Два завода за неделю, ноль векторов входа в раскрытии SEC
За одну неделю мая West Pharmaceutical Services подала Item 1.05 Form 8-K о существенной кибератаке, а Foxconn подтвердила журналистам удар по североамериканским заводам. Рубен Чакон в The CISO Blog читает оба текста и спрашивает: рынок узнал влияние и не узнал, как вошли. Это не обвинение компаний: они закрыли букву правила. Проблема, пишет он, в самом режиме раскрытия.
Что сказали и чего нет
West Pharma 11 мая подтвердила: вторжение заметили 4 мая, существенность определили 7-го, данные выносили, часть систем шифровали, реагирование вёл Palo Alto Networks Unit 42, 13 мая письмом зафиксировали сдерживание. Группа не назвалась, тип данных не раскрыт. Foxconn 12 мая через пресс-службу сообщила об атаке на часть североамериканских площадок и о возврате к работе. На leak-сайте Nitrogen утверждали 8 ТБ и больше 11 миллионов файлов. Foxconn не регистрируется в SEC, отдельного 8-K нет; кражу данных компания не подтвердила и не опровергла.
Item 1.05 требует природу, масштаб, срок и существенное влияние. Instruction 4 прямо говорит: детальную технику ответа и уязвимости раскрывать не обязаны, чтобы не мешать расследованию. На практике, пишет Чакон, это стало постоянным освобождением от вектора входа: поправок через 60–90 дней с категорией «фишинг / край / подрядчик» рынок не получает.
Resilience Insurance 15 мая в отчёте по страховым случаям в производстве указала: больше 90 процентов убытков — ransomware при 12 процентах числа претензий; около 26 процентов всех убытков портфеля связали с ошибкой MFA; фишинг и переводное мошенничество — около 30 процентов числа; эксплуатация ПО — около 13 процентов убытков. Эти доли известны, потому что страховщик опубликовал портфель, не потому что так пишут 8-K.
Что предлагает колонка
Дополнить Item 1.05 категорией первичного доступа по таксономии MITRE ATT&CK или Verizon DBIR: фишинг, незакрытый край, чужая учётка, цепочка ПО, подрядчик, публичное приложение. Первое раскрытие по-прежнему за четыре рабочих дня — только влияние. Поправка с категорией — в течение 90 дней после сдерживания или конца экспертизы, что раньше. Плюс защита, близкая к CIRCIA: не доказательство в иске и не дубинка другого агентства. CIRCIA и NIS2, напоминает автор, уже требуют тактики; SEC в этой части отстаёт. Для российского контура это не норма: ориентир, как чужой рынок учится на чужих входах.
Где это в модели зрелости
Своё уведомление и чужое раскрытие — инциденты. Карта — /zrelost.
Как проверить
В своём последействии пишите категорию входа одной строкой, даже если наружу её не выносите: иначе через год не сравните кейсы. Смежный разбор подрядчика без патча — отстранение Accenture. Свой контур с ПДн — уведомление Роскомнадзора.
Источники
- The CISO Blog / Ruben D. Chacon. Two Manufacturers, One Week, Zero Answers. URL: https://thecisoblog.com/article-sec-disclosure-failing-investors-defenders.html.
