ABD’li dev bankalar SEC’in siber güvenlik açıklama zorunluluğuna karşı çıktı

ABD'deki büyük bankacılık ve finans kuruluşları, ABD Menkul Kıymetler ve Borsa Komisyonu(SEC)'na gönderdikleri bir mektupla siber güvenlik olaylarının zorunlu olarak açıklanmasını öngören düzenlemenin geri çekilmesini resmen talep etti.

Amerikan Bankacılar Birliği, Menkul Kıymet Endüstrisi ve Finansal Piyasalar Derneği(SIFMA), Banka Politikaları Enstitüsü(BPI), Amerikan Bölgesel Bankalar Birliği(ICBA) ve Uluslararası Bankacılık Birliği(IIB)’nin aralarında bulunduğu beş büyük örgüt, 22’sinde (yerel saatle) SEC’e sundukları ortak mektupta yürürlükteki siber güvenlik açıklama kurallarının “kritik altyapının korunması ve zararları raporlama yükümlülüğüyle ciddi bir çelişki oluşturduğunu” belirtti.

Bankacılık sektörünün karşı çıktığı düzenleme, SEC tarafından 2023 Temmuz’unda yürürlüğe konan ‘Siber Güvenlik Risk Yönetimi ve Olay Açıklama Kuralları'. Bu düzenleme, şirketlerin bir siber saldırı, veri sızıntısı ya da benzeri olayla karşılaştığında bunu zaman geçirmeden halka açıklamasını zorunlu hale getiriyor. Ancak sektöre göre bu tür açıklamalar, ABD’nin genel siber savunma çabalarına zarar verebilir.

Söz konusu mektupta, açıklama zorunluluğunun ertelenmesini sağlayabilecek istisna prosedürlerinin hem *aşırı karmaşık* hem de *fazlasıyla sınırlayıcı* olduğu ifade edilirken, bunun hem kriz anında hızlı yanıt verme hem de kolluk kuvvetleriyle iş birliğini zorlaştırdığı dile getirildi. Ayrıca serbest iradeye dayalı bilgilendirme ile zorunlu bildirim arasında kafa karışıklığına da neden olduğu belirtildi.

Buna ek olarak, bazı siber korsanların bu zorunlu açıklamaları *fidye taleplerinde bir koz* olarak kullandığı örnekler sunulurken, çok hızlı yapılan açıklamaların ayrıca sigorta ve yasal sorumluluklar açısından da sorun yaratabileceği, hatta şirket içindeki bilgi paylaşım kültürünü bile zedeleyebileceği uyarısında bulunuldu.

SEC, bu düzenleme ile yatırımcıyı korumayı ve şeffaflığı artırmayı hedeflemişti. Ancak finans sektörü, uygulamanın beklendiği kadar etkili olmadığını ve daha çok yeni riskler doğurduğunu savunuyor. Kapsamlı yeni bir değerlendirmenin gerekliliği öne çıkarken, Trump’ın iş dünyası yanlısı regülasyon hafifletme yaklaşımı içindeki bu kurala yönelik iptal taleplerinin destek bulabileceği de konuşuluyor.