Seorang Hakim Federal pada hari Kamis menolak sebagian dari gugatan penting pemerintah terhadap SolarWinds dan manajer keamanan sibernya terkait penanganan pelanggaran keamanan yang diungkapkan pada tahun 2020 oleh perusahaan perangkat lunak yang memengaruhi pelanggan, termasuk lembaga pemerintah AS.
Otoritas Pasar Modal AS SEC menggugat perusahaan SolarWinds yang berbasis di Austin, Texas, dan Chief Information Security Officer-nya, Tim Brown, tahun lalu. Gugatan ini terkait dengan penggambaran risiko serangan siber sebelum pelanggaran keamanan serta informasi yang diberikan kepada investor setelah insiden tersebut. Ini adalah pertama kalinya badan pengatur sekuritas mengajukan tuntutan penipuan perdata—tuduhan paling serius yang dapat diajukan badan tersebut—terhadap perusahaan publik yang menjadi korban serangan siber.
Beberapa kelompok perusahaan dan mantan jaksa mengkritik tindakan penegakan SEC terhadap perusahaan yang diretas, karena tindakan ini akan menyalahkan korban serangan, yang terkadang dilakukan oleh aktor yang didukung negara. SEC berargumen bahwa pemegang saham berhak mengetahui bagaimana perusahaan publik merespons risiko serangan, yang seringkali membebani harga saham perusahaan.
Klaim SEC bahwa SolarWinds tidak mengungkapkan sepenuhnya kepada pemegang saham tentang serangan tersebut, didasarkan pada "retrospeksi dan spekulasi," tulis Hakim Distrik AS Paul Engelmayer. Namun, hakim membiarkan gugatan pihak berwenang berjalan berdasarkan pernyataan lain dari SolarWinds sebelum serangan mengenai langkah-langkah keamanan siber dan risikonya.
AS menganggap peretas yang didukung negara Rusia sebagai pelaku serangan tersebut. Moskow membantah segala keterlibatan.
Seorang juru bicara SolarWinds mengatakan perusahaan puas dengan keputusan hakim. "Kami menantikan fase berikutnya, di mana kami untuk pertama kalinya akan memiliki kesempatan untuk memberikan bukti kami sendiri dan menunjukkan mengapa klaim yang tersisa secara faktual tidak akurat," katanya.
SEC menolak memberikan pernyataan.
Kasus SolarWinds Tidak Biasa Karena Menarget Manajer Keamanan Siber Tingkat Tinggi.
Para ahli keamanan siber, asosiasi dagang, dan para eksekutif menyuarakan kekhawatiran bahwa gugatan terhadap Brown menunjukkan bahwa regulator sekarang siap untuk mengejar para kepala keamanan siber. Gugatan SEC diajukan tidak lama setelah vonis terhadap Joseph Sullivan, mantan Chief Security Officer Uber Technologies, atas penghalangan kriminal terkait tindakannya selama pelanggaran data perusahaan pada tahun 2016, yang memicu kekhawatiran serupa.
David Shargel, Mitra di Firma Hukum Bracewell, mengatakan bahwa penolakan sebagian dari tuntutan SEC adalah "kemenangan dalam segala hal" bagi SolarWinds. Perusahaan jarang memenangkan kasus melawan tuntutan SEC pada tahap awal proses.
„Es bleibt definitiv eine ernsthafte Anklage, und es dient als Erinnerung daran, dass Unternehmen sicherstellen müssen, dass ihre öffentlichen Aussagen korrekt und nicht irreführend sind“, sagte er."
"Dalam kesinambungan, dakwaan ini tetap serius, dan ini menjadi pengingat bahwa perusahaan harus memastikan bahwa pernyataan publik mereka benar dan tidak menyesatkan,” katanya.
Sejak Gugatan Terhadap SolarWinds, Aturan Baru SEC Berlaku Mengenai Kapan dan Bagaimana Perusahaan Harus Mengungkapkan Serangan Siber. Perusahaan Terbuka Harus Melaporkan Serangan Siber Paling Lambat Empat Hari Kerja Setelah Menentukan Bahwa Serangan Tersebut Akan Berdampak Signifikan pada Bisnis Mereka, dengan Mengajukan Formulir 8-K ke Otoritas. Perusahaan Juga Harus Menguraikan Elemen Proses Manajemen Risiko Siber Mereka dalam Laporan Tahunan Mereka.
Perlu dicatat bahwa Engelmayer juga menolak klaim SEC bahwa SolarWinds telah melanggar aturan yang mengharuskan perusahaan untuk melindungi diri dari kesalahan akuntansi. Hakim menyatakan bahwa kontrol keamanan siber bukan bagian dari proses ini. "Penafsiran ini tidak dapat dibenarkan," tulis hakim tersebut, dan mengatakan bahwa kontrol tersebut jelas hanya berlaku untuk akuntansi keuangan.
Saya pikir ini bisa memberi beberapa departemen kepatuhan sedikit kepastian terkait parameter kewajiban pengungkapan," kata Shargel.
SolarWinds menuduh badan tersebut dalam tanggapan sebelumnya terhadap gugatan bahwa mereka ingin memperluas pengaruh regulasinya di bidang siber.
