Netzsicherheitsanforderungen des Finanzministeriums des Staates New York 23 NYCRR 500

Was muss ich wissen?

Highlights

• Abgeleitet von NIST-Standards (das US-basierte National Institute of Standards and Technology)
• Nach dem umfassenden Gesetzesvorschlag werden Banken, Versicherungsunternehmen und andere Finanzdienstleister zur Rechenschaft über die strikte Einhaltung des Datenschutzes während der Übertragung, wie auch bei gespeicherten Daten, gezogen.
• Der Gesetzesvorschlag schreibt vor, dass Unternehmen sensible Daten nicht nur verschlüsselt übertragen, sondern auch verschlüsselt speichern müssen.
• Dies wirkt sich auf die Wall Street und ca. 1.900 Unternehmen mit Vermögenswerten in Höhe von $ 2,9 Trillionen aus.
• Er regelt, wer im Falle eines Verstoßes verantwortlich ist, dafür sensibilisiert ist und einen Maßnahmenplan hat; dies reicht bis auf Vorstands-Ebene.
• Um Geschäfte mit Finanzinstitutionen tätigen zu können, müssen Unternehmen definierte Kriterien aufweisen, eine Reaktionspolitik für Zwischenfälle haben und das Lieferantenmanagement auf Mindeststandards aktualisieren.

Datenverschlüsselung

• Ein verschlüsseltes Kingston und IronKey USB-Laufwerk ist eine Lösung, um die Einhaltung der Datenverschlüsselungsvorschriften zu standardisieren.
• Der Gesetzestext schlägt vor, dass Unternehmen sensible Daten nicht nur verschlüsselt übertragen, sondern auch verschlüsselt speichern. (Abschnitt 500.15 Verschlüsselung nicht öffentlicher Daten.)
  • Abschnitt 500.15 Verschlüsselung nicht öffentlicher Daten.
    • (a) Im Rahmen des Programms zur Netzsicherheit basierend auf der Risikobewertung hat jede Organisation entsprechende Kontrollen zu implementieren, darunter Verschlüsselung, um nicht öffentliche Daten zu schützen, die durch die Organisation über externe Netzwerke übertragen werden oder gespeichert werden.
• Unternehmen, die personenbezogene Daten erheben, verarbeiten oder nutzen, müssen die adäquate Sicherheit zum Schutz dieser personenbezogenen Daten implementieren.
• Von Organisationen wird verlangt, diese erweiterten Normen für die Datenverschlüsselung in ihre Verträge mit Dienstleistungsunternehmen einzubeziehen. (Abschnitt 500.11 Sicherheitsrichtlinien für Dienstleistungsunternehmen.)
  • Unternehmen, die mit vielen Dienstleistern zusammenarbeiten, müssen Verfahren nachweisen, nach denen die Einhaltung der Verschlüsselungsvorgaben von jedem einzelnen Dienstleister bestätigt werden muss.
    • Abschnitt 500.11 Sicherheitsrichtlinien für Dienstleistungsunternehmen.
      • (2) Richtlinien und Verfahren für Dienstleistungsunternehmen zur Verschlüsselung gemäß den Anforderungen in Abschnitt 500.15 dieses Teils zum Schutz von übertragenen oder aufbewahrten nicht öffentlichen Daten;

Wie wirkt sich dies auf mein Geschäft aus?

• Wenn Ihr Unternehmen im Banken-, Versicherungs- oder einem anderen Finanzdienstleistungssektor in der Stadt New York tätig ist, oder wenn Sie Dienstleistungen oder Vertragsarbeiten für Unternehmen in dieser Branche durchführen, unterliegen Sie diesen Richtlinien und müssen sie befolgen.
• Sie müssen auch die Vorschriften der Richtlinie und Regeln befolgen, in denen festgelegt ist, dass Sie über die adäquaten Systeme zur Garantie der Sicherheit und Datenspeicherverschlüsselung verfügen.
• Unternehmen, die personenbezogene Daten erheben, verarbeiten oder nutzen, müssen adäquate Sicherheitsmaßnahmen zum Schutz dieser personenbezogenen Daten implementieren.

Welche Maßnahmen muss mein Unternehmen ergreifen, um gesetzeskonform zu sein?

• Erheben und listen Sie interne und externe Produkte bzw. Geräte zur Datenspeicherung
  Protokollieren Sie die verwendete Betriebsausstattung, die in Ihre Datenschutzrichtlinie einbezogen werden muss und stellen Sie sicher, dass Verfahren zur Datenverschlüsselung eingesetzt und eingehalten werden. Elemten, wie u. a., aber nicht beschränkt auf: Server, Festplatten, SSDs, USB-Flashspeicher, Computer und mobile Geräte.
• Bestandsanalyse
  Schätzen Sie die Gesamtmenge der persönlichen Daten ab.
• Aufräumaktion
  Löschen Sie Archive, in denen unnötigerweise personenbezogene Daten gehalten werden.
• Datenkontrollen
  Überprüfen Sie Datenschutzgefährdungen und Folgenabschätzungen.
• Verträge
  Sorgen Sie jetzt dafür, dass die Richtlinien in Ihrem Unternehmen zukunftssicher sind und die ab Februar 2018 vorgeschriebenen Kriterien erfüllen.
• Datenschutzverletzungen
  Gesetzlich ist ihre Meldung innerhalb von 72 Stunden vorgeschrieben.

Lösung - Beschränken Sie das Risiko der Nichteinhaltung, indem Sie die entsprechenden Sicherheitsvorkehrungen, technischen Standards und Richtlinien einführen, wie unter anderem die Verschlüsselung von persönlichen und personenbezogenen Daten. Erfahren Sie mehr

Meldung eines Verstoßes

Im Falle eines Verstoßes gegen den Datenschutz muss dieser, sofern möglich, innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden. Die Datenschutzbehörden müssen jedoch nur unterrichtet werden, wenn dieser Verstoß eine Gefährdung der Rechte oder Freiheiten von Personen zur Folge haben kann.