Compliance-Leitfaden: Australien und seine neue Telekommunikationsregulierung (2023)

Von den vielen Lehren, die aus dem Umgang mit der Optus-Datenschutzverletzung gezogen werden können, sticht eine hervor: Die australischen Datenschutzgesetze sind nicht darauf ausgelegt, australische Opfer von Datenschutzverletzungen zu unterstützen.

Um dies zu ändern, ändert die australische Regierung ihren Telecommunications Regulations 2021 Act. APRA-regulierte Finanzinstitute können nun an den Bemühungen zur Eindämmung von Finanzbetrug nach einer Datenschutzverletzung beteiligt werden. Eine Beteiligung ist jedoch nur dann gewährt, wenn APRA-regulierte Finanzinstitute ihre Sicherheitsstandards an den Erwartungen dieser geänderten Verordnung ausrichten.

Lesen Sie weiter, um zu erfahren, wie Sie die geänderte australische Telekommunikationsverordnung einhalten können, um den Kampf gegen Finanzbetrug nach einer Datenschutzverletzung zu unterstützen.

Warum Australiens Telekommunikationsvorschriften 2021 dringend eine Änderung benötigen

Bei fast 2,1 Millionen der insgesamt 9,8 Millionen Opfer der Optus-Datenschutzverletzung wurden die amtlichen Identifikationsnummern - wie z. B. Führerscheinnummern - kompromittiert, was die Tür für eine Vielzahl betrügerischer Finanzaktivitäten öffnete, die 100 Identifikationspunkte oder eine Überprüfung des Document Verification Service (DVS) erfordern.

Nach der Sicherheitsverletzung bestand die beste Option für betroffene Kunden, die die Gefahr einer Identitätsverletzung verringern wollten, darin, physisch ein Servicecenter aufzusuchen, um eine neue Führerscheinnummer zu beantragen. Es folgte ein logistischer Albtraum, mit Warteschlangen vor Servicezentren im ganzen Land, die sich über die Eingänge hinaus bis in die Straßen erstreckten. Erschwerend kam hinzu, dass der Prozess der Änderung kompromittierter Identifikationsdatensätze langwierig, verworren und für die potenziellen Opfer unsympathisch war.

In Victoria konnten viele Opfer ihre Lizenznummern nicht ändern, bis ausreichende Beweise für eine betrügerische Nutzung festgestellt wurden, und in NSW wurde den Opfern eine neue Lizenznummer verweigert, es sei denn, ihre Kartennummern wurden ebenfalls kompromittiert.

Erfahren Sie, wie Sie die CPS 230 > einhalten

Diese bruchstückhaften Reaktionsbemühungen entlarven die veralteten Mechanismen, die derzeit Australiens Bemühungen zur Cyberabwehr unterstützen. In Anbetracht dessen ist die australische Regierung dabei, die Sicherheitslage des Landes mit Initiativen wie der jüngsten Reform kritischer Infrastrukturen, der Erhöhung der Strafen für Datenschutzverletzungen und der dringend benötigten Aktualisierung der Telekommunikationsvorschriften zu verbessern.

Das Ausmaß der öffentlichen Störungen, die dieser Optus-Verstoß verursacht hat, ist ein Fenster in das potenzielle Chaos, das ein Cyberangreifer in Australien anrichten kann, wenn die Datenschutzbestimmungen nicht verbessert werden.

Ist Ihr Unternehmen von einer Datenschutzverletzung bedroht? Klicken Sie hier, um mehr > zu erfahren

Überblick über die novellierte Telekommunikationsverordnung

Die geänderte Verordnung unterstützt eine umfassendere Initiative zum Schutz australischer Opfer von Datenschutzverletzungen vor finanziellen Kompromittierungen. Diese aktualisierte Datenschutzinitiative zielt darauf ab, dies durch drei Hauptziele zu erreichen:

Reduzieren Sie den Aufwand, den die Opfer unternehmen müssen, um ihre kompromittierten Daten zu sichern.
Reduzieren Sie den Zeitaufwand, der zur Aufdeckung betrügerischer Finanzaktivitäten erforderlich ist.
Entziehen Sie den Opfern die Verantwortung für die Überwachung betrügerischer Finanzaktivitäten.

Der geänderte Regulierungsrahmen für Telekommunikationsunternehmen besteht aus einer symbiotischen Beziehung zwischen australischen Telekommunikationsorganisationen, die eine Datenschutzverletzung erlitten haben, und APRA-regulierten Finanzinstituten.

Diese Beziehung würde wie folgt funktionieren:

Ein Telekommunikationsunternehmen erleidet eine Datenschutzverletzung
Die Telekommunikationsorganisation gibt vorübergehend genehmigte, von der Regierung identifizierte Informationen betroffener Kunden (Führerschein, Reisepass, Medicare-Nummern) an APRA-regulierte Finanzinstitute weiter.
Das regulierte Finanzunternehmen beginnt mit der Überwachung auf betrügerische Finanzaktivitäten und setzt Schutzmaßnahmen ein, um die betroffenen Kunden vor Finanzbetrug zu schützen.
Das Finanzunternehmen vernichtet alle gemeinsam genutzten Kundenidentifikationsdaten, wenn sie nicht mehr für die Betrugsüberwachung benötigt werden.

- Dr. Jim Chalmers MP (Schatzmeister)

Die letzte Phase dieses Prozesses - die Vernichtung der gemeinsam genutzten Kundenidentifikationsdaten - ist die wichtigste Komponente. Je länger sensible Daten im Besitz von Finanzinstituten bleiben, desto größer ist das Risiko einer weiteren Kompromittierung durch zusätzliche Cyberangriffe.

Um sicherzustellen, dass alle gemeinsam genutzten Kundendaten vor weiteren Kompromittierungen geschützt sind, wird die geänderte Telekommunikationsverordnung wahrscheinlich schließlich eine unverzügliche Datenvernichtung mit Geldstrafen oder ähnlichen Konsequenzen durchsetzen.

Lesen Sie die geänderte Telekommunikationsverordnung >

Die Gewährleistung des Schutzes von Opfern von Datenschutzverletzungen vor Finanzbetrug liegt nicht allein in der Verantwortung der regulierten Finanzinstitute. Die geänderte Verordnung zielt darauf ab, eine Partnerschaft zwischen Finanzinstituten und Regierungsbehörden aufzubauen, um die Reaktionszeiten bei Datenschutzverletzungen und damit die potenziellen Auswirkungen auf die Kunden zu verkürzen.

Erfahren Sie mehr über die Auswirkungen von Reaktionszeiten auf die Kosten für Schäden durch Datenschutzverletzungen >

Wie können regulierte Finanzdienstleistungen die Änderungen der australischen Teco-Verordnung einhalten?

Regulierte Finanzdienstleistungen werden von den erweiterten Geschäftsmöglichkeiten profitieren, die sich aus den Änderungen der australischen Datenschutzgesetze für Telekommunikationsunternehmen ergeben. Um diese Chancen nutzen zu können, müssen jedoch bestimmte Bedingungen für die Cybersicherheit erfüllt sein.

1. Einhaltung der Grundsätze und Anforderungen des Aufsichtsstandards CPS 234

Der APRA Prudential Standard CPS 234 stellt sicher, dass Finanzinstitute ausreichende Maßnahmen zur Abwehr von Informationssicherheitsvorfällen und Cyberangriffen ergreifen. Die vorbildliche Sicherheitslage, die das Framework von regulierten Unternehmen erwartet, wird durch die folgenden Sicherheitskontrollen erreicht:

Kontrollen von Schwachstellen und Bedrohungen
Lifecycle-Management-Kontrollen
Physische und Umgebungssteuerungen
Kontrollen des Änderungsmanagements
Software-Sicherheitskontrollen
Kontrollen von Datenlecks
Kryptografische Kontrollen
Technologische Steuerungen
Kontrollen von Drittanbietern und verbundenen Parteien - Die Implementierung einer Lösung für das Lieferantenrisikomanagement ist besonders wichtig im aktuellen Bedrohungsökosystem, in dem Finanzorganisationen häufig Ziel von Angriffen auf die Lieferkette sind.

Erfahren Sie, wie Sie CPS 234 > einhalten können

Von allen in CPS 234 beschriebenen Informationssicherheitskontrollen sind die wichtigsten in Bezug auf die Einhaltung der geänderten Änderungen der Telekommunikationsverordnung:

Klar definierte Rollen und Verantwortlichkeiten im Bereich Cybersicherheit für alle Personen, Leitungsgremien, Geschäftsleitung und Vorstandsmitglieder.
Richten Sie ein Cybersicherheitsprotokoll ein, das proportional zum Grad der Sicherheitsrisiken für alle Kundendatenbestände ist

Um die zweite Anforderung zu erfüllen, muss auf einen Mechanismus zur Bewertung des Risikoschweregrads zurückgegriffen werden, gefolgt von der Erstellung eines Incident-Response-Plans, der kritische Risiken priorisiert. Die folgenden Ressourcen bieten eine Anleitung für diese beiden Bemühungen:

So berechnen Sie Ihre Risikobereitschaft.
So entwerfen Sie einen Incident-Response-Plan.

2. Für die Anforderung von Kundendaten ist eine schriftliche Bescheinigung erforderlich

Sobald ein Cybersicherheitsprogramm implementiert ist, das die laufende Einhaltung von CPS 234 unterstützt, können regulierte Finanzinstitute damit beginnen, Zugriff auf Telekommunikationskundendaten zu beantragen, die von einer Datenschutzverletzung betroffen sind. Jeder Antrag sollte als formelle Bescheinigung bei der APRA eingereicht werden, in der bestätigt wird, dass alle Sicherheitsanforderungen für den Datenzugriff gemäß dieser geänderten Verordnung erfüllt sind.

Hier ist ein Beispiel für eine Bescheinigung in Bezug auf die Optus-Datenschutzverletzung, die als Vorlage verwendet werden kann:

[Name der Entität] bestätigt, dass die folgenden Aussagen wahr und richtig sind:

Die Informationen, die von Optus erfasst werden, werden ausschließlich zu dem Zweck verwendet, Maßnahmen zum Schutz der Kunden vor Betrug oder Diebstahl zu ergreifen; und
Die Informationen werden in Übereinstimmung mit den Grundsätzen und Anforderungen des Prudential Standard CPS 234 Information Security gespeichert, verwaltet und verwendet, wobei angemessene Informationssicherheitskontrollen für den Schutz der erstellten Informationen erforderlich sind.

databreachinfo@apra.gov.au

3. Abgegriffene Kundendaten dürfen nur zur Betrugsüberwachung und zum Schutz verwendet werden

Wenn Zugriff auf Kundenidentifikationsdaten gewährt wird, können diese nur zum Zwecke der Überwachung und Schutzmaßnahmen zur Verhinderung von Finanzbetrug verwendet werden. Dieser enge Anwendungsfall bedeutet, dass von gemeinsam genutzten Daten ein sehr kurzer Lebenszyklus erwartet wird, ein beabsichtigtes Merkmal, das die Anforderungen der Verordnung an eine unverzügliche Datenvernichtung unterstützt.

4. Geteilte Kundendaten sollten so gespeichert werden, dass unbefugter Zugriff, unbefugte Offenlegung oder Verlust verhindert werden

Die novellierte Telekommunikationsverordnung legt nicht fest, welche Sicherheitskontrollen erforderlich sind, um unbefugten Zugriff und die Kompromittierung oder den Verlust gespeicherter Kundendaten zu verhindern. Dies liegt wahrscheinlich daran, dass von einem CPS 234-konformen Unternehmen erwartet wird, dass es über ausreichende Sicherheitskontrollen verfügt, um diese Anforderungen zu erfüllen.

Weitere Anleitungen zur Erfüllung dieser Anforderungen an die Datenintegrität finden Sie in den folgenden Quellen:

Was ist Zutrittskontrolle?
So implementieren Sie ein Privileged Access Management Framework
Was ist Data Loss Prevention?
So verhindern Sie Datenlecks.

5. Sichern Sie alle Outsourcing-Prozesse

Outsourcing ist zu einem wichtigen Bestandteil des Betriebs einer Finanzdienstleistung geworden. Jeder neu aufgenommene Anbieter ist jedoch mit verbleibenden Sicherheitsrisiken verbunden, die sich nachteilig auf die Einhaltung von CPS 234 und damit der geänderten Telekommunikationsverordnung auswirken könnten.

Regulierte Finanzunternehmen, die in die reformierten australischen Prozesse zur Behandlung von Datenschutzverletzungen in Australien einbezogen werden möchten, benötigen eine Outsourcing-Richtlinie, die Folgendes umfasst:

Skalierbar - um die gestiegenen Geschäftsanforderungen, die sich aus der geänderten Telekommunikationsverordnung ergeben, effektiv zu bewältigen, und
Sicher - um die Berechtigung zum Zugriff auf Kundendaten aufrechtzuerhalten, die von Sicherheitsverletzungen betroffen sind.

Beide Bedingungen lassen sich am effizientesten mit einer Vendor Risk Management-Lösung erfüllen, die auch Managed Services bietet, um das Risikomanagement von Drittanbietern schnell zu skalieren.

Klicken Sie hier, um die VRM-Lösung von UpGuard kostenlos zu testen.

Erfahren Sie mehr über Vendor Risk Management >

Eine VRM-Lösung, wie z. B. Vendor Risk von UpGuard, stellt sicher, dass alle Schwachstellen auf der Angriffsfläche von Drittanbietern berücksichtigt und behoben werden, um das Risiko von Verstößen durch Dritte erheblich zu reduzieren. Als Ergebnis einer solchen Implementierung werden die Sicherheitsvorkehrungen der Anbieter verbessert, was die Einhaltung einiger der wichtigsten Datensicherheitserwartungen der geänderten Telekommunikationsverordnung unterstützt, darunter:

Speicherung von Kundendaten auf eine Weise, die eine unbefugte Offenlegung verhindert - Eine VRM-Lösung hilft internen Sicherheitsteams, Schwachstellen und Datenlecks von Drittanbietern zu erkennen und zu beheben, wodurch interne Datenressourcen einem hohen Kompromittierungsrisiko ausgesetzt werden.
Die Implementierung von Sicherheitskontrollen durch Dritte - Eine VRM-Lösung hilft regulierten Finanzinstituten, die Sicherheitsanforderungen von CPS 234 für Dritte zu erfüllen.
Die Cyber-Bedrohungsannahmen, die die Schnellerkennungsrichtlinie beeinflussen - Die Richtlinie zur schnellen Vernichtung von Kundendaten in der geänderten Telekommunikationsverordnung basiert auf der Annahme, dass das Risiko einer Datenschutzverletzung proportional zu der Zeit ist, die die Daten im Besitz des regulierten Finanzunternehmens bleiben. Eine VRM-Lösung hilft regulierten Unternehmen, das Potenzial einer Datenschutzverletzung erheblich zu reduzieren, indem sie alle Angriffsvektoren sichert, die diese Sicherheitsvorfälle erleichtern. Durch die Implementierung einer VRM-Lösung verringern Finanzinstitute das Risiko einer Kompromittierung von Kundendaten aufgrund weiterer Sicherheitsverletzungen, indem sie die Reduzierung der Sicherheitsrisiken von Anbietern als primäre Cybersicherheitsmetrik hinzufügen, zusätzlich zu einem verkürzten Lebenszyklus der Datenspeicherung.

Fordern Sie eine kostenlose Testversion der VRM-Lösung von UpGuard an >

UpGuard hat eine Lösung für das Lieferantenrisikomanagement entwickelt, die sich mit den einzigartigen Cyberbedrohungen befasst, die sich auf die Sicherheit von Kundendaten in der Finanzbranche auswirken.

UpGuard kann APRA-regulierten Unternehmen dabei helfen, die Einhaltung der geänderten Telekommunikationsverordnung mit den folgenden Funktionen zu erreichen:

Eine Bibliothek mit anpassbaren Sicherheitsbewertungen von Anbietern, einschließlich eines ISO 27001-Fragebogens, mit dem erkannte Risiken den Anforderungen von APRA CPS 234 zugeordnet werden können.
Kontinuierliche Überwachung der Angriffsfläche von Drittanbietern, um neue Angriffsvektoren im gesamten Netzwerk von Drittanbietern und sogar Viertanbietern zu erkennen.
Erkennung von Datenlecks durch Dritte, um übersehene Schwachstellen zu erkennen, die Datenschutzverletzungen beschleunigen könnten.
Ein Serviceangebot für das verwaltete Risikomanagement von Anbietern, das durch ein internes Sicherheitsprogramm eines Drittanbieters ergänzt werden kann, um die Sicherheitsbemühungen der Anbieter schnell zu skalieren.
Berichterstattung für Führungskräfte, um Compliance-Bemühungen effizient mit Prüfern, Führungskräften und Stakeholdern zu kommunizieren.