미국의 은행 및 금융 산업 옹호 그룹들이 증권 거래 위원회(SEC)에 사이버 보안 사건의 공개 보고 요건을 철회해 줄 것을 요청하고 있다. 미국은행협회(American Bankers Association)를 비롯한 다섯 개의 주요 은행 그룹은 5월 22일자 서한을 통해 SEC 규정이 “중요 인프라를 보호하고 잠재적 피해자에게 경고하기 위한 기밀 보고 요건과 직접 충돌한다”고 주장했다.

이 서한에는 증권 산업 및 금융 시장 협회(Securities Industry and Financial Markets Association), 은행 정책 연구소(Bank Policy Institute), 미국 독립 커뮤니티 은행가 협회(Independent Community Bankers of America), 국제 은행가 협회(Institute of International Bankers)도 포함되어 있다. 이들은 SEC의 사이버 보안 리스크 관리 규정이 국가 사이버 보안을 강화하기 위한 규제 노력을 저해한다고 주장한다.

2023년 7월에 발표된 SEC의 사이버 보안 리스크 관리 규정은 기업들이 데이터 유출 및 해킹과 같은 사이버 보안 사건을 신속하게 공개하도록 요구하고 있다. 그러나 은행 그룹들은 이 규정이 본래부터 문제가 있었으며 시행 이후에도 계속 문제가 되고 있다고 지적한다. 이들은 “복잡하고 제한된 공개 지연 메커니즘”이 사건 대응 및 법 집행을 방해하며, 의무적 및 자발적 공개 간의 “시장 혼란”을 초래한다고 언급하고 있다.

또한, 공개 보고가 랜섬웨어 범죄자에 의해 “악용된 extortion 수단”이 되었다고 경고하며, 조속한 공개는 기업의 보험 및 책임 문제를 악화하고 “개방적인 내부 소통과 일상적인 정보 공유를 저해할 위험이 있다”고 주장했다.

이들은 SEC의 규칙에서 '아이템 1.05'를 철회할 것을 요청하며, 이는 Form 8-K 보고 및 Form 6-K에 적용되는 병행 보고 요건에 해당한다. Form 8-K는 미국 상장기업들이 주주 또는 SEC에 중대한 사건, 특히 사이버 보안 사건을 고지하는 데 사용된다. 은행 그룹들은 “‘아이템 1.05’ 없이도 투자자의 이익이 보호될 것이며, 이는 사이버 보안 사건을 포함한 중요 정보를 보고하는 기존의 공개 프레임워크를 통해 더 나은 서비스를 제공할 것”이라고 말했다.

상장된 암호화폐 기업인 코인베이스(Coinbase)도 이 규정의 영향을 받고 있으며, 최근 해커가 고객 데이터를 유출하도록 직원을 매수한 사건을 공개했다. 이 사건으로 코인베이스는 공개 후 최소 일곱 건의 소송을 당했으며, 이로 인해 최대 4억 달러의 손해가 발생할 수 있을 것으로 예상된다. 이러한 규정이 철회된다면, 코인베이스와 같은 기업들은 사이버 보안 사건을 대중에게 공개하는 데 더 많은 시간을 확보할 수 있을 것이다.


crossorigin="anonymous">