ДЕПАРТАМЕНТ ФИНАНСОВЫХ УСЛУГ ШТАТА НЬЮ-ЙОРК 23 NYCRR 500

Требования к кибербезопасности Управления финансовых услуг штата Нью-Йорк 23 NYCRR 500

ТРЕБОВАНИЯ ПО КИБЕРБЕЗОПАСНОСТИ ДЛЯ ОКАЗЫВАЮЩИХ ФИНАНСОВЫЕ УСЛУГИ КОМПАНИЙ

Обеспечьте соблюдение этих норм и требований с продуктами компании Kingston

Ликвидация угроз и снижение рисков

Компания предлагает продукты для персональных, корпоративных и государственных пользователей.

• 100% соответствующий требованиям USB-накопитель с шифрованием
• Простой, удобный в использовании, не требует программного обеспечения или драйверов
• Может быть быстро и эффективно введен в эксплуатацию

Что мне нужно знать?

Основные моменты

• Извлечено из стандартов NIST (Национальный институт по стандартам и технологиям, США)
• Широкомасштабный законопроект будет привлекать банки, страховые компании и другие оказывающие финансовые услуги фирмы к ответственности за защиту как переносимой, так и хранимой информации
• Законопроект требует от организаций шифрования данных как при пересылке, так и при хранении.
• Оказывает воздействие на Уолл-Стрит и примерно на 1900 компаний, имеющих в активах 2,9 триллиона американских долларов
• Определяет, кто отвечает за несанкционированный доступ, должен обладать сведениями и планом действий; доводит до сведения правления
• Чтобы вести дела с финансовыми учреждениями, компаниям нужно определить критерии, иметь политику реагирования на инциденты и обновить работу с поставщиками с минимумом стандартов

Шифрование данных

• USB-накопитель с шифрованием IronKey компании Kingston - это одно из решений по стандартизации соблюдения шифрования данных
• Законопроект требует от организаций шифрования данных как при пересылке, так и при хранении. (Раздел 500.15 Шифрование непубличной информации.)
  • Раздел 500.15 Шифрование непубличной информации.
    • (a) В качестве части своей программы кибербезопасности и на основании оценки рисков каждая подпадающая под действие закона организация должна осуществлять меры контроля, включая шифрование, чтобы защитить непубличную информацию, хранимую или передаваемую этой организацией, как в процессе перемещения по внешним сетям, так и в состоянии покоя.
• От организаций, которые обрабатывают персонально идентифицируемую информацию или располагают такой информацией, требуется применение адекватных мер обеспечения безопасности для защиты от утери персональных данных.
• Организациям потребуется включить эти расширенные стандарты шифрования данных в свои контракты со сторонними провайдерами услуг. (Раздел 500.11 Политика безопасности стороннего поставщика услуг.)
  • Организации с большим числом провайдеров услуг, поскольку они должны предпринять шаги для подтверждения соблюдения каждым провайдером услуг требований по шифрованию.
    • Раздел 500.11 Политика безопасности стороннего поставщика услуг.
      • (2) политики и процедуры стороннего поставщика услуг для применения шифрования, как того требует раздел 500.15 данной Части для защиты непубличной информации в процессе передачи и при хранении;

Как это повлияет на мой бизнес?

• При ведении бизнеса в индустрии банковских услуг, страхования и других финансовых услуг в пределах города Нью-Йорка, или если вы оказываете услугу или находитесь на подряде в качестве поставщика для этих отраслевых фирм, вам также нужно следовать и подчиняться этим правилам.
• Вам также нужно будет соблюдать нормы и правила в смысле наличия у вас нужных систем обеспечения безопасности и шифрования хранящейся в запоминающих устройствах информации.
• От организаций, которые обрабатывают персонально идентифицируемую информацию или располагают такой информацией, требуется применение адекватных мер обеспечения безопасности для защиты от утери персональных данных.

Что должно сделать мое предприятие, чтобы соответствовать нормам?

• Установить и зафиксировать все внутренние и внешние программные продукты/устройства, которые хранят данные
  Зарегистрировать используемое оборудование компании и потребовать, чтобы на него распространялась ваша политика защиты данных, и обеспечить применение шифрования данных. В частности, такие устройства, как: серверы, жесткие диски, SSD-накопители, USB-накопители, компьютеры и мобильные устройства.
• Анализ хранящихся материалов
  Оцените общий объем персональных данных.
• Очистка
  Ликвидируйте архивы ненужной персонально идентифицируемой информации (ПИИ).
• Контролеры информации
  Проверьте оценки риска нарушения конфиденциальности и последствий этого нарушения.
• Контракты
  Заранее обезопасьте свой бизнес, немедленно введя в действие политики, которые станут обязательными после фактической даты вступления в силу новых норм в феврале 2018 г.
• Случаи несанкционированного доступа к данным
  Нормы требуют уведомления в течение 72 часов.

Решение -Применять соответствующие меры защиты, технические стандарты и политики, такие как шифрование персональных данных/персонально идентифицируемой информации (ПИИ), для снижения риска несоблюдения норм. Подробнее

Уведомление о несанкционированном доступе

Уведомления о несанкционированном доступе к данным должны выдаваться в течение 72 часов после установления факта несанкционированного доступа, когда это выполнимо, хотя уведомлять DPA не нужно, если маловероятно, что несанкционированный доступ повлечет за собой риск нарушения прав и свобод отдельных лиц.