美国证券交易委员会（SEC）于7月26日通过新规，要求上市公司在4天内披露所有可能影响其利润的网络安全违规事件。也就是说，如果上市公司遭到黑客攻击，并且确定这一攻击影响到投资人利益，则必须在确定后四天之内面向社会公开攻击信息。
除非有特殊情况，延期不得超过60天。特殊情况是指，如果立即披露会严重危及到国家安全或者公共安全，可延迟披露。为了保护投资者，新规要求上市公司每年披露公司的网络安全风险管理、战略和治理的基础信息。上市公司必须定期对社会公布网络安全业务信息，比如如何发现和管理本公司网络安全存在的风险。
穆迪投资者服务公司高级副总裁Lesley Ritter发表声明称，这一新规将让不断增长的网络安全风险增加透明度，并可能推动增强网络防御的支出；但是，对于资源有限的小公司而言，新规可能带来更大的挑战。
不过也有人反对这项新规，因为他们认为这些新要求不但超越了证券交易委员会的权力范围，而且“设计上更符合潜在黑客的需求”，他们可以从详细披露信息中了解到涉事公司是如何管理网络风险的。
但更多的人尤其是网络安全领域的知名专家热烈欢迎这项新规。他们认为长期以来，美国最大、最强的公司一直将网络安全视为可有可无的事项。现在就可以明确，企业领导必须将网络安全视为企业发展的重要一环。
事实上，相关规定最早于2022年3月就提出。当前，业务数字化不断推进，远程办公不断增加，证券交易委员会因而认定企业网络违规事件带来的风险逐渐升高，投资者因网络安全事件遭受的损失也在增多。
根据IBM最新发布的一份报告，企业处理违规事件平均需要付出450万美元的成本，比过去三年增加了15%。波耐蒙研究所的研究员发现，受影响企业通常会将成本转嫁给消费者，而这些消费者的个人信息可能已在违规事件中被窃取。
这次的新规通过之际也正好发生了一起重大数据违规事件。俄罗斯网络犯罪分子利用广泛使用的文件传输程序MOVEit发动供应链攻击，影响了数百家组织。波及多家大学、主要养老基金、美国政府机构，以及俄勒冈州和路易斯安那州的900多万车主，还影响到英国广播公司、英国航空公司、安永会计师事务所和普华永道会计师事务所等公司。
不得不说，这次的新规的确是有必要的。它让每一个企业都更加意识到网络安全防护的重要性。
当前，很多企业在网安的投入是远远不足以至于常常被攻击后陷入危机。这些危机包括：
1.数据泄露：攻击者可能窃取敏感数据，如客户信息、财务记录、商业机密等。这可能导致个人隐私泄露、信任受损以及法律责任。
2. 服务中断：攻击者可能通过拒绝服务攻击（DDoS）等方式让企业的网络资源不可用，导致业务中断、客户流失、声誉受损。
3. 系统瘫痪：恶意软件、病毒或勒索软件可能感染企业的计算机系统，导致系统无法正常运行、数据丢失或破坏，造成生产力和财务损失。
4. 金融损失：攻击者可能利用企业系统的漏洞进行网络诈骗、电子支付欺诈或转账篡改，造成直接的财务损失。
5. 法律责任：如果企业存储用户数据或敏感信息，未能采取适当的安全措施并保护数据，可能面临合规性问题和法律诉讼。
6. 品牌声誉受损：企业遭受攻击会导致公众对其信任度降低，进而影响品牌声誉和市场竞争力。
7. 成本增加：恢复系统正常运行、修复安全漏洞、调查事件、提升安全措施等都需要投入额外的人力、技术和金钱成本。
