Yêu cầu An ninh mạng từ Sở Dịch vụ Tài chính Tiểu bang New York 23 NYCRR 500

Tôi cần biết những gì?

Những điểm quan trọng

• Trích từ các tiêu chuẩn của NIST
• Đề xuất có ảnh hưởng sâu rộng sẽ buộc các ngân hàng, công ty bảo hiểm và các công ty dịch vụ tài chính khác phải chịu trách nhiệm giải trình chặt chẽ về việc bảo vệ dữ liệu trong lúc di chuyển và lúc nghỉ
• Đề xuất yêu cầu các công ty mã hóa dữ liệu nhạy cảm cả trong lúc di chuyển và lúc nghỉ
• Tác động đến Phố Wall và khoảng 1.900 công ty với tổng tài sản khoảng 2,9 nghìn tỷ USD
• Quy định ai phải chịu trách nhiệm về sự cố xâm nhập, phải có kế hoạch nhận thức và hành động; trình lên hội đồng quản trị
• Các công ty cần định nghĩa các tiêu chí, có chính sách đối phó sự cố và cập nhật cho ban giám đốc của nhà cung cấp các tiêu chuẩn tối thiểu để kinh doanh với các tổ chức tài chính

Mã hóa dữ liệu

• Một ổ USB mã hóa Kingston và IronKey là một trong những giải pháp để chuẩn hóa việc tuân thủ mã hóa dữ liệu
• Đề xuất yêu cầu các công ty mã hóa dữ liệu nhạy cảm cả trong lúc di chuyển và lúc nghỉ. (Mục 500.15 Mã hóa thông tin không công khai.)
  • Mục 500.15 Mã hóa thông tin không công khai.
    • (a) Nằm trong trong chương trình an ninh mạng, dựa trên Đánh giá Rủi ro, mỗi Thực thể trong phạm vi quy định sẽ thực thi các biện pháp kiểm soát, bao gồm mã hóa, để bảo vệ Thông tin Không công khai được Thực thể trong phạm vi quy định đó nắm giữ hoặc truyền đi cả trong khi được truyền đi qua mạng bên ngoài và lúc nghỉ.
• Yêu cầu các công ty xử lý hoặc lưu giữ thông tin nhận dạng cá nhân thực thi đầy đủ các biện pháp bảo mật để bảo vệ dữ liệu cá nhân khỏi bị đánh cắp.
• Yêu cầu các công ty phải thực hiện những tiêu chuẩn mã hóa dữ liệu mạnh hơn này trong hợp đồng với các nhà cung cấp dịch vụ bên thứ ba. (Mục 500.11 Chính sách bảo mật của nhà cung cấp dịch vụ bên thứ ba.)
  • Công ty có số lượng lớn nhà cung cấp dịch vụ vì họ phải thực hiện các biện pháp để xác nhận sự tuân thủ những yêu cầu mã hóa của mỗi nhà cung cấp dịch vụ.
    • Mục 500.11 Chính sách bảo mật của nhà cung cấp dịch vụ bên thứ ba.
      • (2) các chính sách và quy trình sử dụng mã hóa của Nhà cung cấp dịch vụ bên thứ ba theo yêu cầu của mục 500.15 của phần này để bảo vệ Thông tin Không công khai lúc di chuyển và lúc nghỉ;

Đề án này ảnh hưởng thế nào đến công ty của tôi?

• Kinh doanh trong lĩnh vực ngân hàng, bảo hiểm và các dịch vụ tài chính khác ở thành phố New York hoặc nếu bạn cung cấp dịch vụ hoặc có hợp đồng làm nhà cung cấp cho những doanh nghiệp trong ngành này, bạn cũng sẽ cần làm theo và tuân thủ những quy định này
• Bạn cũng sẽ cần tuân thủ quy định và quy tắc trong việc lắp đặt những hệ thống phù hợp để bảo mật và mã hóa thông tin trong thiết bị lưu trữ dữ liệu.
• Yêu cầu các công ty xử lý hoặc lưu giữ thông tin nhận dạng cá nhân thực thi đầy đủ các biện pháp bảo mật để bảo vệ dữ liệu cá nhân khỏi bị đánh cắp.

Công ty của tôi cần làm gì để bảo đảm sự tuân thủ?

• Lập sơ đồ các sản phẩm / thiết bị nội bộ và bên ngoài có lưu trữ dữ liệu
  Lập sổ theo dõi và yêu cầu các thiết bị mà công ty sử dụng phải thực hiện theo chính sách bảo mật dữ liệu của công ty bạn và bảo đảm rằng dữ liệu được mã hóa. Các thiết bị, bao gồm nhưng không chỉ là: máy chủ, ổ cứng, SSD, thẻ USB Flash, máy tính và thiết bị di động.
• Phân tích kho dữ liệu
  Đánh giá tổng lượng dữ liệu cá nhân.
• Thanh lọc
  Loại bỏ các hồ sơ thông tin nhận dạng cá nhân không cần thiết (PII).
• Người kiểm soát thông tin
  Đánh giá các nguy cơ về bảo mật thông tin cá nhân và đánh giá tác động.
• h thực thi ngay từ bây giờ các chính sách sẽ trở thành bắt buộc sau ngày bắt đầu có hiệu lực vào tháng 2 năm 2018
• Xâm phạm dữ liệu
  Quy định yêu cầu thông báo trong vòng 72 giờ.

Giải pháp - Thực thi các biện pháp bảo vệ phù hợp, tiêu chuẩn và chính sách kỹ thuật như: mã hóa dữ liệu cá nhân / thông tin nhận dạng cá nhân (PII) để giảm thiểu nguy cơ không tuân thủ. Learn more

Thông báo xâm nhập

Phải thông báo về việc dữ liệu bị xâm nhập trong vòng 72 giờ kể từ khi biết được sự cố đó, nếu khả thi mặc dù không cần phải thông báo với DPA nếu việc đó khó có khả năng gây rủi ro cho quyền hoặc tự do của các cá nhân.