M Holdings因网络安全程序缺陷与SEC和解，支付32.5万美元罚款

汇捷资讯监管合规关注「M Holdings因网络安全程序缺陷与SEC和解，支付32.5万美元罚款」。文中涉及M Holdings、Securities、美国。主体名称、时间、金额、牌照和监管结果以正文为准，不另作推断。

背景概述

根据 黄金形态通APP 报道，美国证券交易委员会（SEC）于2025年11月25日宣布，总部位于俄勒冈州波特兰的经纪交易商兼投资顾问 M Holdings Securities, Inc. 已同意和解其网络安全程序缺陷指控。SEC认定，在2019年7月至2024年3月期间，M Holdings未能维持合理设计的政策与程序，以保护客户信息并防止身份盗窃。

M Holdings通过由注册代表和投资顾问代表组成的全国性网络开展业务，这些代表在120个被称为“成员公司”的分支办公室运营。在此期间，多个分支办公室的电子邮件账户被未经授权的第三方接管，导致约8500人的记录和个人身份信息暴露，其中包括大量客户。

关键要点

SEC的指令文件指出了M Holdings在网络安全和身份盗窃预防方面的多项缺陷：

• 在2020年9月之前，M Holdings没有制定任何书面政策与程序来管理其成员公司的信息安全。2020年9月，公司通过了首个信息安全政策，要求成员公司采用自己的信息安全政策与控制措施。
• 该新政策未被合理设计。M Holdings已知悉，大量成员公司（包括那些发生邮箱账户接管的公司）在2024年3月之前仍缺乏所需的信息安全政策与控制措施，例如多因素认证、年度安全意识培训和书面事件响应政策。
• M Holdings的身份盗窃预防计划存在缺陷，未能制定或实施合理的政策与程序，以确保该计划定期更新，以反映持续网络安全事件带来的身份盗窃风险变化，也未定期确定公司是否提供或维护了受覆盖账户。

影响解读

SEC认定，M Holdings违反了《S-P条例》第30(a)条（17 C.F.R. § 248.30(a)）和《S-ID条例》第201条（17 C.F.R. § 248.201）。在不承认也不否认SEC调查结果的情况下，M Holdings同意停止实施或导致任何违反《S-P条例》第30(a)条和《S-ID条例》第201条的行为及未来违规行为，接受谴责，并支付32.5万美元的民事罚款。

此案凸显了SEC对经纪交易商和投资顾问在网络安全及客户信息保护方面的持续监管力度。未能建立并维持合理设计的网络安全政策和身份盗窃预防计划，可能导致重大监管处罚和声誉损害。

关键对比

未来展望

此案和解后，M Holdings需确保其网络安全政策与程序符合监管要求，并加强成员公司的合规监督。SEC持续关注金融机构的网络安全和客户信息保护，未来可能对类似缺陷采取更严格的执法行动。行业参与者应审视自身信息安全框架，确保具备多因素认证、员工培训、事件响应政策等基本控制措施，并定期更新身份盗窃预防计划。

编辑总结

M Holdings与SEC的和解再次表明，网络安全程序缺陷不再是“技术细节”，而是可能引发监管处罚的合规问题。对于拥有广泛分支网络的经纪交易商和投资顾问而言，总部政策与分支执行之间的落差是风险高发区。32.5万美元的罚款金额虽不算巨大，但谴责和停止令的附加处罚可能对公司的合规声誉产生更长远影响。金融机构应将网络安全和身份盗窃预防纳入核心合规框架，而非事后补救。