Les nouvelles exigences de divulgation de la Securities and Exchange Commission (SEC) sur la manière dont le public divulgue les incidents importants de cybersécurité entreront en vigueur plus tard ce mois-ci, après la conclusion de la période de commentaires.
Compte tenu de la manière transparente et opportune avec laquelle les exploits sont souvent signalés et traités dans l’espace cryptographique, les nouvelles exigences pourraient offrir aux sociétés publiques de cryptographie aux États-Unis l’occasion de démontrer leurs capacités.
Erik Gerding, directeur de la Division des finances des sociétés, a fait une déclaration le 14 décembre concernant la manière dont les nouvelles règles seront mises en œuvre, et il semble que leurs implications affecteront les sociétés de cryptographie cotées en bourse.
Nouvelles exigences de divulgation en matière de cybersécurité de la SEC.
Comme l’a déclaré Gerding,
« Ces règles fourniront aux investisseurs des informations opportunes, cohérentes et comparables sur un ensemble important de risques susceptibles d’entraîner des pertes importantes pour les sociétés ouvertes et leurs investisseurs. »
À la suite de la période de commentaires, la SEC a reconnu ses préoccupations concernant la conformité et les acteurs menaçants, ce qui a conduit à des modifications par rapport à la proposition initiale. Gerding a souligné la nécessité des nouvelles exigences en soulignant que même si les informations d’information des sociétés ouvertes se sont déjà « améliorées depuis la publication de ces directives », les pratiques d’information sont restées incohérentes.
Les règles finales comportent deux éléments. Premièrement, les entreprises doivent divulguer les incidents importants de cybersécurité dans les quatre jours ouvrables suivant la détermination de leur importance. Deuxièmement, il existe une obligation de divulgation annuelle d’informations concernant la gestion des risques, la stratégie et la gouvernance en matière de cybersécurité.
Gerding a expliqué la raison d’être de la norme d’importance relative pour les informations à fournir : « L’importance relative est une pierre de touche des lois sur les valeurs mobilières. Cela relie les informations aux besoins des investisseurs. Il a précisé que la SEC ne prescrit pas de défenses spécifiques en matière de cybersécurité mais veille à ce que les investisseurs reçoivent les informations nécessaires et cohérentes.
Les règles de divulgation en matière de cybersécurité affectent la cryptographie.
Ces développements revêtent une importance particulière pour le secteur de la cryptographie. L’utilisation croissante des paiements numériques et la « croissance des activités économiques dépendantes des systèmes électroniques » exposent directement l’industrie de la cryptographie aux risques de cybersécurité mentionnés dans les nouvelles règles. Comme Gerding l’a mentionné,
« La Commission a noté que les risques de cybersécurité ont augmenté parallèlement à la part toujours croissante de l’activité économique qui dépend des systèmes électroniques, à la croissance du travail à distance, à la capacité des criminels à monétiser les incidents de cybersécurité, à l’utilisation des paiements numériques et à la dépendance croissante. sur les fournisseurs de services tiers pour les services de technologies de l’information, y compris la technologie de cloud computing.
Les règles tiennent également compte du retard dans la déclaration des incidents de cybersécurité qui pourraient présenter un « risque important pour la sécurité nationale ou la sécurité publique ».
Bien qu’il ne s’agisse pas d’une société cotée en bourse, la récente attaque contre la bibliothèque Ledger Connect Kit montre la capacité du secteur à reconnaître, adapter et rectifier rapidement les incidents de sécurité. Depuis la divulgation initiale jusqu’à la mise à jour de la bibliothèque concernée, Ledger a mis moins de quatre heures pour résoudre l’incident. La communauté a également joué un rôle essentiel en analysant le problème et en aidant Ledger à le résoudre. Ledger aurait cependant exprimé le désir de rendre publique la société dans le passé.
De plus, Tether a pu geler les actifs du portefeuille de l’exploiteur quelques heures après l’attaque, rendant les fonds inutilisables et non transférables le même jour.
Par rapport aux incidents Web2 traditionnels, une attention plus forte portée aux procédures de cybersécurité d’une entreprise peut mettre en valeur une force du secteur Web3 qui n’est pas souvent comprise par les marchés conventionnels. Si les sociétés publiques de cryptographie étaient en mesure de continuer à divulguer les problèmes de manière aussi efficace et transparente, elles pourraient établir une nouvelle norme de sécurité aux États-Unis.
Cependant, à mesure que l’industrie de la cryptographie intègre des technologies telles que l’intelligence artificielle, ces nouvelles règles de la SEC peuvent influencer indirectement la manière dont les entreprises publiques de cryptographie abordent la cybersécurité dans d’autres domaines.
Implications des nouvelles divulgations pour les sociétés publiques de cryptographie.
Les sociétés publiques de cryptographie telles que Coinbase, Riot Blockchain et d’autres devront adhérer aux nouvelles règles. Cela signifie qu’ils doivent divulguer tout incident de cybersécurité dans les quatre jours ouvrables suivant la détermination de leur importance. Compte tenu du risque plus élevé de cybermenaces dans le secteur des cryptomonnaies, cela pourrait conduire à des divulgations publiques plus fréquentes.
L’obligation pour ces entreprises de signaler les incidents de cybersécurité et leurs stratégies de gestion de ces risques pourraient soit renforcer, soit affaiblir la confiance des investisseurs. D’une part, une divulgation transparente des mesures de cybersécurité efficaces pourrait accroître la confiance des investisseurs. En revanche, la révélation d’incidents de cybersécurité importants pourrait entraîner une perte de confiance des investisseurs et potentiellement affecter les cours des actions des entreprises.
Le respect des nouvelles règles de la SEC peut également augmenter les coûts opérationnels et de conformité pour les sociétés publiques de cryptographie. Ils devront peut-être investir dans une infrastructure de cybersécurité améliorée, embaucher davantage de personnel de cybersécurité et allouer des ressources pour la surveillance et le signalement continus des incidents de cybersécurité.
Le fait de ne pas divulguer de manière adéquate les incidents de cybersécurité ou de fournir suffisamment d’informations sur les stratégies de gestion des risques pourrait également soumettre ces entreprises à un examen juridique et réglementaire plus approfondi. Cela peut inclure des enquêtes menées par la SEC ou d’autres organismes de réglementation, pouvant conduire à des amendes, des sanctions ou d’autres mesures réglementaires.
En fin de compte, les commentaires de Gerding mettent en lumière la manière dont la Commission vise à équilibrer le besoin de divulgation et le risque de fournir aux acteurs menaçants des informations potentiellement exploitables.
L’industrie espère que de nouvelles exigences ne seront pas de plus en plus considérées comme allant trop loin et étouffant l’innovation dans le domaine des actifs numériques. Alors que le secteur de la cryptographie continue de croiser les marchés financiers traditionnels, les implications de ces développements pourraient jouer un rôle important dans toute décision d’introduction en bourse aux États-Unis.
Voir l’article original en anglais
