Requisitos de segurança cibernética do New York State Department Of Financial Services 23 NYCRR 500

O que eu preciso saber?

Destaques

• Derivados dos padrões NIST
• Proposta abrangente com bancos detentores, seguradoras e outras firmas de serviços financeiros estritamente responsáveis por proteger dados em trânsito e estáticos
• As propostas para as organizações criptografarem dados confidenciais em trânsito e estáticas.
• Fundos de Wall Street e cerca de 1.900 empresas com $2,9 trilhões (USD) em ativos
• Regula quem é responsável pela violação, conscientização obrigatória e plano de ação; chegar até a diretoria
• As empresas precisam definir critérios, possuir uma política de resposta a incidentes e atualizar a gestão de fornecedores com padrões mínimos para fazer negócios com as instituições financeiras

Criptografia de dados

• Um pendrive criptografado Ironkey e Kingston é uma das soluções para atender os padrões de conformidade com a criptografia de dados
• A proposta solicita que as organizações criptografem dados confidenciais em trânsito e estáticos. (Seção 500.15 Criptografia de Informações Não Públicas.)
  • Seção 500.15 Criptografia de Informações Não Públicas.
    • (a) Como parte de seu programa de segurança cibernética, com base em sua avaliação de risco, cada entidade envolvida deve implementar controles, incluindo a criptografia, para proteger informações não públicas mantidas ou transmitidas pela Entidade envolvida, tanto em trânsito quanto em redes externas estáticas.
• Requer que as organizações que processam ou mantém informações pessoalmente identificáveis implementem medidas de segurança adequadas para proteção contra a perda de dados pessoais.
• As organizações serão solicitadas a incluir esses padrões aperfeiçoados de processamento de dados em seus contratos com prestadores de serviço terceirizados. (Seção 500.11 Política de Segurança de Prestadores de Serviço Terceirizados).
  • Organizações com grande número de prestadores de serviços devem tomar providências para confirmar a adesão de cada prestador de serviços à exigência de criptografia.
    • Seção 500.11 Política de Segurança de Prestadores de Serviço Terceirizados.
      • (2) as políticas e procedimentos do Prestador de serviços terceirizado para uso de criptografia conforme exigido na seção 500.15 desta Parte para proteger informações não públicas em trânsito e estáticas;

Como isso afeta minha empresa?

• As empresas do setor bancário, de seguros e de outros serviços financeiros dentro da Cidade de Nova York ou se você fornecer um serviço ou tiver um contrato como fornecedor a firmas desse setor, você também precisará seguir e cumprir essas regras.
• Você também precisará estar em conformidade com os regulamentos e regras sobre ter os sistemas certos em vigor para a segurança e a criptografia de informações no armazenamento de dados.
• Requer que as organizações que processam ou mantém informações pessoalmente identificáveis implementem medidas de segurança adequadas para proteção contra a perda de dados pessoais.

O que minha empresa deve fazer para ficar em conformidade?

• Mapear produtos / dispositivos internos e externos que armazenam dados
  Registrar e exigir que seja usado equipamento da empresa, para estar coberto por sua política de segurança de dados e assegurar que seja utilizada a criptografia de dados. Itens podem incluir, mas não se limitam a: servidores, discos rígidos, SSDs, pendrives, computadores e dispositivos móveis.
• Análise do inventário
  Avalie o montante de dados pessoais em sua totalidade.
• Limpeza
  Elimine arquivos de informações pessoalmente identificáveis (PII) desnecessários.
• Controladores de informações
  Reveja o risco à privacidade e as avaliações de impacto.
• Contratos
  Proteja o futuro de sua empresa estabelecendo políticas agora que se tornem obrigatórias após seu início efetivo em fevereiro de 2018 8
• Violações de dados
  Os regulamentos requerem aviso em 72 horas.

Solução -Implementar proteções, padrões técnicos e políticas apropriadas como criptografia de dados pessoais / informações pessoalmente identificáveis (PII) para minimizar o risco de não conformidade.Saiba mais

Notificação de violação

Notificações de violações de dados devem ser executadas até 72 horas depois do conhecimento da violação, onde possível, embora a notificação não precise ser feita para o DPA se for improvável que resulte em risco para os direitos ou liberdades dos indivíduos.