《纽约州金融服务局》 23 NYCRR 500

纽约州金融服务管理局规定 23 NYCRR 500 中的网络安全要求

金融服务公司网络安全要求

借力金士顿保持合规性

管理威胁并降低风险

可用选项满足从个人、企业到政府的各种需求。

• 100% 合规的加密 USB 数据存储
• 简单、易于使用、无需软件或驱动程序
• 旨在实现快速、高效的部署

我需要了解什么？

要点

• 源自于 NIST 标准
• 全面的提案将让银行、保险公司和其他金融服务公司对保护传输中数据和静态数据完全负责
• 提案要求组织为传输中数据和静态数据加密
• 影响华尔街和总资产超过 2.9 万亿美元的约 1,900 家公司
• 对泄漏负责人员进行监管，他们必须拥有意识和行动方案；将其提升到董事会级别
• 公司必须定义条件、部署事件响应策略，并利用与金融机构开展业务的最低标准更新供应商管理

数据加密

• 金士顿和 IronKey 加密 USB 闪存盘是实现数据加密合规的标准化解决方案之一。
• 提案要求组织为传输中数据和静态数据加密。（第 500.15 节 非公开信息加密。）
  • 第 500.15 节 非公开信息加密。
    • (a) 作为其网络安全计划的一部分，根据其风险评估，每个适用实体应实施加密等控制举措，以保护由适用实体持有或传输的非公开信息，包括在外部网络中传输的信息及静态的信息。
• 要求处理或保留个人身份识别信息的组织实施合适的安全举措，以防止个人数据丢失。
• 组织将被要求在他们与第三方服务提供商签订的合同中包含这些增强的数据加密标准。（第 500.11 节 第三方服务提供商安全策略。）
  • 拥有大量服务提供商的组织，因为他们必须采取举措来确保每个服务提供商都遵从加密要求。
    • 第 500.11 节 第三方服务提供商安全策略。
      • (2) 本部分第 500.15 节要求的第三方服务提供商加密使用策略和程序，保护传输中和静态的非公开信息；

这将如何影响我的企业？

• 纽约市银行业、保险业和其他金融服务业企业；或者，如果您向这些行业公司提供服务或作为供应商与之签订合同，您也将需要遵守这些法规并受到约束。
• 您还将需要部署合适的信息安全性和数据存储加密系统，以遵从这些法规和规定。
• 要求处理或保留个人身份识别信息的组织实施合适的安全举措，以防止个人数据丢失。

我的企业如何做到合规？

• 映射存储数据的内部和外部产品/设备
  记录使用的公司设备并将其纳入您的数据安全策略管辖范围，同时确保数据加密得到利用。物品包括但不限于：服务器、传统硬盘、固态硬盘、USB 闪存盘、计算机和移动设备。
• 库存分析
  评估全部个人数据数量。
• 清除
  删除多余个人身份识别信息 (PII) 的归档。
• 信息控制者
  审核隐私风险和影响评估。
• 合同
  现在制定将在 2018 年 2 月生效开始日期后强制执行的政策，让您的企业为未来做好准备
• 数据泄漏
  法规要求在 72 小时内发出通知。

解决方案 - 实施合适的防范措施、技术标准和策略，例如，可缓解不合规风险的个人数据/个人身份识别信息 (PII) 数据加密。 了解更多信息

泄漏通知

在可行的情况下，必须在获知泄漏的 72 小时内完成数据泄漏通知，尽管在泄漏不大可能对个人权利或自由造成风险的情况下，无需通知 DPA。