【作者】Christian Jones與BakerHostetler
【資料來源】JS Supra
【發佈日期】2019年 12月 23日
【介紹者】閻書孝資深研究員
【審訂者】邱明志委員
【簡介】
企業不論大或小，在網路安全上的花費都增加—計畫在今年投入最高1240億美元—美國國會兩黨議員都希望公開發行公司可以向前一步：在董事會內建置網路專家。
網路安全揭露法(Cybersecurity Disclosure Act)近幾年已提出數次，不過目前才獲得國會山莊支持。12月10日眾議院的金融服務委員會通過了該法的修正案，是由民主黨籍康乃迪克聯邦地區眾議員希姆斯(Jim Himes)所提，該法案在黨派投票(party-line vote)中獲得委員會批准—佔眾院多數的民主黨員支持、所有共和黨員反對。
該措施要求美國證管會(Securities and Exchange Commission，簡稱SEC)發佈規則，要求公開發行公司在年報或委託投票說明書內，揭露董事會成員是否具有網路安全的「專門知識」。若董事會成員完全沒有網路安全的經驗或專業，法案會要求公司描述具備資訊科技安全背景董事的聘任程序，以及其他公司強化網路防衛所採取的步驟。
目前法律是將網路安全專門知識的定義留給SEC及國家標準技術局(National Institute of Standards and Technology)來決定。若這個修正案制定成為法律，定義網路專業法規的制定程序，須有一段公開諮詢期間。
美國企業正投資數十億美元，解決網路弱點、加強現有技術以及保護消費者資料。公司員工正接受網路釣魚詐騙方面的訓練，而公司經理人也在擬定全公司關於網路監督、營運及治理的綱領。摩根大通(J.P. Morgan Chase & Co.)的董事長戴蒙(Jamie Dimon)告訴股東，這家投行每年花6億美元，分派網路安全任務給超過3000位員工。
公司對網路防衛的關注不能錯位。美國註冊會計師協會(American Institute of CPAs)的總裁兼執行長Barry Melancon預測，2021年前全世界網路犯罪的成本將達到6兆美元。
尤有甚者，希姆斯說極少數公開發行公司目前把網路安全和資料保密視為當務之急，而他所提的法案就是要改變這個現象。
希姆斯在委員會討論該案時說：「在這個時點，本法案強調的是股票公開交易公司的最高層具備網路安全專業的重要性。我們不是要求公司在受害後，紀錄所有網路入侵的途徑，或估計損失。我們只是想要求他們揭露董事會是否具備必要能力之人來監督網路安全領域，如果沒有，就要向投資人解釋他們如何考量這個問題。」
希姆斯形容他的法案為「中庸」、「點到為止」只要求公司揭露董事會層級的網路專業，並非要公司必須有這種代表。
該法果真獲得兩黨部分議員支持。民主黨羅德島參議員里德(Jack Reed)，在2015年是第一個提出網路安全揭露法的，今年里德的版本獲共和黨緬因州參議員柯林斯(Susan Collins)、路易西安那州的參議員甘迺迪(John Kennedy)及北達科他州參議員克拉默(Kevin Cramer)支持。
雖然白宮尚未參與目前的法案，但是總統川普的經濟顧問委員會在2018年的報告中寫到：「強制揭露的要求(可)激勵公司採行更佳的商業實務作法」，包括投資更多到網路防衛。希姆斯引述這段話，認為川普政府毫無疑問的支持，以揭露方式的手段，促使公司採取行動。
SEC的主席克雷頓(Jay Clayton)也推動公司對網路風險和事件有更多揭露。他在2018年時曾說SEC的網路安全指引將「推動公司對網路安全風險與事件，作更清楚有效的揭露，使得投資人有更完整可用的資訊。」
批評該法案的人說，國會不應該決定公開發行公司董事會的政策專業，該法案反映出對董事角色的基本誤解。還有人稱這個法案「太過簡化」，認為即使在科技界，對於誰才是網路安全專家都還沒有共識，若每間公開發行公司董事會都要有的話，現在夠資格的專家根本不夠。
揭露要求也可能成為原告律師的工具。對於並未選任具網路專業董事的公司而言，可能就會被控告違反股東的受託義務。
美國商會(U.S. Chamber of Commerce)對該法案也表達了「關切」，他們稱呼該立法要求揭露為「遵循或解釋」模式，卻「混淆了董事會與管理階層的責任」。
民主黨的領袖是否會將希姆斯的法案交付眾議院全院表決並不清楚。但委員會內的政黨投票，至少可能會拖延眾議院的討論。
就算該法案獲得民主黨控制的眾議院同意，但也難以獲得共和黨控制的參議院支持，參議院內很多共和黨(GOP)議員反對，聯邦政府未經允許地管到公司董事會組成這麼細節的事務以及介入公司治理。
然而若有新的、重大的資料外洩事件，政治局勢也可能一夕轉變，屆時像里德和希姆所提的法案，可能在國會快速通過。
【網址連結】