NYDFS Siber Güvenlik Yönetmeliği Nedir ve Lepide Nasıl Yardımcı Olur?
2017 yılında New York Eyaleti Finansal Hizmetler Departmanı (NYSDFS), finans sektörüne yönelik bir siber güvenlik düzenlemesi öne sürdü. GDPR benzeri düzenleme, veri ihlallerinin bildirilmesi ve veri saklamanın sınırlandırılması konusunda inanılmaz derecede katı gereksinimler içerir.
NYDFS Siber Güvenlik Yönetmeliği ve diğer iyi bilinen düzenlemeler arasında, veri güvenliği kontrolleri, risk değerlendirme süreçleri, güvenlik politikası dokümantasyonu ve bir CISO'nun atanması dahil olmak üzere birkaç ortak nokta bulunmaktadır.
Bu düzenlemenin amacı, diğer benzer düzenlemelerde olduğu gibi, hassas bilgilerin (kişisel olarak tanımlanabilir bilgiler veya PII) korunmasını sağlamaktır.
NYDFS Siber Güvenlik Yönetmeliği nedir?
NYDFS Siber Güvenlik Yönetmeliği, “müşteri bilgilerinin yanı sıra düzenlemeye tabi kuruluşların bilgi teknolojisi sistemlerinin korunmasını teşvik etmek için tasarlanmıştır. ” Bunun esasen anlamı, proaktif ve gelişmiş bir güvenlik stratejisinin uygulanması için bir risk değerlendirmesinin yapılması ve kullanılması gerekliliğidir. Güvenlik stratejileri üç aşamada oluşturulmalıdır; algılama, önleme ve müdahale.
NYDFS Siber Güvenlik Yönetmeliği, New York Eyaletindeki finansal hizmet şirketlerine odaklanmaktadır. Kapsam dahilindeki kuruluşlar arasında bankalar, sigorta şirketleri, ipotek komisyoncuları, borç verenler ve kredi birlikleri yer alır ancak bunlarla sınırlı değildir. Kapsanan kuruluşlara ilişkin bazı dikkate değer istisnalar vardır. Şirketinizin 10'dan az çalışanı varsa, yıllık brüt geliri 5.000.000 ABD Dolarından azsa veya yıl sonu toplam varlıkları 10.000.000 ABD Dolarından azsa, o zaman muaf olabilirsiniz.
NYDFS Siber Güvenlik Düzenlemesi Hassas Verileri Korumak İçin Nasıl Çalışıyor?
New York'ta büyük bir finans kuruluşuysanız, muhtemelen zaten PCI-DSS veya SANS CSC 20 gibi başka bir uyumluluk düzenlemesine tabisinizdir. Durum buysa, o zaman muhtemelen gerekli olan güvenlik uygulamalarını ve politikalarını zaten uyguluyorsunuz demektir. NYDFS tarafından.
NYDFS uyumluluğunu sağlamak ve sürdürmek istiyorsanız incelemeniz gereken politika ve uygulamalardan bazıları arasında veri sınıflandırması, veri erişimi yönetişimi, kullanıcı davranışı analitiği, değişiklik denetimi, olay yanıtı ve veri kurtarma yer alır.
NYDFS, bir CISO atanmasını zorunlu kılarak, veri güvenliğini ve veri gizliliğini koruma yöntemi olarak hedeflerini vurgulamaktadır. Aktif CISO'lara sahip kuruluşlar genellikle kişisel bilgilerin korunmasını sağlayan güvenlik stratejileri oluşturma ve sürdürme konusunda daha iyi donanıma sahiptir.
NYDFS Siber Güvenlik Yönetmeliğinin Gereklilikleri Nelerdir?
NYDFS Siber Güvenlik Yönetmeliği, kapsam dahilindeki kuruluşların aşağıdaki eylemleri gerçekleştirmesini gerektirir:
- Denetim İzini Sürdürün - Ortamınızda hassas verilerle ilgili tüm şüpheli, istenmeyen veya yetkisiz olayları kaydettiğinizden ve bunlara yanıt verdiğinizden emin olun. Denetim izlerinin beş yıllık bir süre boyunca muhafaza edilmesi gerekecektir (Bölüm 500.06).
- Hassas Verilere Erişimi Yönetin - PII'ye erişimin yalnızca izin gerektiren çalışanlarla sınırlandırıldığı en az ayrıcalık politikasını uyguladığınızdan ve sürdürdüğünüzden emin olun. Bu izinler de düzenli olarak gözden geçirilmelidir (Bölüm 500.07).
- Düzenli Risk Değerlendirmeleri Yapın - Bunlar yılda en az bir kez, tercihen çok daha düzenli olarak yürütülmelidir. Risk Değerlendirmeleri, zayıf alanları vurgulamak ve veri güvenliğinin mevcut durumunu değerlendirmek için kullanılmalıdır (Bölüm 500.09).
- Veri Saklamayı Sınırlayın - İş operasyonları veya başka herhangi bir meşru amaç için artık gerekli olmayan kişisel bilgiler uygun şekilde imha edilmelidir. Bu verilerin imhası hızlı olmalı ve süreç su geçirmez olmalıdır (Bölüm 500.13).
- Bir Olay Müdahale Planı Geliştirin - Siber güvenlik olaylarını tespit etmeye ve bunlara müdahale etmeye yönelik bir dahili plan geliştirilmeli, test edilmeli ve uygulanmalıdır (Bölüm 500.16).
- İhlalden Sonra Yetkilileri 72 Saat İçinde Bildirin - Hassas verileri etkileyen ve ilgili kişilere zarar verme olasılığı makul olan bir ihlali 72 saat içinde NYFS'ye bildirdiğinizden emin olmalısınız.
Lepide, NYDFS Siber Güvenlik Uyumluluğu Konusunda Nasıl Yardımcı Olabilir?
Lepide Veri Güvenliği Platformu, kuruluşların veri korumasını iyileştirmesine, uyumluluğu karşılamasına ve tehditleri tespit etmesine/cevap vermesine yardımcı olmak için tasarlanmıştır. Sonuç olarak Lepide, NYDFS Siber Güvenlik Uyumluluğunu sağlamak ve sürdürmek için iyi bir donanıma sahiptir.
Bir Siber Güvenlik Programının Uygulanması (Bölüm 500.02)
Lepide, ortamınızdaki kişisel bilgileri korumaya odaklanan bir veri koruma programı geliştirmenize yardımcı olabilir. Lepide'ı kullanarak, PII'yi tanımlayabilir ve sınıflandırabilir, buna kimlerin erişebileceğini belirleyebilir (ve aşırı izinleri tespit edebilir), kullanıcı davranışını analiz edebilir ve anormallikler/tehditler konusunda rapor ve uyarı verebilirsiniz.
Denetim İzi (Bölüm 500.06)
Lepide, kullanıcılara riski yönetmek ve veri koruma stratejilerini uygulamak için tek bir platform sağlar. Yerleşik raporlar, ihlalleri araştırmak için olayların denetim izinde arama yapmanızı sağlar. Bu raporlar, kim, ne, ne zaman ve nerede bilgileri dahil olmak üzere önemli denetim verilerini okunması kolay bir formatta sağlar.
Veri Erişimi Yönetişimi (Bölüm 500.07)
Lepide ile hangi kullanıcıların PII'ye erişimi olduğunu belirleyerek uygun erişim haklarını koruyabilirsiniz. Devam eden izin analizi, en az ayrıcalıklı konumunuzu etkileyebilecek izinlerdeki değişiklikleri tespit etmenize yardımcı olur. Hatta hangi kullanıcıların aşırı izinlere sahip olduğunu tespit ederek bunları iptal edebilirsiniz.
Risk Değerlendirmesi (Bölüm (500.09)
Lepide Risk Değerlendirme panosu, ortamınızdaki kritik risk alanlarına ilişkin genel bir bakış sunar. Sakladığınız PII miktarı, nerede saklandığı, buna kimin erişimi olduğu ve kullanıcıların bununla ne yaptığı hakkındaki bilgilerin tümü tek bir sezgisel kontrol panelinde görüntülenir. Lepide ayrıca kritik ortamınızdaki mevcut aktif tehditleri vurgulayan tamamen ücretsiz, anahtar teslimi bir risk değerlendirme raporu da sağlayabilir.
Veri etkileşimlerinin ve Olay Müdahalesinin İzlenmesi (Bölüm 500.14 ve 500.16)
Lepide, dosya kopyalama, silme, taşıma, yeniden adlandırma, değişiklik yapma ve daha fazlası dahil olmak üzere kullanıcı davranışını aktif olarak izler. Olağandışı veya istenmeyen değişiklikler, CISO'nun mevcut tehditler üzerinde görünürlük sahibi olmasını sağlamak için gerçek zamanlı bir uyarıyı tetikleyebilir.
Lepide ayrıca bir uyarı komut dosyasını otomatik olarak tetikleyerek kuruluşunuzdaki aktif tehditlere yanıt vermenize de yardımcı olabilir. Komut dosyaları, bir fidye yazılımı saldırısını durdurmak, belirli bir kullanıcıyı veya sunucuyu izole etmek ve devam eden bir saldırının zararlarını azaltmak için kullanılabilir.
Lepide'ın NYDFS Siber Güvenlik Düzenlemesinin karşılanmasına nasıl yardımcı olabileceğinin bir gösterimini görmek isterseniz, bugün mühendislerimizden biriyle Lepide Veri Güvenliği Platformunun bir demosunu planlayın.