美SEC要求上市公司在发现重大网络攻击四天内披露

2023年7月28日，美国证券交易委员会(SEC)于26日通过新规，要求上市公司在4天内披露所有可能影响其利润的网络安全违规事件。如果立即披露会带来严重危及国家安全或公共安全，可延迟披露。

为了保护投资者，新规要求上市公司每年披露公司的网络安全风险管理、战略和治理的基础信息。如果美国司法部长认定违规事件披露“对国家安全或公共安全构成重大风险”，并以书面形式通知证券交易委员会，则违规事件可以延迟披露。除非有特殊情况，延期不得超过60天。

证券交易委员会主席Gary Gensler在一份声明中说：“不论是公司失火导致工厂损失，还是网络安全事件造成数百万份文件丢失，都可能对投资者产生重大影响。”但是，目前对两类事件的披露要求并不一致。穆迪投资者服务公司高级副总裁Lesley Ritter发表声明称，新规将为“原本不透明但不断增长的风险增加透明度”，并可能推动增强网络防御;但是，对于资源有限的小公司而言，新规可能带来更大的挑战。

具体来说，4天的披露期限要从公司确定违规事件属于重大级别才开始计算。

共和党证券交易委员Hester Peirce对新规投了反对票。他抱怨说，这些新要求不但超越了证券交易委员会的权力范围，而且“设计上更符合潜在黑客的需求”，他们可以从详细披露信息中了解公司如何管理网络风险。Hester Peirce发表声明表示，证券交易委员会将不由自主的、更加频繁地“过度干预”公司运营。

网络安全领域知名专家、Tenable首席执行官Amit Yoran热烈欢迎这项新规。他在一份声明中表示：“长期以来，美国最大、最强的公司一直将网络安全视为可有可无的事项。现在，可以明确，企业领导必须在组织内提升网络安全的重要性。”

相关阅读