Requisitos de ciberseguridad del Departamento de Servicios Financieros del Estado de Nueva York, 23 NYCRR 500

¿Qué tengo que hacer ahora?

Aspectos destacados

• Se deriva de las normas del NIST (National Institute of Standards and Technology) de EE.UU.
• En virtud de esta radical propuesta, los bancos, aseguradoras y otras empresas de servicios financieros serán considerados responsables de proteger tanto los datos en tránsito como los almacenados.
• La propuesta exige a las organizaciones cifrar los datos sensibles, independientemente de si están en tránsito como si no.
• Será de aplicación a Wall Street y a unas 1.900 empresas con 2,9 billones de dólares en activos
• Regula quién es el responsable de la vulneración. Implica concienciación y la adopción de un plan de acción. La responsabilidad puede llegar hasta el Consejo de Administración
• Las organizaciones tendrán que definir criterios, contar con una política de respuesta a incidencias y actualizar la gestión de proveedores con normas mínimas para poder hacer negocios con las instituciones financieras

Cifrado de datos

• Una unidad USB cifrada de Kingston y IronKey es una de las soluciones para la normalización del cumplimiento del cifrado de datos
• La propuesta exige a las organizaciones cifrar los datos, tanto los que están en tránsito como los almacenados. (Sección 500.15, Cifrado de datos no públicos.)
  • Sección 500.15, Cifrado de datos no públicos.
    • (a) Como parte de su programa de ciberseguridad, sobre la base de su Evaluación de riesgos cada Entidad afectada deberá implementar controles, incluyendo el cifrado para proteger los datos no públicos mantenidos o transmitidos por la Entidad afectada, tanto en tránsito a través de redes externas como en reposo.
• Requiere que las organizaciones que procesan o almacenan datos que puedan identificar personalmente a los titulares implementen las medidas de seguridad adecuadas para protegerse contra la pérdida de datos personales.
• Las organizaciones vendrán obligadas a incluir estas normas mejoradas de cifrado de datos en sus contratos con prestadores de servicios externos. (Sección 500.11. Políticas de seguridad de prestadores de servicios externos.)
  • Las organizaciones con gran número de prestadores de servicios deberán adoptar medidas para confirmar que cada uno de ellos cumple estrictamente los requisitos de cifrado.
    • Sección 500.11. Políticas de seguridad de prestadores de servicios externos.
      • (2) Las políticas y procedimientos de prestadores de servicios externos en materia del uso de cifrado, tal y como lo exige la Sección 500.15 de esta Título, para proteger los Datos no públicos en tránsito y en reposo;

¿Cómo afecta esto a mi organización?

• Tanto las empresas de los sectores de la banca, los seguros y otros servicios financieros de Nueva York como aquellas que les presten servicios, estarán sujetas al reglamento.
• Además, el cumplimiento del reglamento y sus normas impone disponer de los sistemas adecuados para la protección y cifrado de los datos almacenados.
• Requiere que las organizaciones que procesan o almacenan datos que puedan identificar personalmente a los titulares implementen las medidas de seguridad adecuadas para protegerse contra la pérdida de datos personales.

¿Qué tiene que hacer mi empresa para cumplir?

• Definir los productos/dispositivos internos y externos que almacenan datos
  Deben registrarse los equipos de la entidad utilizados que estarán cubiertos por la política de protección de datos, y asegurarse de que se utilice el cifrado de los datos. Se trata de, entre otros: servidores, discos duros, SSD, unidades USB Flash, ordenadores y dispositivos móviles.
• Análisis de inventario
  Evaluación del volumen total de datos personales.
• Purgado
  Eliminación de archivos de información personalmente identificable (IPI) innecesarios.
• Controladores de información
  Revisión de los riesgos de privacidad y evaluaciones de impacto.
• Contratos
  Adapte su empresa a los futuros requisitos implementando ahora políticas que serán obligatorias a partir de febrero de 2018
• Vulneraciones de la privacidad de los datos
  El Reglamento exige notificarlas en un plazo máximo de 72 horas

Solución - Implementar los sistemas de protección, normas técnicas y políticas adecuadas, tales como cifrado de los datos personales/información personalmente identificable (IPI) para mitigar los riesgos de incumplimiento. Más información

Notificación de vulneraciones

Las notificaciones de vulneraciones de datos se efectuarán antes de que transcurran 72 horas desde el momento de tomar conocimiento de las mismas, si fuese posible, aunque no será necesario cursarla a la autoridad de control si existen pocas probabilidades de que conlleve un riesgo para los derechos o libertades de los particulares.