米証券取引委員会、サイバーセキュリティリスクの情報開示に関する新指針を発表（CNETより）

米証券取引委員会、サイバーセキュリティリスクの情報開示に関する新指針を発表

米証券取引委員会（SEC）が、株式公開企業がサイバーセキュリティリスクやデータ流出を開示すべき方法と時期について、新たなガイダンスを発表したという記事。

「同委員会が「解釈ガイダンス」とする同文書では、まだハッカーの標的になっていない脆弱性も含め、投資家に適切なタイミングでリスクを通知するよう企業に強く促している。さらに、企業の幹部陣は重大なサイバーセキュリティ攻撃について非公開の情報を握っている間は、自社株の取引を控えるべきだとしている。」

SECのプレスリリース。

SEC Adopts Statement and Interpretive Guidance on Public Company Cybersecurity Disclosures

サイバーセキュリティ上のリスクとインシデント（事件）に関わる事項に関して、株式公開会社が負っている現行ルール（2011年にも指針が出ているそうです）上の開示義務について、委員会の見解を示すものとのことです。また、サイバーセキュリティに関する方針・手続や、開示に関する統制・手続の適用の重要性、インサイダー取引の禁止、Regulation FDおよびサイバーセキュリティの文脈における選択的開示の禁止などにもふれています。

The guidance provides the Commission’s views about public companies’ disclosure obligations under existing law with respect to matters involving cybersecurity risk and incidents. It also addresses the importance of cybersecurity policies and procedures and the application of disclosure controls and procedures, insider trading prohibitions, and Regulation FD and selective disclosure prohibitions in the cybersecurity context.

SEC委員長の声明文。

Statement on Cybersecurity Interpretive Guidance

ガイダンスそのものはこちら。

https://www.sec.gov/rules/interp/2018/33-10459.pdf

日本でもちょうど有報の記載内容を見直し中なので、サイバーセキュリティリスクの開示（リスク情報？）も検討してはどうでしょう。