SECのサイバーインシデント報告規則は「あんまり意味ない？」　現状と問題点を調査：Cybersecurity Dive

　BreachRxのアンディ・ランスフォード氏（CEO）は、電子メールで次のように述べている。

　「企業が日々直面している影響の大きいインシデントの数を考慮すると、SECへの通知件数は非常に少ないように思われる。特に、州のデータ侵害報告サイトで報告されているインシデントの詳細を考慮すると、その差は顕著だ」

　SECのサイバー開示規則は依然として企業を混乱させており、過去1年間の提出書類の分析から、コンプライアンスの欠如や詳細情報の不足が明らかになっている。

　ランスフォード氏は「経営者たちが情報を過剰に共有することへの懸念を抱いているため、サイバーインシデント報告のタイミングや内容の充実度に関する一貫性が欠けた状況が続いている」と述べた（注4）。

　「最大の問題は、企業が意思決定に役立つ有用な情報を提供していないことだ。これまでに提出された書類の大半において、非常に一般的で定型的な表現が使用されている。他の多くの規制当局と同様にSECは、インシデントやサイバーセキュリティリスクの報告において、企業により高い透明性を求めている」

　上場企業に対し、年次報告書でサイバーリスク管理およびガバナンス戦略を報告するよう求めるSECの別の規則に関連するところでは、2024年11月18日時点で154件の報告書が提出された。BreachRxによると、これらの報告書の大半は、サイバーリスクについて、ほぼ同一の一般的な表現を用いて説明していたという。