四家上市公司因網絡安全信披違規被罰5000萬元
責編：gltian ｜2024-10-25 11:16:00美國證券交易委員會（SEC）22日宣布，因四家公司在2019年“太陽風”（SolarWinds）數據泄露事件中做出誤導性披露，決定對其處以民事罰款。
被處罰的四家公司分別是網絡安全公司Check Point（罰款99.5萬美元）、Mimecast（罰款99萬美元），科技公司Unisys（罰款400萬美元）和Avaya（罰款100萬美元）。
這些公司均為“太陽風”黑客攻擊的受害者，該攻擊影響了多個使用“太陽風”軟件的公司和政府機構。根據SEC的說法，四家公司都存在不同程度的違規行為，它們“敷衍了事”地淡化了這些攻擊帶來的損害。
SEC執法部門代理主管Sanjay Wadhwa表示：“雖然上市公司可能成為網絡攻擊的目標，但它們有責任通過準確披露網絡安全事件，保護股東和公眾投資者的利益，而非提供誤導性信息。在這些案例中，SEC認定這些公司在相關事件上提供了誤導性披露，導致投資者無法了解事件的真實范圍?！?/p>
SEC指出，四家公司各自存在不同的違規之處。
- Avaya宣稱黑客僅訪問了“有限數量”的公司電子郵件，卻未提及黑客還訪問了“其云文件共享環境中的至少145個文件”。
- Check Point在明知漏洞存在的情況下，僅以“泛泛之辭”描述了網絡入侵和潛在風險。
- Mimecast“拒絕披露”被盜代碼及公司加密憑證的數量，“企圖淡化攻擊的嚴重性”。
- Unisys則將其“網絡安全事件的風險描述為假設性的”，盡管該公司遭遇了與“太陽風”相關的兩次攻擊。
美上市公司需履行更多網絡安全合規義務
SEC表示，所有涉事公司均配合了調查，并同意支付罰款，同時承諾“未來將停止此類違規行為”，但公司并未“承認或否認”SEC的調查結論。
Avaya發言人Julianne Embry表示，SEC“認可了Avaya在調查中積極配合，并指出我們采取了一些措施，來加強公司的網絡安全控制”。
Check Point發言人Gil Messing表示：“Check Point調查了‘太陽風’事件，未發現客戶數據、代碼或其他敏感信息被訪問的證據。然而，Check Point認為，與SEC合作并盡早解決爭端是最佳選擇?！?/p>
Mimecast發言人Timothy Hamilton稱，公司在回應“太陽風”黑客攻擊時“進行了廣泛披露，并積極與客戶和合作伙伴保持透明溝通，即便是那些未受影響的客戶和合作伙伴”。
Hamilton補充道：“我們認為公司已經履行了符合當時監管要求的披露義務?！?/p>
外媒TechCrunch聯系Unisys尋求評論時，其發言人Jamie Baid拒絕發表評論，但提到了公司當天發布的8-K文件。Unisys在文件中指出，公司已與SEC達成和解，了結了該機構對公司展開的調查。
近年來，SEC針對上市公司在披露數據泄露事件及其對公司、客戶和用戶的影響方面，提出了一系列新的義務。
參考資料：https://techcrunch.com/2024/10/22/sec-fines-four-companies-7-million-for-misleading-cyber-disclosures-regarding-solarwinds-hack/