SEC оштрафовала материнскую компанию NYSE на 10 миллионов долларов за отказ сообщить о кибератаке

Согласно заявлению Комиссии по ценным бумагам и биржам США (SEC), Межконтинентальная биржа (ICE) заплатит штраф в размере 10 миллионов долларов за несообщение властям о кибервторжении.

Нарушение, обнаруженное в апреле 2021 года, было связано с внедрением вредоносного кода в VPN-устройство для доступа к корпоративной сети ICE. Комиссия по ценным бумагам и биржам (SEC) утверждает, что ICE быстро выявила угрозу, но в течение нескольких дней не уведомляла должностных лиц по юридическим вопросам и соблюдению нормативных требований в своих дочерних компаниях, включая Нью-Йоркскую фондовую биржу.

Регламент агентства по обеспечению соответствия и целостности систем регулирования (Regulation SCI) требует от компаний немедленно информировать SEC о любом существенном инциденте в области кибербезопасности. Директор по правоприменению SEC Гурбир С. Гревал сказал:

«Когда дело доходит до кибербезопасности, особенно событий у критически важных рыночных посредников, каждая секунда имеет значение, и четыре дня могут оказаться вечностью».

ICE стоит за крупнейшей в мире сетью бирж и клиринговых палат. В число его дочерних компаний входят такие биржи, как Нью-Йоркская фондовая биржа (NYSE), ICE Futures в США и Европе, а также клиринговые палаты и поставщики данных.

Принудительные действия SEC затронули несколько дочерних компаний ICE, в том числе Archipelago Trading Services, Inc., New York Stock Exchange LLC, NYSE American LLC, NYSE Arca, Inc., ICE Clear Credit LLC, ICE Clear Europe Ltd., NYSE Chicago, Inc.,и NYSE National, Inc. Кроме того, Корпорация автоматизации индустрии ценных бумаг согласилась издать приказ о прекращении противоправных действий в дополнение к денежному штрафу.

В ответ на штрафы члены Комиссии по ценным бумагам и биржам США Хестер Пирс и Марк Уеда опубликовали заявление, в котором назвали штраф «чрезмерной реакцией» на «минимальный инцидент».

«Этот непропорционально большой штраф за несообщение своевременно об инциденте, который дочерние компании ICE SCI в конечном итоге определили как минимальный, предполагает, что Комиссия больше озабочена наложением крупных штрафов, чем обеспечением того, чтобы важные субъекты рынка устраняли технологические уязвимости».

По мнению Пирса и Уеды, штраф способствует восприятию того, что «режим штрафов Комиссии является скорее инструментом для получения цифр для статистики на конец года, а не средством достижения результатов, которые повышают целостность рынка». В прошлом члены Комиссии критиковали подход SEC к криптовалютным компаниям.