美国证券交易委员会（SEC）最近颁布了新规定，要求上市公司在四个工作日内披露其遭遇的重大网络安全事件。一旦一家公司确定事件为重大，其有四个工作日使用新的“8-K表格”中的新的项目1.05进行披露。
公司必须根据SEC的新闻稿，描述事件的性质、时间和范围的重大方面以及对公司的重大影响（或有合理可能的重大影响）。
该规则的标题是“网络安全风险管理、策略、治理和事件披露”。专家称其为SEC网络安全规则或该规则。所有对此类术语的引用均指同一SEC规则。
据SEC的新闻稿称，该规则要求公司使用新的“S-K法规”的项目106来描述其如何评估、识别和管理网络安全威胁的重大风险。项目106必须包括风险的重大影响以及记录以前的网络安全事件的信息。
公司对项目106的提交必须描述董事会对网络安全威胁风险的监督情况。它必须描述管理层的角色和专门知识，包括C级高管，以评估和管理重大风险。除了及时报告网络安全事件外，该规则要求在公司的年度报告（“10-K表格”）中每年披露项目106的信息。
互联网上有关该规定对公司、管理层、董事会和网络安全的影响的讨论已经引起了热议。
SEC主席加里·根斯勒（Gary Gensler）在宣布该规定的SEC新闻稿中表示，当公司以更一致、可比较和决策有用的方式披露网络安全时，公司和投资者将受益。
该规则的目标是在股东做出投资决策时提供应有的信息。该规则可以使公司更快地从同行组织受到的攻击和应对技术中学习。
然而，公司将面临应对该规则及其四天披露要求的困难。
据网络安全公司SecureWorks的CSO/CISO卡恩·戴茨（Ken Deitz）表示，网络安全事件是一场混乱的战斗。在调查和控制正在进行时，对事件进行评估与之后的披露有着显著差异。
据戴茨称，公司在及时披露方面的表现将是一个复杂的问题，而且在公司努力找到SEC和市场希望的东西之前，还将有一个调整期。
四天在时间上可能听起来非常短暂，特别是与一些公司披露网络安全事件和漏洞所花费的“几周和几个月”相比。然而，了解该规定对四天期限的规定以及延长期限的选择是非常重要的。
根据Kim Phan，受全国性律所Troutman Pepper 的合作伙伴Kim Phan的说法，公开公司无需在发现网络安全事件后的四个工作日内进行网络安全披露，而是在公司确定网络安全事件重要性的日期的四个工作日内进行。
Phan表示，当形势可能对国家安全或公共安全带来重大风险时，该规则允许在Form 8-K披露中进行有限延迟，但需要美国总检察长的干预。
了解何时进行披露，关键在于判断网络安全事件的重要性。
根据Phan的说法，SEC网络安全规则在处理重要性问题时，采用了美国最高法院在1976年关于TSC Industries, Inc. v. Northway, Inc . 426 U.S. 438 (1976)案中长期接受的“重要性”定义。
Phan表示，如果有合理股东有重大可能会将其视为在投资决策中重要，或者如果它显著改变已公开信息的整体组合，那么某事物就被认为是“重要的”。
虽然上市公司在应用TSC v. Northway重要性标准方面有经验，但许多公司可能不习惯将这些标准应用于网络安全事件，Phan说。
公司将需要解释这一标准。根据Deitz的说法，公司将尝试自行定义重要性，并在内部和外部律师的指导下进行。他说：“他们很可能会在年度10-K文件中发表对重要性的定义。”
此后可能会出现诉讼。Deitz表示，有趣的是看看有多少种方式公司试图确定重要性。他说：“然而，最终定义什么被认为是重要的将由SEC和公众通过诉讼来决定。” Deitz表示，有些公司将在得到公认的定义之前向股东和SEC提起诉讼。
年度披露可能会揭示网络安全对组织的重要性。根据Deitz的说法，公司关于风险管理流程的披露可以告诉我们这些流程的成熟程度以及公司在整体运营中对这些流程的重视程度。
披露还将展示公司在网络安全方面的强弱。据具有连接设备网络安全背景的Jim Hyman，Ordr的首席执行官表示，一些公司的网络安全计划模糊且明显薄弱，在攻击和泄漏中频繁成为受害者。他说，监管机构将追究这些公司的责任。
SEC规则要求首席执行官和董事会对网络安全负责。董事会必须对网络安全风险进行监督。Phan说：“随着网络安全需求变得更加详细和严格，威胁变得更加严重，董事会在监督公司的网络安全政策和计划方面扮演着越来越重要的角色。”
根据Alexander Koskey，Baker Donelson律所的金融服务网络安全和数据隐私团队联合主席的说法，通过接受网络威胁培训并定期从高管处收到报告，大多数董事会加强了对网络安全风险的监督，以了解不断变化的威胁环境。
与此同时，首席执行官对管理重大网络安全风险的角色各不相同，他们的专业知识也不同。根据Hyman的说法，目前没有明确了解首席执行官的角色，但却有越来越多的案例法律（特别是前安全负责人Joe Sullivan的刑事定罪 ，其在2016年Uber的数据泄露事件后）表明法院正在试图定义他们的网络安全角色。Hyman说：“底线是，首席执行官和公司董事会应该认真对待这个问题。”
除了股东对公共公司的审查之外，还需要考虑SEC规定是否能够改善网络安全，还是只会给公司增加负担，造成更多的问题。
根据Phan的说法，该规定试图将披露重点放在网络安全事件的实质影响上，而不是要求详细描述事件本身，批评该规定的人认为恶意行为者可能会滥用这些信息。
根据Koskey的说法，尽管新规定可能在短期内增加公司的压力，但这些规定应该会促进更好的网络安全卫生。他说，这些规定可能成为未来网络安全法规的基准。
SEC规定的声誉和财务影响将取决于一家公司网络安全能力的成熟程度。Deitz表示：”较为不成熟的公司可能会因披露安全事件而遭受较大的声誉和财务影响。”
David Geer是一位专注于网络安全问题的记者，他来自美国俄亥俄州克利夫兰市。