un anno dopo, nel documento “ marzo 2023”, la Commissione ha dato seguito a tale iniziativa con una proposta di regolamento analoga rivolta a un gruppo denominato collettivamente “soggetti di mercato”. Tra questi figurano i broker-dealer, le agenzie di compensazione, le associazioni nazionali di titoli e le borse valori.
- Conosciuta come “ ” (Regola 10), , tale normativa richiederebbe l’adozione di politiche di sicurezza scritte che coprano ambiti quali il controllo degli accessi, la protezione dal malware, nonché l’archiviazione e il monitoraggio delle informazioni. Le entità dovrebbero inoltre sottoporsi a revisioni periodiche per garantire che continuino ad adeguarsi all’evoluzione dei rischi legati alla sicurezza informatica, oltre a dotarsi di politiche di risposta agli incidenti per gestire eventuali incidenti. La norma prevede inoltre che la segnalazione di una violazione avvenga entro 48 ore utilizzando la prima parte del modulo SCIR. Le società dovrebbero inoltre informare il pubblico nello stesso anno solare utilizzando la seconda parte del modulo.
Ha proposto contemporaneamente due emendamenti ad altre disposizioni.
- Un emendamento riguarda il Regolamento S-P, , ovvero una norma che definisce le politiche per la tutela dei dati dei clienti. L'emendamento imporrebbe ai broker-dealer, alle società di investimento, ai consulenti di investimento registrati e agli agenti di trasferimento l'obbligo di informare le persone interessate dalle violazioni dei dati.
- Un altro emendamento relativo al “ ” ( ) riguarda il “Regulation Systems Compliance and Integrity” (Reg SCI), , una norma 2015 che la Commissione utilizza per vigilare sui sistemi informatici nei mercati mobiliari. Tale emendamento estenderebbe il proprio ambito di applicazione a un maggior numero di aziende e introdurrebbe ulteriori obblighi, tra cui l’ampliamento della definizione di «intrusione nei sistemi», con conseguenti maggiori requisiti di segnalazione.
Confusione, reclami e ritardi
Le norme proposte e gli emendamenti aggiuntivi hanno suscitato una valanga di commenti negativi da parte del settore. «Esortiamo questa Commissione a smettere di portare avanti idee mal concepite che non fanno altro che rafforzare il potere di una classe professionale di avvocati e consulenti le cui tariffe orarie sembrano aumentare ogni volta che viene adottata una nuova norma», ha affermato con tono deciso Christopher A. Iacovella, CEO dell’American Securities Association, in un commento pubblico pubblicato su .
Altri hanno rilevato delle ridondanze.
"Il regolamento SCI raggiunge già gli stessi risultati in materia di resilienza informatica previsti dalla norma proposta 10 per i soggetti che sono o saranno soggetti al regolamento SCI", ha lamentato Nashira Spencer, amministratore delegato della Depository Trust & Clearing Corporation, nella sua risposta alle proposte, pubblicata su .
Come se la valanga di proposte complesse e sovrapposte non bastasse, la Commissione ha inoltre riaperto il periodo di consultazione pubblica relativo alla norma sugli investimenti – ricorda quella prima proposta per i consulenti di investimento e i fondi di cui al 2022? – in marzo 2023 al fine di allinearla alle nuove proposte, spiega Richard Borden. In qualità di socio del gruppo “Data Strategy, Privacy & Security” dello studio legale Frankfurt Kurnit Klein & Selz, Borden ha seguito da vicino la regolamentazione del settore dei servizi finanziari da parte della SEC. "[Probabilmente] pubblicheranno quindi una serie completa che comprenda tutte le società soggette alla loro regolamentazione."
Molti commentatori hanno espresso preoccupazione per i tempi ristretti – appena 48 ore per segnalare un attacco informatico, talvolta anche meno – e per il fatto che le segnalazioni dovrebbero essere aggiornate nel corso dell’attacco; l’Investment Advisors Association ha definito tale obbligo «oneroso e superfluo», sottolineando che ciò sommergerebbe la SEC di dati che non sarebbe in grado di elaborare. Amazon , responsabile dei servizi web, ha avvertito che «fornire informazioni prima che un incidente sia stato valutato può causare confusione e malintesi».
[Leggi anche: La categoria RaaS – una guida alla difesa dagli attacchi ransomware-as-a-service]
Anche i commissari della SEC hanno espresso insoddisfazione per la proposta relativa alla Regola 10 , che è stata approvata con 3-2 voti. Una dei membri dissenzienti, la commissaria Hester M. Peirce, ha avvertito che la norma costituiva un “strumento di repressione" con cui minacciare gli operatori di mercato anziché assisterli”. Era preoccupata per la responsabilità legale derivante da dichiarazioni errate o omissioni nella prima parte del modulo SCIR, che le società avrebbero compilato in un momento di panico in cui informazioni accurate potrebbero non essere ancora disponibili.
"Questa norma è più facilmente interpretabile come uno strumento volto a migliorare le nostre statistiche di fine anno relative alle misure di applicazione della legge piuttosto che come una proposta seria volta a rendere più sicuri i mercati mobiliari", ha affermato.
Le norme della SEC in materia di sicurezza informatica trasferiscono il rischio sul punto più debole?
I miglioramenti apportati allo SCI comportano inoltre implicazioni preoccupanti per gli enti del settore dei titoli che utilizzano servizi cloud di tipo “ ” . La norma proposta respinge esplicitamente il principio della responsabilità condivisa. Si tratta di un concetto ormai consolidato nell’ambito dei progetti di cloud computing, che ripartisce le responsabilità in materia di sicurezza e resilienza dei sistemi tra il fornitore di servizi cloud e l’utente. Al contrario, secondo la proposta, è l’organizzazione soggetta alla SCI a farsi carico del peso maggiore di tali responsabilità. Si suggerisce inoltre che un’organizzazione ricorra contemporaneamente a più fornitori di servizi cloud per garantire una maggiore resilienza laddove ritenuto necessario.
«. Si tratta di un’operazione incredibilmente complessa dal punto di vista tecnico e che comporterebbe costi estremamente elevati.»Richard Borden, socio dello studio legale Frankfurt Kurnit Klein & Selz, in merito a una proposta di regolamento che impone alle organizzazioni di avvalersi di più fornitori di servizi cloud in determinate situazioni
«Dal punto di vista tecnico è incredibilmente difficile da realizzare e risulterebbe estremamente costoso», afferma Borden. Aggiunge che la maggiore complessità potrebbe causare problemi operativi tali da rendere i sistemi meno affidabili, anziché più affidabili.
Borden teme che le norme proposte attribuiscano l'onere della gestione del rischio a istituzioni finanziarie che potrebbero non avere la capacità di farvi fronte. Ad esempio, i requisiti aggiuntivi potrebbero costringere le organizzazioni interessate a rinunciare del tutto all’utilizzo dei servizi cloud e a ricorrere invece a sistemi on-premise meno sicuri.
«Temo che possano incoraggiare comportamenti inappropriati o comportamenti potenzialmente più dannosi», aggiunge.
Tali estensioni normative rischiano inoltre di sovrapporsi a ulteriori norme. Nel documento “ ottobre 2023”, la Commissione ha proposto requisiti di vigilanz i relativi ai servizi esternalizzati dai consulenti in materia di investimenti. I consulenti dovrebbero esaminare la competenza e le risorse di un fornitore di servizi e valutare eventuali rischi da esso derivanti, monitorando periodicamente le prestazioni del fornitore e riesaminando il contratto, conservando la documentazione relativa all’intero processo.
I requisiti proposti prevedono inoltre numerose misure aggiuntive che coinvolgono i fornitori di servizi cloud, tra cui la stipula di accordi volti a mantenere il consulente come cliente per un periodo minimo di tempo e a garantirne la disponibilità.
Le norme della SEC in materia di sicurezza informatica mettono l’intelligenza artificiale sotto la lente d’ingrandimento
Nessun ente regolatore che si rispetti si lascerebbe sfuggire l’occasione di disciplinare i rischi legati all’intelligenza artificiale; pertanto, nell’ambito dell’iniziativa “ ottobre 2023 ”, la Commissione ha pubblicato una proposta di regolamento relativa all’uso di tecnologie quali l’intelligenza artificiale e l’analisi predittiva. Tale preoccupazione deriva dal timore che i consulenti possano utilizzare queste tecnologie per perseguire i propri interessi a scapito degli investitori, e si applica anche ai servizi di consulenza automatizzata.
Il problema è che ciò vale anche per tutto il resto, ha avvertito il commissario Mark T. Uyeda in una dichiarazione pubblicata su , nella quale negava il proprio sostegno alla proposta.
"In base al testo della norma, anche strumenti di calcolo non elettronici, come l’abaco, potrebbero rientrare legalmente nel suo ambito di applicazione", ha avvertito.
Uyeda ha inoltre criticato «la tendenza delle recenti proposte della Commissione a includere elementi alquanto stravaganti, che hanno attirato l’attenzione e il focus di chi ha espresso commenti».
Tra questi critici figurava Jennifer W. Han, vicepresidente esecutivo della Managed Funds Association. Il suo commento pubblicato su in merito alla proposta includeva un’analisi d’impatto della norma proposta, commissionata dal Ministero degli Affari Esteri (MFA) alla società di consulenza economica NERA. Ha avvertito che la norma comporterebbe «costi di adeguamento sostanziali che potrebbero costringere le imprese a chiudere o a procedere a fusioni».
Una mancanza di visione d’insieme
Una delle principali preoccupazioni relative a molte delle norme della SEC non riguarda solo la loro natura sovrapposta, ma anche la loro mancanza di armonia con altre norme governative in materia di rendicontazione.
Harley L. Geiger, consulente legale specializzato in diritto e politiche in materia di sicurezza informatica presso lo studio legale Venable LLP, segnala un rapporto intitolato “ settembre 2023 ” () , redatto dall’Ufficio per la Strategia, le Politiche e i Piani del Dipartimento per la Sicurezza Interna, che esamina l’armonizzazione delle procedure di segnalazione degli incidenti informatici al governo federale. Dalla sua analisi di 52 requisiti, attualmente in vigore o proposti, in materia di segnalazione degli incidenti informatici sono emersi requisiti potenzialmente ridondanti.
Questa mancanza di una politica di rendicontazione coordinata potrebbe portare le organizzazioni – in particolare quelle soggette a più autorità di regolamentazione – a dover far fronte a una serie di obblighi di rendicontazione e scadenze diverse, afferma Geiger. "Si tratta di un quadro normativo non ottimale. Riteniamo che sia importante che le organizzazioni siano pronte a gestire questa situazione frammentaria, ma anche che vi sia una maggiore armonizzazione nella politica federale in materia di segnalazione degli incidenti informatici."
La preghiamo di attendere
Non vi sono notizie da parte della SEC (che non ha risposto alla nostra richiesta) riguardo all’eventualità o alla tempistica con cui le norme proposte potrebbero diventare definitive.
Borden si aspettava inizialmente che la Commissione producesse qualche risultato poco dopo l’adozione della normativa iniziale sui consulenti di investimento. "Poi, quando l’anno scorso hanno messo in atto tutta quella serie di iniziative, ho pensato: ‘Va bene, tra 90 giorni avremo qualcosa’", conclude. «Ebbene, sono passati 14 mesi.»
