Американські банки зобов'язали повідомляти регуляторів про кібератаки протягом 36 годин

Федеральна корпорація зі страхування вкладів (FDIC), Рада керуючих Федеральної резервної системи та Управління контролера грошового обігу (OCC) США оголосили остаточну версію вимог щодо повідомлень про пов'язані з кібербезпекою інциденти для банківських організацій. Відповідно до них американські банки будуть зобов'язані повідомляти федеральні регулюючі органи про кіберинциденти протягом 36 годин з моменту їх виявлення.

Згідно з наявними даними, нові правила набудуть чинності 1 квітня 2022 року, але виконуватимуться не раніше 1 травня. Таким чином, піднаглядові FDIC фінансові організації будуть зобов'язані повідомляти призначену агентством контактну особу електронною поштою, телефоном чи іншим способом «якнайшвидше, але не пізніше, ніж через 36 годин» після того, як організація зіткнулася з інцидентом у сфері кібербезпеки. Постачальники банківських послуг також будуть зобов'язані повідомляти фінансові організації у випадках, коли надання послуг переривається більш ніж на чотири години.

У нових правилах сказано, що «інцидентом безпеки» є будь-яка подія, яка завдає шкоди конфіденційності, цілісності чи доступності інформаційних систем. У цей же час «інциденти з повідомленням» являють собою події, які призводять до серйозних збоїв у роботі та не дозволяють банкам функціонувати у штатному режимі. Як приклади наведено збої в роботі комп'ютерних систем, а також атаки типу «відмова в обслуговуванні» (DoS) та атаки з використанням здирницького програмного забезпечення. Нові правила зобов'язують фінансові організації повідомляти регуляторів про інциденти, але повна оцінка та аналіз ситуації займатимуть більше часу.