Die 8 wichtigsten Cybersicherheitsvorschriften für Finanzdienstleistungen
Die Zunahme von Cyberangriffen, die auf den Finanzsektor abzielen, hat die Einführung mehrerer verbindlicher Cybersicherheitsvorschriften erzwungen. Obwohl die Einhaltung gesetzlicher Vorschriften oft als unnötige Belastung für Sicherheitsteams angesehen wird, ist sie eine der effektivsten Strategien, um Finanzdienstleister für ihre Sicherheitslage zur Rechenschaft zu ziehen.
Cybersicherheitsvorschriften müssen flexibel sein, um in einer sich schnell entwickelnden Bedrohungslandschaft relevant zu bleiben. Das bedeutet, dass der Finanzsektor ständig den Überblick über Änderungen bestehender Regulierungen sowie die Etablierung neuer Standards für die Informationssicherheit behalten muss.
Der Stress einer solchen Belastung wird unnötig durch das Fehlen einer verlässlichen Referenz für alle Vorschriften, die sich auf Finanzinstitute auswirken, noch verstärkt.
Um dieser stillen Frustration entgegenzuwirken, haben wir eine Liste aller wichtigsten Cybersicherheitsvorschriften zusammengestellt, die sich auf die Finanzdienstleistungsbranche auswirken. Jeder Punkt wird auch mit Compliance-Ressourcen und Details zu Strafen bei Nichteinhaltung unterstützt.
Lesen Sie weiter, um zu erfahren, welche Vorschriften Sie betreffen und wie Sie die Compliance im Finanzsektor aufrechterhalten können.
Ein kurzer Überblick über die Einhaltung von Cybersicherheitsvorschriften im Finanzsektor
Um all die Falten auszubügeln, die durch das Zusammenfügen verschiedener Online-Ressourcen entstehen, ist es hilfreich, einen Schritt zurückzutreten und die Details der finanziellen Compliance zu überarbeiten.
Was ist Compliance im Bereich der finanziellen Cybersicherheit?
Unter der Einhaltung von Vorschriften und Sicherheitsvorschriften im Finanzbereich versteht man die Einhaltung von Gesetzen und Sicherheitsvorschriften, die den Mindeststandard für die Datensicherheit in der Finanzbranche festlegen.
Diese Vorschriften werden entweder von Regierungen oder maßgeblichen Sicherheitsbehörden erlassen und ihre Anwendung wirkt sich auf die gesamte Finanzdienstleistungsbranche aus, einschließlich:
- Geschäftsbanken
- Investmentbanken
- Versicherungsgesellschaften
- Brokerfirmen
- CPA-Firmen
- Dienstleistungen in der Vermögensverwaltung
- Investmentfonds
- Kreditgenossenschaften
Das Problem mit der Einhaltung gesetzlicher Vorschriften im Finanzwesen
Eines der Hauptprobleme, die die Cybersicherheits-Compliance im Finanzsektor stören, ist die schiere Menge an unterschiedlichen Sicherheitsstandards und die erheblichen Überschneidungen zwischen ihnen - ein zu erwartendes Problem für die am stärksten regulierte aller Branchen.
Dies kann gelöst werden, indem man sich nur auf die Vorschriften konzentriert, die für Finanzorganisationen obligatorisch sind, und diejenigen vermeidet, die optional sind.
Der Vorteil der Beibehaltung optionaler regulatorischer Standards besteht darin, dass die Hinzufügung ihrer Sicherheitskontrollen die Cybersicherheitsrisiken weiter verringern könnte.
Dieser Aufwand ist jedoch in der Regel kontraproduktiv, da sich die Sicherheitskontrollen zwischen verpflichtenden und optionalen Standards überschneiden.
Eine viel bessere Alternative besteht darin, Sicherheitslösungen zu implementieren, die die wünschenswerten Sicherheitsvorteile optionaler Standards bieten, anstatt Sicherheitsteams mit ganzen optionalen Frameworks und ihren redundanten Sicherheitskontrollen zu überfordern.
Das Verständnis des Unterschieds zwischen einer Regulierung und einem Cyber-Framework ist eine entscheidende Voraussetzung für die Einhaltung einer Finanzregulierung. Dieser Beitrag erklärt den Unterschied zwischen den beiden.
Top 8 Cybersicherheitsvorschriften im Finanzsektor
Jede der folgenden Cybersicherheitsvorschriften unterstützt die Sicherheit von Kundendaten und die Widerstandsfähigkeit gegen Datenschutzverletzungen. Um das Verständnis dieses komplexen Themas zu erleichtern, sind neben jeder aufgeführten Verordnung auch die folgenden nützlichen Informationen enthalten:
- Liste der betroffenen Regionen
- Ob die Verordnung verbindlich ist oder nicht
- Bußgelder bei Nichteinhaltung
- Links zu Compliance-Ressourcen
Diese Liste wird nicht in einer absichtlichen Reihenfolge dargestellt.
EU-DSGVO
Die Europäische Datenschutz-Grundverordnung (EU-DSGVO) ist ein Sicherheitsrahmen der Europäischen Union, der ihre Bürger vor der Kompromittierung personenbezogener Daten schützen soll.
Alle Unternehmen, die Daten verarbeiten, die mit EU-Bürgern verknüpft sind, entweder manuell oder durch automatisierte Mechanismen, müssen die DSGVO einhalten.
Beispiele für Datenverarbeitungen sind:
- Einreichungen von Website-Formularen.
- Sammeln von Cookie-Daten von Webbesuchern.
- Versenden von Marketing-E-Mails.
- Speicherung von IP-Adressen.
- Veröffentlichung von Fotos oder persönlichen Details über eine Person auf einer Website.
- Das Schreddern von Dokumenten enthielt persönliche Informationen.
Die DSGVO legt separate Sicherheitsrichtlinien für Datenverantwortliche und Datenverarbeiter fest, um den gesamten Lebenszyklus von Nutzerdaten zu sichern.
Ist die Einhaltung der DSGVO verpflichtend?
Ja. Die EU schreibt die Einhaltung der DSGVO für Finanzdienstleistungen vor, die personenbezogene Daten von EU-Bürgern erheben oder verarbeiten, unabhängig vom physischen Standort des Unternehmens.
Zum Beispiel müsste ein Unternehmen, das eine SaaS-Lösung an einen internationalen Kundenstamm - einschließlich Europa - verkauft, die DSGVO einhalten, selbst wenn sich der Hauptsitz des Unternehmens in den Vereinigten Staaten befindet.
Laut einer PwC-Umfrage stufen 92 % der US-Unternehmen die Einhaltung der DSGVO als oberste Priorität ein.
Die Einhaltung der DSGVO für Drittanbieter wird am effizientesten durch DSGVO-spezifische Sicherheitsfragebögen verfolgt - diese Art von Fragebogen ist auf der UpGuard-Plattform verfügbar.
Welche Länder fallen unter die DSGVO?
>Jede Organisation muss die DSGVO einhalten, wenn sie Daten von EU-Bürgern verarbeitet, d. h. von Einwohnern der folgenden Länder:
- Österreich
- Belgien
- Bulgarien
- Kroatien
- Republik Zypern
- Tschechische Republik
- Dänemark
- Estland
- Finnland
- Frankreich
- Deutschland
- Griechenland
- Ungarn
- Irland
- Italien
- Lettland
- Litauen
- Luxemburg
- Malta
- Niederlande
- Polen
- Portugal
- Rumänien
- Slowakei
- Slowenien
- Spanien
- Schweden
- Vereinigtes Königreich
Wenn Ihr Geschäftsmodell für internationale Kunden offen ist, ist es am sichersten, die DSGVO einzuhalten, um Sie zu schützen, falls ein EU-Bürger mit Ihrer Website interagiert.
Welche Strafen drohen bei Nichteinhaltung der DSGVO?
Die maximale Geldstrafe beträgt 20 Millionen Euro (ca. 23 Millionen USD) oder 4 % des Jahresumsatzes (je nachdem, welcher Betrag höher ist).
Ressourcen zur Einhaltung der DSGVO
Die folgende Liste kostenloser Ressourcen kann Unternehmen dabei helfen, die Einhaltung der DSGVO zu erreichen:
- 10-Schritte-Checkliste: Wie man im Jahr 2021 DSGVO-konform wird (UpGuard)
- Alles, was Sie über die Einhaltung der DSGVO wissen müssen (GDPR.EU)
UK-DSGVO
Durch den Brexit hat das Vereinigte Königreich jegliche Zugehörigkeit zur europäischen Politik, einschließlich der europäischen DSGVO, aufgehoben.
Dies hat das Vereinigte Königreich dazu veranlasst, eine eigene Version der EU-DSGVO zu erstellen, die als Datenschutz-Grundverordnung des Vereinigten Königreichs (UK-DSGVO) bekannt ist.
Allerdings gilt die EU-DSGVO weiterhin für das Vereinigte Königreich, da sie im nationalen Recht als UK-DSGVO beibehalten wird.
Mit anderen Worten, die britische DSGVO behält immer noch die EU-DSGVO-Gesetze bei, sie wurden nur leicht geändert, um bestimmte Bereiche des nationalen Rechts im Vereinigten Königreich zu berücksichtigen.
Ein weiterer Unterschied besteht darin, dass sich die UK-DSGVO ausschließlich auf den Schutz der personenbezogenen Daten von Einwohnern des Vereinigten Königreichs konzentriert.
Ist die Einhaltung der UK-DSGVO obligatorisch?
Ja. Jedes Unternehmen, das personenbezogene Daten von Personen mit Sitz im Vereinigten Königreich sammelt oder verarbeitet, muss die UK-DSGVO einhalten.
Welche Länder fallen unter die britische DSGVO?
Die britische DSGVO gilt für jedes Land im Vereinigten Königreich.
Was sind die Strafen für die Nichteinhaltung der britischen DSGVO?
Die Höchststrafe für die Nichteinhaltung der britischen DSGVO beträgt 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).
Ressourcen zur Einhaltung der UK-DSGVO
Die folgende Liste kostenloser Ressourcen könnte die Einhaltung der britischen DSGVO unterstützen:
- Das Datenschutzgesetz 2018 (Gov.uk)
- Vergleiche: DPA 1998 vs. UK GDPR und DPA 2018 (Thomas Reuters Practical Law)
- Leitfaden zur Datenschutz-Grundverordnung des Vereinigten Königreichs (Information Commissioner's Office)
Erfahren Sie, wie UpGuard Intercontinental Exchange bei Schwachstellenmanagement und Compliance unterstützt.
Lesen Sie die Fallstudie >
SOX
Der Sarbanes-Oxley (SOX) Act von 2002 ist ein Gesetz, das vom US-Kongress verabschiedet wurde, um Anleger vor Finanzbetrug zu schützen.
Das SOX-Framework beschreibt bewährte Sicherheitspraktiken zur Vermeidung betrügerischer Finanztransaktionen durch ein System interner Überprüfungen.
In jüngster Zeit hat sich SOX zu mehr als nur einem Framework entwickelt, um die Genauigkeit von Finanzunterlagen zu gewährleisten. Es enthält jetzt Cybersicherheitskomponenten, um sicherzustellen, dass Finanzinstitute häufige Cybersicherheitsrisiken bewältigen, die sich auf Finanzaktivitäten auswirken könnten.
Ein Beispiel für eine solche Cyberbedrohung sind Phishing-Angriffe. Bei diesen Angriffen geben sich Hacker häufig als CEOs und CFOs aus, um Mitarbeiter davon zu überzeugen, betrügerische Transaktionen zu initiieren. Ubiquiti litt unter einem solchen Ereignis.
Die SOX-Compliance unterstützt jetzt auch die Implementierung von Sicherheitskontrollen für Ressourcen und IT-Infrastrukturen, in denen Finanzdaten gespeichert sind.
Ist die Einhaltung von SOX obligatorisch?
Die SOX-Compliance ist für alle börsennotierten Unternehmen, einschließlich derjenigen im Finanzsektor, obligatorisch.
Da SOX gemeinsame Sicherheitskontrollen mit dem NIST teilt, kann die SOX-Compliance mit den folgenden Kontrollen aus dem NIST Cybersecurity Framework (CSF) unterstützt werden:
- Bereitstellen von Risikobewertungen - Risikobewertungen sind eine der besten Möglichkeiten, um Mängel bei der Einhaltung gesetzlicher Vorschriften zu entdecken, sowohl intern als auch für jeden Drittanbieter.
- Schutz kritischer Ressourcen - Assets, die vertrauliche Informationen enthalten, die für die Geschäftskontinuität von entscheidender Bedeutung sind, erfordern einen erheblichen Schutz vor Cyberkriminellen. Dieser Prozess beginnt mit der Identifizierung aller kritischen Assets und der Quantifizierung der geschäftlichen Auswirkungen, wenn sie kompromittiert werden.
- Legen Sie einen regelmäßigen Prüfungsplan fest - Um die SOX-Konformität nachzuweisen, sind zwei jährliche Audits erforderlich - eine durch eine externe unabhängige Prüfstelle und eine durch die Organisation -, um die internen Kontrollen und die Beiträge des Managements zur Unterstützung der kontinuierlichen Verbesserung des Finanzdatenschutzes hervorzuheben.
- Harmonisierung von Cybersicherheitsinitiativen - Um eine schnelle Verbesserung der Sicherheitslage zu unterstützen, ist Governance erforderlich, um die Sicherheitsbemühungen im gesamten Unternehmen zu harmonisieren. Eine tiefgreifende Transparenz der Angriffsfläche ist der Schlüssel dazu.
- Sicherstellung der Geschäftskontinuität - Legen Sie Richtlinien fest, die die Geschäftskontinuität im Falle eines Cyberangriffs nachweisen. Dies kann mit einem Incident Response Plan (IRP) erreicht werden.
Welche Länder sind von SOX betroffen?
Von nur öffentlichen Organisationen in den Vereinigten Staaten wird erwartet, dass sie SOX einhalten.
Was sind die Strafen für die Nichteinhaltung von SOX?
Zu den Strafen für die Nichteinhaltung von SOX gehören:
- Delisting an der Börse
- Ausfall der Offiziershaftpflichtversicherung (D&O)
- Abberufung von Geschäftsführern
Auch das Management wird bestraft, wobei die Schwere zunimmt, wenn Betrug vorsätzlich begangen wird.
Wenn ein CEO oder CFO absichtlich einen periodischen Bericht zertifiziert, der nicht den SOX-Anforderungen entspricht:
- Sie können bis zu 10 Jahre ins Gefängnis kommen.
- Sie könnten mit einer Geldstrafe von bis zu 1 Million US-Dollar belegt werden.
Wenn ein CEO oder CFO absichtlich die Zertifizierung fälscht:
- Sie können bis zu 20 Jahre ins Gefängnis kommen.
- Sie könnten mit einer Geldstrafe von bis zu 5 Millionen US-Dollar belegt werden.
SOX-Compliance-Ressourcen
Die folgende Liste kostenloser Ressourcen kann Organisationen dabei helfen, die SOX-Compliance zu erreichen:
- Was ist SOX-Compliance? Anforderungen, Kontrollen und mehr für 2021 (UpGuard).
- Sarbanes-Oxley Section 404: Ein Leitfaden für kleine Unternehmen (SEC).
- Sarbanes-Oxley (SOX) Compliance-Anforderungen (McAfee).
PCI DSS
Die Payment Card Industry (PCI) Data Security Standards (DSS) - kurz PCI DSS - sind eine Reihe von Standards zur Reduzierung von Kreditkartenbetrug und zum Schutz der persönlichen Daten von Kreditkarteninhabern.
Die Sicherheitskontrollen dieser Verordnung sind so konzipiert, dass sie die drei Hauptphasen des Lebenszyklus von Karteninhaberdaten absichern:
- Verarbeitung
- Lagerung
- Übertragung
Ist die Einhaltung von PCI DSS verpflichtend?
Jedes Unternehmen, das Kreditkarteninformationen von Kunden verarbeitet, muss PCI DSS einhalten, einschließlich Händler und Anbieter von Zahlungslösungen.
Welche Länder sind von PCI DSS betroffen?
PCI DSS ist ein international anerkannter Standard, der für alle Unternehmen weltweit gilt, die Kreditkartendaten verarbeiten.
Von den Händlern wird erwartet, dass sie Self Assessment Questionnaires (SAQs) ausfüllen, um die Einhaltung der Vorschriften zu validieren. Je nach Größe des Händlers gibt es unterschiedliche Grade von Compliance-Prozessen.
Beispielsweise benötigen Händler, die Millionen von Transaktionen verarbeiten, jährliche Vor-Ort-Audits, die von einem qualifizierten Sicherheitsgutachter durchgeführt werden.
Welche Strafen drohen bei Nichteinhaltung von PCI DSS?
Die Nichteinhaltung von PCI DSS kann zu Geldstrafen zwischen 5.000 und 100.000 US-Dollar pro Monat führen, bis die Einhaltung erreicht ist.
PCI DSS-Compliance-Ressourcen
Die folgende Liste kostenloser Ressourcen kann Unternehmen dabei helfen, die PCI DSS-Konformität zu erreichen:
- PCI-Konformität ohne Kopfschmerzen (UpGuard).
- Best Practices für die Überwachung der Cybersicherheit im Jahr 2021 (UpGuard).
- Payment Card Industry (PCI)Fragebogen zur Selbstbewertung des Datensicherheitsstandards (PCI-Sicherheitsstandards).
- So bereiten Sie sich auf ein PCI DSS Audit vor (UpGuard)
- Erfüllung der Third-Party-Risikoanforderungen von PCI DSS (UpGuard)
BSA
Der Bank Secrecy Act (BSA), auch bekannt als Currency and Foreign Transactions Reporting Act, zielt darauf ab, Finanzinstitute daran zu hindern, während eines Cyberangriffs vorsätzlich oder gewaltsam Geld zu waschen.
Die BSA zwingt Finanzinstitute, im Kampf gegen Finanzkriminalität mit der US-Regierung zusammenzuarbeiten.
Die Einhaltung der BSA wird vom Office of the Comptroller of the Currency (OCC) durch regelmäßige Audits geregelt. Von den Banken wird erwartet, dass sie die Legitimität aller Währungstransaktionen überprüfen.
Im Rahmen des BSA wird von den Nationalbanken erwartet, dass sie Kontrollen einführen, die:
- Aufdeckung und Abschreckung von Geldwäscheaktivitäten
- Aufdeckung von Terrorismusfinanzierung
- Erleichterung der rechtzeitigen Meldung von Geldwäscheaktivitäten an die Strafverfolgungsbehörden
Um die Kompromittierung interner Finanzaktivitäten zu minimieren, wird von den Banken erwartet, dass sie in ihrem Incident Response Plan klare Arbeitsabläufe zur Behebung von Datenschutzverletzungen festlegen.
Ist die Einhaltung des Bank Secrecy Act (BSA) verpflichtend?
Die Einhaltung der BSA ist für Finanzinstitute, die Geld von Kunden annehmen, obligatorisch, einschließlich:
- Nationalbanken
- Föderale Zweigstellen
- Agenturen ausländischer Banken
- Sparverbände des Bundes
Gemäß der BSA müssen alle großen Transaktionen über 10.000 US-Dollar bis zum 15. Tag nach dem Ereignis durch Einreichen des Formulars 8300 gemeldet werden.
Welche Länder sind vom Bank Secrecy Act (BSA) betroffen?
Das BSA ist das wichtigste Gesetz zur Bekämpfung von Geldwäsche in den Vereinigten Staaten.
Welche Strafen drohen bei Nichteinhaltung des Bank Secrecy Act (BSA)?
Eine Einzelperson oder ein Bankangestellter, der des vorsätzlichen Verstoßes gegen das BSA für schuldig befunden wird, kann mit einer Geldstrafe von bis zu 250.000 US-Dollar und einer Gefängnisstrafe von bis zu fünf Jahren belegt werden.
Ressourcen zur Einhaltung des Bankgeheimnisses (BSA)
Die folgende Liste kostenloser Ressourcen könnte Organisationen dabei helfen, die Einhaltung des Bank Secrecy Act (BSA) zu erreichen:
- BSA/AML-Handbuch (FFIEC).
- Gesetz über das Bankgeheimnis (OCC).
- Gesetz über das Bankgeheimnis/Bekämpfung der Geldwäscherei (FDIC).
GLBA
Der Gramm-Leach-Bliley Act (GLBA) verlangt von Finanzinstituten, Kundendaten zu schützen und alle Praktiken des Datenaustauschs mit Kunden ehrlich offenzulegen.
Nach diesem US-Gesetz müssen Finanzinstitute Sicherheitskontrollen einrichten, um Kundeninformationen vor Ereignissen zu schützen, die die Datenintegrität und -sicherheit bedrohen. Dazu gehören strenge Kontrollen für den Zugriff auf Finanzinformationen, um die Wahrscheinlichkeit eines unbefugten Zugriffs und einer Kompromittierung zu verringern.
Unternehmen, von denen erwartet wird, dass sie den GLBA einhalten, sind in der Regel auch verpflichtet, die FTC Safeguards-Regel (eine Teilmenge des GLBA) einzuhalten.
Erfahren Sie, wie Sie die FTC Safeguards-Regel einhalten können >
Ist die GLBA-Konformität obligatorisch?
Ja. Die GLBA-Konformität ist für alle US-Organisationen, die Finanzprodukte oder -dienstleistungen verkaufen, obligatorisch.
Zu den Finanzunternehmen, die den GLBA einhalten müssen, gehören solche, die:
- Verkaufen Sie Finanzprodukte.
- Verkaufen oder bieten Sie Finanzdienstleistungen an.
- Bieten Sie Finanzkredite an.
- Bieten Sie jegliche Finanz- oder Anlageberatung an.
- Verkaufen Sie Versicherungen.
Welche Strafen drohen bei Nichteinhaltung des Gramm-Leach-Bliley Act (GLBA)?
Es gibt separate Strafen für die Nichteinhaltung, die für die verletzende Organisation und ihre leitenden Angestellten und Direktoren gelten.
Die Strafen für Verstöße gegen Organisationen sind:
- Eine zivilrechtliche Strafe von bis zu 100.000 US-Dollar pro Verstoß.
- Geldbußen gemäß Titel 18 des United States Code.
Die Strafen für Verstöße gegen leitende Angestellte und Direktoren sind:
- Eine zivilrechtliche Strafe von bis zu 10.000 US-Dollar pro Verstoß.
- Freiheitsstrafe bis zu 5 Jahren.
Compliance-Ressourcen für den Gramm-Leach-Bliley Act (GLBA)
Die folgende Liste kostenloser Ressourcen kann Organisationen dabei helfen, die Einhaltung des Gramm-Leach-Bliley Act (GLBA) zu erreichen:
- GLBA-Compliance-Anforderungen (McAfee).
- Was ist der Gramm-Leach-Bliley Act (UpGuard)?
- Gramm-Leach-Bliley-Gesetz (Federal Trade Commission).
Erfahren Sie, wie UpGuard XINJA dabei hilft, die Risiken von Drittanbietern kontinuierlich zu überwachen.
Lesen Sie die Fallstudie >
PSD 2
Die Zahlungsdiensterichtlinie (PSD 2) ist eine Richtlinie der Europäischen Union zur Förderung des Wettbewerbs im Bankensektor.
PSD-2 ist Teil des Payment Card Industry Data Security Standard (PCI DSS) für die Sicherheit von Finanzdaten.
Um die Sicherheit der Bankaktivitäten in der EU zu erhöhen, enthält die PSD 2 auch Vorschriften zum Schutz von Online-Zahlungen, zur Verbesserung der Sicherheit von Kundendaten und zur starken Kundenauthentifizierung (z. B. Multi-Faktor-Authentifizierung).
Ist die PSD 2-Konformität obligatorisch?
Ja. Alle Banken und Finanzinstitute in der Europäischen Union müssen die PSD 2-Richtlinien einhalten.
Was ist die Strafe für die Nichteinhaltung von PSD 2?
Die Strafe für die Nichteinhaltung der PSD 2 ist eine Geldstrafe von bis zu 20.000.000 EUR (ca. 23 Mio. USD) oder 4% des Jahresumsatzes (je nachdem, welcher Betrag höher ist).
Welche Länder sind von PSD 2 betroffen?
Alle Länder in der Europäischen Union sind von PSD 2 betroffen.
PSD 2-Compliance-Ressourcen
Die folgende Liste kostenloser Ressourcen kann Unternehmen dabei helfen, die Einhaltung der Zahlungsdiensterichtlinie (PSD 2) zu erreichen.
- PSD2-Verordnung - Machen Sie sich bereit mit Thales (Thales).
- PSD2-Verordnung: So werden Sie PSD2-konform (Jotform).
- Zahlungsdiensterichtlinie (Adobe).
FFIEC
Der Federal Financial Institutions Examination Council (FFIEC) ist ein behördenübergreifendes Gremium, das sich zum Ziel gesetzt hat, einheitliche Grundsätze für bewährte Verfahren für Finanzinstitute vorzuschreiben.
Die FFIEC wird von den folgenden fünf Finanzaufsichtsbehörden geleitet:
- Der Gouverneursrat der Federal Reserve (FRB) - reguliert die inländischen Banken
- Die Federal Deposit Insurance Corporation (FDIC) - reguliert die Bundesbanken
- Das Office of the Comptroller of the Currency (OCC) - reguliert die Bundesbanken
- Die National Credit Union Administration (NCUA) - reguliert Kreditgenossenschaften.
- Consumer Financial Protection Bureau (CFPB) - Reguliert Banken, Sparkassen und Kreditgenossenschaften.
Das FFIEC beschreibt seine Cybersicherheitsrichtlinien in seiner Reihe "Information Technology examination handbook", die aus den folgenden 10 Handbüchern besteht:
- Rechnungsprüfung.
- Geschäftskontinuität.
- Entwicklung und Akquisition.
- Informationssicherheit.
- Management.
- Architektur, Infrastruktur und Betrieb.
- Outsourcing von Technologiedienstleistungen.
- Zahlungssysteme für den Einzelhandel.
- Aufsicht über Technologiedienstleister.
- Zahlungssysteme für den Großhandel.
Alle diese Broschüren können über das vollständige FFIEC IT-Handbuch abgerufen werden.
Ist die Einhaltung von FFIEC verpflichtend?
Ja. Alle eidgenössisch beaufsichtigten Finanzinstitute, einschliesslich ihrer Tochtergesellschaften, müssen die FFIEC-Vorschriften einhalten.
Erfahren Sie, wie Sie die Anforderungen des FFIEC-> an das Third-Party-Risiko erfüllen können
Welche Länder werden vom FFIEC abgedeckt?
Die FFIEC-Vorschriften gelten für Finanzunternehmen in den Vereinigten Staaten.
Welche Strafen drohen bei Nichteinhaltung der FFIEC?
Die Nichteinhaltung der FFIEC-Vorschriften kann zu Geldstrafen von bis zu 2 Millionen US-Dollar führen.
Die Höchststrafe für die Nichteinhaltung der britischen DSGVO beträgt 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).
FFIEC-Compliance-Ressourcen
Die folgende Liste kostenloser Ressourcen könnte die FFIEC-Compliance unterstützen:
- FFIEC IT-Broschüren (FFIEC).
So halten Sie die Einhaltung von Cybersicherheitsvorschriften im Finanzsektor aufrecht
Viele der sich überschneidenden Sicherheitskontrollen in diesen Vorschriften können mit den folgenden Best Practices für die Cybersicherheit angegangen werden.
Implementierung einer Zero-Trust-Architektur (ZTA)
Eine Zero-Trust-Architektur geht davon aus, dass alle Netzwerkaktivitäten bösartig sind, bis das Gegenteil bewiesen ist. Dieses Framework fördert ein sichereres Privileged Access Management und erschwert Cyberkriminellen den Zugriff auf sensible Ressourcen.
Implementieren Sie ein Risikomanagementprogramm für Drittanbieter
Eine TPRM-Lösung sichert das gesamte Netzwerk von Drittanbietern, indem sie die Einhaltung von Sicherheitsbewertungen testet und Verbesserungen der Cybersicherheit mit Sicherheitsbewertungen bestätigt.
Fortschrittliche TPRM-Lösungen können auch die Antworten auf Sicherheitsbewertungen auf verbindliche Vorschriften abbilden, die mit jedem Anbieter verbunden sind, um Mängel aufzudecken, die die Einhaltung von Vorschriften verhindern.
Erkennen und Beheben von Datenlecks
Datenlecks beschleunigen nicht nur Datenschutzverletzungen, sondern legen auch sensible Informationen offen, die gegen gesetzliche Richtlinien verstoßen könnten.
Eine Lösung zur Erkennung von Datenlecks, die in der Lage ist, diese Gefährdungen sowohl intern als auch im gesamten Anbieternetzwerk zu beheben, könnte übersehene Verstöße gegen gesetzliche Vorschriften und die damit verbundenen Strafen verhindern.
Verwenden Sie eine Lösung zur Überwachung der Angriffsfläche
Eine Lösung zur Überwachung der Angriffsfläche hilft bei der schnellen Erkennung und Behebung von Schwachstellen, die Datenschutzverletzungen erleichtern könnten. Eine solche Lösung hilft Finanzdienstleistern, ihre Sicherheitslage zu verbessern und die strengen Anforderungen an die Cybersicherheit zu erfüllen, die in den meisten Vorschriften gelten.
UpGuard hat eine Lösung für das Angriffsflächenmanagement entwickelt, die speziell auf die einzigartigen Cybersicherheitsrisiken und gesetzlichen Compliance-Anforderungen der Finanzbranche zugeschnitten ist.
Erfahren Sie, wie UpGuard Finanzdienstleister > schützt