Wymagania dotyczące cyberbezpieczeństwa wynikające z regulacji departamentu obsługi finansowej stanu Nowy Jork 23 NYCRR 500

Co należy wiedzieć?

Najważniejsze informacje

• Opracowane na podstawie standardów NIST
• Ta radykalna propozycja oznacza, że banki, ubezpieczyciele i inne firmy świadczące usługi finansowe będą ponosiły szeroką odpowiedzialność za zapewnienie ochrony danych w trakcie tranzytu i przechowywania.
• W propozycji wzywa się organizacje do szyfrowania danych wrażliwych – w trakcie tranzytu i ich przechowywania.
• Dotyczy spółek notowanych na Wall Street i około 1.900 przedsiębiorstw o aktywach wartych 2,9 bilionów dolarów.
• Reguluje odpowiedzialność za naruszenia ochrony danych, nakłada obowiązek posiadania wiedzy i opracowania planu działań; przenosi ją na poziom zarządu.
• Aby współpracować z instytucjami finansowymi, przedsiębiorstwa są zobowiązane określić kryteria, opracować politykę reakcji na incydenty oraz zaktualizować procedury zarządzania dostawcami z zachowaniem minimalnych standardów.

Szyfrowanie danych

• Szyfrowana pamięć USB marki Kingston i IronKey to jedno z rozwiązań pozwalających wprowadzić jednolite standardy szyfrowania danych.
• W propozycji wzywa się organizacje do szyfrowania danych wrażliwych – w trakcie tranzytu i ich przechowywania. (Sekcja 500.15, Szyfrowanie danych niepublicznych)
  • (Sekcja 500.15, Szyfrowanie danych niepublicznych)
    • (a) W ramach bazującego na ocenie ryzyka programu cyberbezpieczeństwa każdy podmiot objęty tymi przepisami ma obowiązek wdrożyć środki kontroli, a w tym szyfrowanie pozwalające chronić informacje niepubliczne posiadane lub przekazywane przez taki podmiot, zarówno podczas tranzytu przez sieci zewnętrzne, jak i w trakcie ich przechowywania.
• Organizacje przetwarzające lub przechowujące informacje identyfikowalne osobowo są zobowiązane do wdrożenia odpowiednich środków zabezpieczających, zapobiegających utracie danych osobowych.
• Organizacje mają obowiązek uwzględniać te poprawione standardy szyfrowania danych w umowach zawieranych z zewnętrznymi usługodawcami. (Sekcja 500.11, Polityka bezpieczeństwa zewnętrznych usługodawców)
  • Organizacje współpracujące z wieloma usługodawcami są zobowiązane do podejmowania działań w celu potwierdzenia, że każdy z usługodawców spełnia wymagania z zakresu szyfrowania danych.
    • Sekcja 500.11, Polityka bezpieczeństwa zewnętrznych usługodawców
      • (2) Polityki i procedury usługodawców zewnętrznych dotyczące wykorzystania szyfrowania zgodnie z wymogami Sekcji 500.15 tej Części w celu zapewnienia ochrony danych niepublicznych w trakcie tranzytu i przechowywania.

Jak to wpływa na moją firmę?

• Firmy prowadzące działalność w branży bankowej, ubezpieczeniowej lub usług finansowych w Nowym Jorku lub świadczące usługi na mocy umowy z firmami z tych branż także mają obowiązek przestrzegać tych zasad.
• Zapewnienie zgodności z regulacją i zasadami wymaga wdrożenia odpowiednich systemów zabezpieczeń i szyfrowania magazynów danych.
• Organizacje przetwarzające lub przechowujące informacje identyfikowalne osobowo są zobowiązane do wdrożenia odpowiednich środków zabezpieczających, zapobiegających utracie danych osobowych.

Jak można zapewnić zgodność?

• Sporządzenie mapy wewnętrznych i zewnętrznych produktów / urządzeń przechowujących dane
  Należy prowadzić rejestr urządzeń wykorzystywanych w przedsiębiorstwie do przechowywania danych, szyfrować te dane oraz objąć wspomniane urządzenia polityką bezpieczeństwa danych. Dotyczy to między innymi: serwerów, dysków twardych, dysków SSD, pamięci flash USB, komputerów i urządzeń mobilnych.
• Inwentaryzacja
  Należy ocenić ilość wszystkich przetwarzanych danych osobowych.
• Likwidacja danych
  Należy usunąć archiwa niepotrzebnych informacji identyfikowalnych osobowo.
• Administratorzy informacji
  Należy przeanalizować zagrożenia dla prywatności i wykonać oceny skutków.
• Umowy
  Już teraz można zapewnić sobie zgodność z przepisami wchodzącymi w życie w lutym 2018 – wystarczy wdrożyć odpowiednie polityki.
• Naruszenie ochrony danych
  Regulacja wymaga poinformowania o naruszeniu w ciągu 72 godzin.

Rozwiązanie - wdrożenie odpowiednich zabezpieczeń, standardów technicznych i polityk, takich jak szyfrowanie danych osobowych / informacji identyfikowalnych osobowo w celu ograniczenia ryzyka wystąpienia braku zgodności. Więcej

Powiadomienie o naruszeniu ochrony danych

Jeśli to możliwe, powiadomienia o naruszeniu ochrony danych należy przedstawiać w ciągu 72 godzin od stwierdzenia naruszania. Nie ma obowiązku powiadamiania organów ochrony danych, jeśli prawdopodobieństwo, że naruszenie spowoduje zagrożenie praw lub wolności osób, jest niskie.