Les agences d’enregistrement KYC doivent signaler toutes les cyberattaques, menaces et violations dans les six heures, déclare le SEBI

Le régulateur des marchés de capitaux SEBI a demandé aux agences d’enregistrement KYC (KRA) de signaler toutes les cyberattaques, menaces et violations subies par elles dans les six heures suivant la détection de ces incidents.

L’incident sera également signalé à l’équipe indienne d’intervention d’urgence informatique (CERT-In) conformément aux directives émises par le CERT-In de temps à autre, selon une circulaire.

De plus, les KRA, dont les systèmes ont été identifiés comme « système protégé » par le National Critical Information Infrastructure Protection Center (NCIIPC), signaleront également ces incidents au NCIIPC.

« Toutes les cyberattaques, menaces, cyberincidents et violations subis par les KRA doivent être signalés au SEBI dans les six heures suivant la constatation/détection de tels incidents ou la notification de tels incidents », a déclaré mardi le régulateur.

Les rapports trimestriels contenant des informations sur les cyberattaques, les menaces, les cyberincidents et les violations subis par les courtiers en valeurs mobilières et les participants dépositaires et les mesures prises pour atténuer les vulnérabilités, y compris les informations sur les vulnérabilités des bugs, les menaces qui peuvent être utiles pour les autres, devront être soumis au SEBI dans les 15 jours suivant la fin de chaque trimestre.

Ces informations seront partagées avec le SEBI via un identifiant de messagerie dédié.

Le mois dernier, le régulateur a publié une directive similaire pour les courtiers en valeurs mobilières et les participants dépositaires.

En mai, 11 organismes internationaux composés de géants de la technologie comme Google, Facebook et HP ont écrit au directeur général de CERT-In, Sanjay Bahl, déclarant que la nouvelle directive qui oblige à signaler les incidents de cyberattaque dans les six heures et à stocker les journaux des utilisateurs pendant 5 années, il sera difficile pour les entreprises de faire des affaires dans le pays.

Les organismes internationaux ont exprimé leur inquiétude quant au fait que la directive, telle qu’elle est rédigée, aura un impact néfaste sur la cybersécurité des organisations qui opèrent en Inde et créera une approche décousue de la cybersécurité dans toutes les juridictions, compromettant la posture de sécurité de l’Inde et de ses alliés dans les pays du Quad, Europe et au-delà.