Exigences de cybersécurité du département des services financiers de l'État de New York 23 NYCRR 500

Que dois-je savoir ?

Éléments clés

• Dérivés des normes NIST
• Proposition générale exigeant la stricte responsabilité des banques, assureurs et autres services financiers pour assurer la protection des données conservées et en transit.
• La proposition exige que les organisations chiffrent les données sensibles, aussi bien stockées que transférées.
• Cela concerne Wall Street et environ 1900 entreprises, représentant 2,9 trillions USD en termes de ressources.
• La proposition définit les responsables en cas de violation, les personnes qui doivent être sensibilisées, le plan d'action, les informations communiquées au conseil dans ce domaine.
• Les entreprises doivent définir les critères, avoir une politique d'intervention en cas d'incident, mettre à jour la gestion des fournisseurs, avec des normes minimales pour travailler avec des institutions financières.

Chiffrement des données

• Les clés USB chiffrées Kingston ou IronKey font partie des solutions de standardisation pour se mettre en conformité avec le chiffrement des données.
• La proposition exige que les organisations chiffrent les données sensibles, qu'elles soient stockées ou transférées. (Section 500.15 Chiffrement des informations non-publiques.)
  • Section 500.15 Chiffrement des informations non-publiques.
    • (a) Dans le cadre de son programme de cybersécurité, basé sur ses évaluations des risques, chaque entité couverte doit mettre en œuvre des contrôles, incluant le chiffrement, pour protéger les informations non-publiques conservées ou transmises par l'entité couverte, que ces données soient en transit sur des réseaux externes ou au repos.
• Elle exige que les organisations qui conservent ou traitent des informations personnelles identifiables mettent en place des mesures de sécurité appropriées pour éviter les pertes de données personnelles.
• Les organisations devront intégrer les normes améliorées de chiffrement des données dans leurs contrats avec tous les fournisseurs de services tiers concernés. (Section 500.11 Politique de sécurité pour fournisseur de service tiers.)
  • Les organisations utilisant un grand nombre de fournisseurs, et qui doivent prendre les mesures appropriées pour confirmer la conformité des fournisseurs aux exigences de chiffrement.
    • Section 500.11 Politique de sécurité pour fournisseur de service tiers.
      • (2) les politiques et les procédures pour fournisseurs de services tiers concernant l'utilisation du chiffrement, telles qu'exigées par la section 500.15 des présentes pour protéger les informations non-publiques en transit et au repos.

Quelles conséquences pour mon entreprise ?

• Les entreprises des secteurs bancaires, des assurances, et autres services financiers dans New York City, ou si vous fournissez un service ou si vous êtes un sous-traitant d'une entreprise dans un de ces secteurs, vous devez appliquer cette réglementation et ses exigences.
• Vous devez aussi vous conformer à la réglementation et aux règles sur les systèmes à utiliser pour garantir la sécurité des données, leur chiffrement et leur stockage.
• Ce règlement exige que les organisations qui conservent ou traitent des informations personnelles identifiables mettent en place des mesures de sécurité appropriées pour éviter les pertes de données personnelles.

Que doit faire mon entreprise pour être conforme ?

• Faire l'inventaire des produits/ dispositifs internes et externes utilisés pour conserver des données
  Les équipements utilisés et couverts par votre politique de sécurité des données doivent être enregistrés et le chiffrement des données appliqué. Ces équipements incluent, par exemple et sans limitation : serveurs, disques durs, disques à semi-conducteurs, clés USB, ordinateurs, dispositifs mobiles.
• Analyse d'inventaire
  Évaluer la quantité globale des données personnelles
• Purger
  Éliminer les archives contenant des informations personnelles identifiables (IPI) ne présentant pas d'utilité.
• Contrôleurs des informations
  Réviser les évaluations d'impact et de risques pour la confidentialité des données
• Contrats
  Protéger votre entreprise en mettant maintenant en place des politiques qui deviendront obligatoires à partir de février 2018.
• Violation des données
  La réglementation exige un préavis de 72 heures.

Solution - Mettre en place des protections, des normes techniques et des politiques appropriées, telles que le chiffrement des données personnelles/ informations personnelles identifiables (IPI) pour limiter les risques de non-conformité. En savoir plus

Notification de violation

Dans la mesure du possible, les notifications de violation des données doivent être présentées dans un délai de 72 heures après leur découverte. De telles notifications n'ont pas besoin d'être présentées au responsable de la protection des données lorsqu'elles n'impliquent probablement pas de risque pour les droits ou les libertés individuelles.