Erfüllung der 3rd-Party-Risikoanforderungen des NY SHIELD Act

Der Stop Hacks and Improve Electronic Data Security (SHIELD) Act wurde entwickelt, um die personenbezogenen Daten aller Einwohner New Yorks zu schützen. Dieses Gesetz erweitert die Datenschutzstandards, die im Gramm-Leach-Bliley Act (GLBA) und im New York Department of Financial Services (NYDFS) festgelegt sind.

Was dieses spezielle Datenschutzgesetz einzigartig macht, ist die Einbeziehung biometrischer Informationen, Benutzernamen und Passwörter in die Kategorie der personenbezogenen Daten. Diese aktualisierte Definition, zusammen mit strengeren Anforderungen an die Meldung von Datenschutzverletzungen, gleicht den NY SHIELD Act an eine wachsende Zahl von Vorschriften aus, die die Macht des Datenschutzes an den Verbraucher zurückgeben, einschließlich der DSGVO, des CCPA und des HIPAA.

Die Einhaltung des New York SHIELD Act wird von jedem Unternehmen erwartet, das personenbezogene Daten von einem Einwohner New Yorks sammelt - unabhängig davon, ob sich die gesamten gesammelten Daten im Bundesstaat New York befinden. Dies gilt auch für Drittanbieter, was bedeutet, dass Ihr Third-Party Risk Management-Programm an die Informationssicherheitsstandards des NY SHIELD Act angepasst werden sollte.

Lesen Sie weiter, um zu erfahren, wie Sie alle Anforderungen des SHIELD Act an das Risikomanagement von Drittanbietern erfüllen können.

Checkliste: Third-Party Risk Compliance und der NY SHIELD ACT

Wenn Sie alle Punkte in dieser Liste berücksichtigen, kann dies Ihrem Unternehmen helfen, die im NY SHIELD Act festgelegten Risikomanagementmandate für Drittanbieter einzuhalten. Einige Elemente in der folgenden Liste enthalten auch vorgeschlagene Sicherheitskontrollen für die Einhaltung der Informationsverarbeitung.

1. Schulen Sie Ihre Mitarbeiter für ein Compliance-Datensicherheitsprogramm

Die Erweiterung der Definition einer Datenschutzverletzung durch den SHIELD Act hat erhebliche Auswirkungen auf die täglichen Aktivitäten der Mitarbeiter, insbesondere auf Remote-Mitarbeiter, die stark auf die E-Mail-Kommunikation angewiesen sind.

Ein Unternehmen, das stark von der internen E-Mail-Kommunikation abhängig ist, ist nach dieser erweiterten Definition einem noch größeren Risiko einer Sicherheitsverletzung ausgesetzt. Bedrohungsakteure beginnen die meisten ihrer Cyberangriffskampagnen mit einer Phishing-E-Mail - einer betrügerischen E-Mail, die darauf abzielt, interne Anmeldeinformationen zu stehlen, um unbefugten Zugriff auf ein Unternehmensnetzwerk zu erhalten.

Nachdem Netzwerkanmeldeinformationen durch eine Phishing-E-Mail offengelegt wurden, können Hacker leicht Zugriff auf den gesamten Umfang sensibler Kundendaten im Rahmen der erweiterten Definition des NY SHIELD Act erhalten, einschließlich:

• Sozialversicherungsnummern.
• Führerscheinnummern.
• Angaben zum Finanzkonto.
• Biometrische Informationen.
• Informationen zum Online-Konto des Kunden.
• Private Informationen von Einwohnern New Yorks.
• Kontonummern.
• Debitkartennummern.

Solche Sicherheitsvorfälle können vermieden werden, indem Sie Sicherheitsschulungen für Mitarbeiter in Ihr Cybersicherheitsprogramm aufnehmen.

Erfahren Sie mehr über die besten Third-Party-Risikomanagement-Lösungen auf dem Markt >

2. Nehmen Sie die Protokolle zur Benachrichtigung über Datenschutzverletzungen nach dem NY SHIELD Act in Ihren Incident-Response-Plan auf

Es wird erwartet, dass jede Verordnung, die die Sicherheit personenbezogener Daten durchsetzt, Gesetze zur Benachrichtigung über Sicherheitsverletzungen für Personen umfasst, die von einem Sicherheitsereignis betroffen sind. Nach einer Datenschutzverletzung erwartet der NY SHIELD Act, dass Unternehmen die folgenden Parteien so schnell wie möglich benachrichtigen:

• Betroffene Personen.
• Büro des Generalstaatsanwalts.
• Das New Yorker Außenministerium.
• Die Polizei des Staates New York.

Die letzten drei Unternehmen werden automatisch benachrichtigt, nachdem sie eine Meldung über Datenschutzverletzungen über das NYAG-Portal für Datenschutzverletzungen eingereicht haben.

Ihr Incident Response Plan sollte ein Protokoll für die Übermittlung von Sicherheitsereignissen an dieses Portal klar umreißen.

Erfahren Sie, wie Sie einen Plan zur Reaktion auf Cybersicherheitsvorfälle erstellen.

Datenschutzverletzungen, an denen mehr als 5.000 Einwohner von New York beteiligt sind, müssen ebenfalls einer landesweiten Verbrauchermeldestelle gemeldet werden. Die vom New Yorker Generalstaatsanwalt empfohlenen Behörden sind im Folgenden aufgeführt:

• Experian
• Equifax (Englisch)
• Transunion.

Ausnahmen von der Benachrichtigung über Datenschutzverletzungen

Der NY SHIELD Act befreit seine Regel zur Benachrichtigung über Sicherheitsverletzungen für versehentliche Offenlegungen personenbezogener Daten, bei denen es unwahrscheinlich ist, dass sie zu Missbrauch oder Kompromittierung führen. Ein Beispiel für ein solches Ereignis ist ein Mitarbeiter, der versehentlich eine E-Mail mit der Sozialversicherungsnummer eines Kunden an eine falsche E-Mail-Adresse statt an die Buchhaltungsabteilung sendet.

Eine Ausnahme für die Meldung von Datenschutzverletzungen wäre in diesem Fall nur anwendbar, wenn:

• Der Mitarbeiter benachrichtigt sofort seinen Arbeitgeber über die Veranstaltung.
• Der Arbeitgeber dokumentiert den Vorfall zusammen mit einem plausiblen Grund, warum die Exposition wahrscheinlich nicht zu Missbrauch oder finanziellem Schaden für die betroffenen Personen führen wird.
• Der dokumentierte Vorfall wird mindestens fünf Jahre lang aufbewahrt.

Wenn der Vorfall jedoch dazu geführt hat, dass private Informationen von mindestens 500 New Yorker Einwohnern offengelegt wurden, muss der dokumentierte Vorfall vom Arbeitgeber innerhalb von zehn Tagen nach dem Vorfall beim Generalstaatsanwalt des Bundesstaates eingereicht werden.

Klicken Sie hier, um Datenschutzverletzungen an die Generalstaatsanwaltschaft zu melden.

3. Angemessene Verwaltungsvorkehrungen treffen

Der NY SHIELD Act enthält eine Liste von Anforderungen an angemessene Schutzmaßnahmen in der Kategorie Verwaltung. Jede Bestimmung ist unten aufgeführt, zusammen mit vorgeschlagenen Antworten, um die Einhaltung des Shield Act in diesem Bereich zu erreichen:

Die Benennung von mindestens einem Mitarbeiter zur Koordinierung eines Sicherheitsprogramms.

Diese Bezeichnung sollte offiziell in allen Reaktionsplänen und internen Personalakten aufgeführt sein. Es hilft auch, alle relevanten Berührungspunkte in den Beschreibungen der Zutrittskontrolle von Sicherheitssoftware hervorzuheben.

Identifizieren Sie vernünftigerweise vorhersehbare interne und externe Risiken.

Eine solche Hellsichtigkeit lässt sich am besten mit einer Lösung zur Überwachung der Angriffsfläche erreichen, die in der Lage ist, Sicherheitsrisiken und Schwachstellen sowohl intern als auch im gesamten Anbieternetzwerk zu entdecken.

Erfahren Sie mehr über die Funktionen von UpGuard zur Überwachung der Angriffsfläche.

Bewertet die Angemessenheit der getroffenen Schutzmaßnahmen zur Kontrolle der identifizierten Risiken.

Penetrationstests, interne Risikobewertungen und Sicherheitsbewertungen bieten in Kombination eine objektive Bewertung des Sicherheitszustands eines Unternehmens und potenzieller Systemausfälle im Zusammenhang mit einem Cybersicherheitsprogramm.

Auswahl von Dienstleistern, die in der Lage sind, angemessene Garantien aufrechtzuerhalten, und die diese Garantien vertraglich verlangen.

Bewerten Sie das Ausmaß der Restrisiken, die mit jedem potenziellen Anbieter verbunden sind, mit einer Kombination aus Sicherheitsfragebögen und Sicherheitsbewertungen. Diese Datensicherheitsanforderungen betreffen alle Unternehmen, die Daten von Einwohnern New Yorks verarbeiten, einschließlich kleiner Unternehmen.

Erfahren Sie, wie Sie Ihre Risikobereitschaft bewerten können.

4. Implementieren Sie angemessene technische Sicherheitsvorkehrungen

Der NY SHIELD Act beschreibt eine Reihe angemessener technischer Sicherheitsvorkehrungen, die erfüllt sein müssen, um die Einhaltung zu erreichen. Jede Anforderung ist unten aufgeführt, zusammen mit vorgeschlagenen Antworten, um die Einhaltung des Shield Act in dieser Kategorie zu erreichen.

- Bewertung von Risiken im Netzwerk- und Softwaredesign
- Bewertung von Risiken bei der Verarbeitung, Übertragung und Speicherung von Informationen.

Eine Lösung zur Überwachung der Angriffsfläche kann Sicherheitslücken, die durch fehlerhaftes Softwaredesign verursacht werden, wie z. B. Fehlkonfigurationen und Netzwerksicherheitsrisiken, schnell erkennen.

Schnelle Erkennung, Verhinderung und Reaktion auf Angriffe oder Systemausfälle.

Alle implementierten Programme zur Erkennung von Schwachstellen sollten durch eine Behebungsstrategie unterstützt werden, um alle verifizierten Risiken schnell angehen zu können. Im Idealfall sollten die kritischsten Sicherheitsrisiken identifiziert und priorisiert werden.

Erfahren Sie, wie Sie einen effizienten Plan zur Risikobehebung entwerfen.

Testen und überwachen Sie regelmäßig die Wirksamkeit wichtiger Kontrollen, Systeme und Verfahren.

Eine Sicherheitsbewertungslösung, die Risiken auf der Grundlage mehrerer kritischer Angriffsvektoren bewertet, kann die Wirksamkeit von Abhilfemaßnahmen und potenziell neuen Sicherheitsrisiken kontinuierlich überwachen.

Regelmäßige Penetrationstests, die von einer unabhängigen Stelle durchgeführt werden, bieten eine objektive Bewertung der Resilienz aller implementierten Sicherheitskontrollen.

Erfahren Sie mehr über Sicherheitsbewertungen.

5. Implementieren Sie angemessene physische Sicherheitsvorkehrungen

Alle physischen Schutzanforderungen des NY SHIELD Act sind unten aufgeführt, zusammen mit vorgeschlagenen Antworten, um die Einhaltung des Shield Act in dieser Kategorie zu erreichen.

Bewerten Sie die Risiken der Speicherung und Entsorgung von Informationen.

Sicherheitsrisiken, die mit der Speicherung und Entsorgung von Informationen verbunden sind, können mit Software zur Überwachung der Angriffsfläche und Penetrationstests erkannt werden. Die Evaluierungsmethode wird viel einfacher, wenn die Best Practices für die Datenspeicherung befolgt werden.

Sieben Möglichkeiten, sensible Daten auf einem USB-Stick zu sichern.

- Erkennen, verhindern und reagieren Sie auf Eindringlinge;
- Schutz vor unbefugtem Zugriff auf oder Verwendung privater Informationen während oder nach der Erfassung, dem Transport, der Vernichtung oder Entsorgung der Informationen.

Diese beiden Anforderungen an physische Schutzmaßnahmen können durch die Implementierung eines Sicherheitsframeworks erfüllt werden, das von einer beispielhaften Benutzerzugriffssicherheit abhängt, wie z. B. das Zero-Trust-Framework.

Erfahren Sie mehr über Zero Trust.