EUA mantêm prazo de 36 horas para incidentes

As regras federais dos Estados Unidos determinam que certas organizações bancárias informem incidentes de segurança da informação ao regulador o mais rápido possível e, no máximo, em até 36 horas após constatar um incidente notificável. A exigência também se estende a provedores de serviços bancários quando uma interrupção ou degradação material de serviços cobertos dura quatro horas ou mais, segundo o Electronic Code of Federal Regulations.

A quem a notificação de incidentes se aplica?

A norma abrange bancos holding, bancos membros estaduais, entidades Edge e agreement, além das operações nos Estados Unidos de organizações bancárias estrangeiras sob jurisdição do Federal Reserve. Em paralelo, a regulação da OCC se aplica a bancos nacionais, associações federais de poupança e sucursais e agências federais de bancos estrangeiros.

No regime do Federal Reserve, a obrigação de notificação está prevista em 12 CFR Part 225 Subpart N. Já a OCC trata do tema em 12 CFR Part 53. Em ambos os casos, o envio deve ocorrer assim que possível e, no limite, em até 36 horas depois da determinação de que houve um incidente notificável.

O que as diretrizes interinstitucionais de segurança exigem?

As diretrizes interinstitucionais de segurança da informação dos Estados Unidos estabelecem padrões administrativos, técnicos e físicos para proteger a segurança, a confidencialidade e a integridade das informações de clientes. Essas orientações foram emitidas sob a Gramm-Leach-Bliley Act e constam no Appendix F to Part 225.

O material disponível não mostra uma mudança recente nessas regras, mas as posiciona como o marco que fixa exigências de proteção sobre as informações de clientes para as entidades alcançadas pela norma bancária federal.

O que disse a Banking Dive sobre os examinadores?

Segundo a Banking Dive, uma alteração na definição de práticas inseguras ou imprudentes limitaria a atuação de examinadores bancários em vulnerabilidades de cibersegurança a situações em que o dano financeiro material seja provável, em vez de possível ou plausível. Essa versão foi apresentada no contexto de críticas da senadora Elizabeth Warren.

Esse ponto não aparece confirmado na documentação regulatória incluída no material de pesquisa, portanto deve ser lido como uma referência atribuída à cobertura jornalística, e não como uma mudança verificada na norma.