뉴욕시 금융규제당국 23 NYCRR 500

뉴욕주 금융서비스부 23 NYCRR 500의 사이버보안 요구사항

금융 서비스 회사 사이버 보안 요건

Kingston과 함께 규정을 준수하십시오

위협 관리 및 위험 감소

개인 및 기업에서 정부까지 모든 이의 요구사항을 만족시킬 옵션들이 있습니다.

• 100% 규정 준수 암호화 USB 데이터 저장
• 간단하고 사용이 용이함, 소프트웨어 또는 드라이버 필요 없음
• 신속하고 효율적인 배치를 위해 설계됨

무엇을 알아야 합니까?

강조사항

• NIST 표준에서 발췌
• 종합 제안서에서는 은행, 보험사 및 기타 금융 서비스 회사에게 이동 및 유휴 데이터 보호에 대한 책임을 묻습니다
• 해당 제안서에서는 조직이 전송 중인 민감한 데이터 및 유휴 상태의 민감한 데이터 모두에 대해 암호화하도록 요구합니다
• 월스트리트와 자산액이 미화 2.9조 달러인 약 1,900개 회사들을 대상으로 시행
• 위반 사항을 책임지는 규제 담당자는 인지 및 조치 계획을 갖춰야 하며, 이를 해당 위원회에 상정합니다
• 회사는 기준을 정의해야 하고 사고 대응 정책을 갖춰야 하며 금융 기관과 거래를 하기 위해 최소한의 표준을 활용해 벤더 관리를 업데이트해야 합니다

데이터 암호화

• Kingston 및 IronKey 암호화 USB 드라이브는 데이터 암호화 준수를 표준화할 수 있는 한 가지 해결책입니다.
• 해당 제안서에서는 조직이 전송 중인 민감한 데이터 및 유휴 상태의 민감한 데이터 모두에 대해 암호화하도록 요구합니다. (섹션 500.15 비공개 정보의 암호화.)
  • 섹션 500.15 비공개 정보의 암호화.
    • (a) 사이버 보안 프로그램의 일환으로, 자체 위험 평가에 기반하여, 처리 기관을 통해 외부 네트워크를 거치는 모든 전송 중 및 유휴 상태의 비공개 정보를 보호하기 위해 각 처리 기관은 암호화를 포함한 통제를 시행해야 합니다.
• 개인 데이터 손실을 보호하기 위해 적절한 보안 조치를 이행함에 있어 개인 식별 가능 정보를 처리하거나 보유하는 기관이 필요합니다.
• 조직은 제3자 서비스 제공업체와 거래 시 향상된 데이터 암호화 표준을 포함시켜야 합니다. (섹션 500.11 제3자 서비스 제공업체 보안 정책.)
  • 수많은 서비스 제공업체가 있는 조직에서는 각 서비스 제공업체가 암호화 요건을 준수하는지 확인하기 위해 여러 단계를 거쳐야 합니다
    • 섹션 500.11 제3자 서비스 제공업체 보안 정책.
      • (2) 전송 중 및 유휴 상태의 비공개 정보 보호에 대한 해당 부분의 섹션 500. 15의 요구에 따른 암호화의 사용에 관한 제3자 서비스 제공업체의 정책 및 절차;

이는 제 비즈니스에 어떤 영향을 미칩니까?

• 뉴욕시 내 은행, 보험 및 기타 금융 서비스 산업 내에서 비즈니스를 하거나 이러한 회사에 벤더로서 서비스 또는 계약과 관련해 종사하는 경우에도 이러한 규칙을 따라야하며 이러한 규칙의 영향을 받습니다.
• 또한 정보 보안 및 데이터 저장 암호화와 관련해 올바른 시스템을 갖추는 데 있어 해당 규정과 규칙을 준수해야 합니다.
• 개인 데이터 손실을 보호하기 위해 적절한 보안 조치를 이행함에 있어 개인 식별 가능 정보를 처리하거나 보유하는 기관이 필요합니다.

규정 준수를 위해 제 사업장에서는 무엇을 해야 합니까?

• 데이터를 저장하는 내장, 외장 제품 / 장치 맵핑
  기록을 하고 사용된 회사 장비가 데이터 보안 정책을 따르도록 해야 하며 데이터 암호화를 활용하는지 확인합니다. 해당 품목에는 서버, 하드 드라이브, SSD, USB 플래시 드라이브, 컴퓨터 및 모바일 장치 등을 포함하지만 이에 국한되지 않습니다.
• 재고 분석
  전체 개인 데이터 양 평가.
• 제거
  불필요한 개인 식별 가능 정보(PII) 기록 제거.
• 정보 관리자
  개인 정보 보호 위험 및 영향 평가 검토.
• 계약
  2018년 2월 시행 이후 의무화되는 정책을 지금 제정하여 귀사 비즈니스의 미래 경쟁력을 갖추십시오
• 데이터 위반
  72시간 내 안내가 필요한 규정.

해결책 - 규정 미준수 위험을 완화하기 위한 개인 데이터 / 개인 식별 가능 정보(PII)에 대한 데이터 암호 등 적절한 보호, 기술 표준 및 정책을 실행합니다. 자세한 내용 보기

위반 알림

개인의 권리 또는 자유에 위험을 초래할 가능성이 없을 경우, DPA에 알릴 필요가 없다 하더라도 실행 가능한 경우라면 해당 위반이 파악된지 72시간 내에 데이터 위반 알림이 이루어져야 합니다.