FFIEC und seine Anforderungen an das Risikomanagement von Drittanbietern

Der Federal Financial Institutions Examination Council (FFIEC) hat Cybersicherheitsstandards festgelegt, um Finanzinstitute vor der wachsenden Bedrohung durch Cyberangriffe zu schützen. Da Sicherheitsrisiken von Drittanbietern schnell zu einem der kritischsten Angriffsvektoren werden, die Datenschutzverletzungen im Finanzsektor erleichtern, nimmt die FFIEC in ihren IT-Broschüren robuste Anforderungen an das Risikomanagement von Drittanbietern auf.

Third-Party Risk Management (TPRM) ist jedoch noch eine relativ neue und komplizierte Disziplin der Cybersicherheit, die viele staatlich beaufsichtigte Finanzinstitute noch nicht beherrschen.

Um Verwirrung über die Anforderungen des FFIEC an Risiken für Dritte und die daraus resultierenden Bußgelder für die Nichteinhaltung zu vermeiden, wird in diesem Beitrag klar erläutert, wie alle Anforderungen des FFIEC an das Risikomanagement von Drittanbietern eingehalten werden können.

Wer muss sich an den FFIEC halten?

Alle staatlich beaufsichtigten Finanzinstitute müssen den FFIEC einhalten. Beispiele für staatlich beaufsichtigte Finanzinstitute sind:

• In- und Bundesbanken
• Kreditgenossenschaften
• Sparsamkeiten

Welche Strafen drohen bei Nichteinhaltung des FFIEC?

Die FFIEC ist ein Prüfungsgremium, das die Einhaltung der Vorschriften durch die folgenden fünf Finanzaufsichtsbehörden überwacht:

• Der Gouverneursrat der Federal Reserve (FRB) - reguliert die inländischen Banken
• Die Federal Deposit Insurance Corporation (FDIC) - reguliert die Bundesbanken
• Das Office of the Comptroller of the Currency (OCC) - reguliert die Bundesbanken
• Die National Credit Union Administration (NCUA) - reguliert Kreditgenossenschaften.
• Consumer Financial Protection Bureau (CFPB) - Reguliert Banken, Sparkassen und Kreditgenossenschaften.

Diese Aufsichtsbehörden führen Audits durch, um die Übereinstimmung mit den Cybersicherheitsstandards der FFIEC zu bewerten. Die Strafen für Verstöße hängen vom Grad der Nichteinhaltung ab und davon, welche Aufsichtsbehörde die Prüfung durchführt.

Nicht alle Fälle der Nichteinhaltung können zu einer Geldstrafe führen. Einige Prüfer könnten auf einen Verstoß mit einer Unterlassungsverfügung reagieren, während andere Geldstrafen von bis zu 2 Millionen US-Dollar verhängen könnten.

Ob durch einen langanhaltenden Reputationsschaden oder eine Geldstrafe, die Konsequenzen für die Nichteinhaltung der FFIEC-Standards sind immer sehr kostspielig.

Was ist das FFIEC IT-Prüfungshandbuch?

Das FFIEC IT Examination Handbook beschreibt die empfohlenen Cybersicherheitsrichtlinien für Finanzdienstleistungen in den folgenden 10 Broschüren:

1. Rechnungsprüfung.
2. Geschäftskontinuität.
3. Entwicklung und Akquisition.
4. Informationssicherheit.
5. Management.
6. Architektur, Infrastruktur und Betrieb.
7. Outsourcing von Technologiedienstleistungen.
8. Zahlungssysteme für den Einzelhandel.
9. Aufsicht über Technologiedienstleister.
10. Zahlungssysteme für den Großhandel.

Alle diese Broschüren können über das vollständige FFIEC IT-Handbuch abgerufen werden.

Zwei dieser 10 Broschüren befassen sich speziell mit den Risikomanagementstandards der FFIEC für Drittanbieter - Outsourcing Technology Services und Supervision of Technology Service Providers.

4-stufiger Compliance-Leitfaden für die TPRM-Anforderungen von FFIEC

Die folgenden Richtlinien beziehen sich auf alle primären Compliance-Standards des FFIEC für Drittanbieterrisiken.

1. Verstehen Sie Ihr Cybersicherheitsrisiko und Ihre Bereitschaft

Ein Third-Party-Risikomanagement-Programm, das sich an den Sicherheitsrichtlinien von FFIEC orientiert, sollte eine Erweiterung eines etablierten Informationssicherheitsprogramms sein. Um Finanzinstituten mit schlechten Sicherheitsstandards bei der Einführung grundlegender Praktiken für das Cyber-Risikomanagement zu helfen, hat die FFIEC ein kostenloses Cybersecurity Assessment Tool entwickelt, das auf dem Cybersecurity Framework der National Institutes for Standards and Technology basiert.

Erfahren Sie mehr über die NIST CSF->

Sie können dieses Tool verwenden, um eine Lückenanalyse in einer Reihe von Cybersicherheitsbereichen durchzuführen, die mit den primären IT-Sicherheitsinitiativen des FFIEC übereinstimmen:

• Risikomanagement-Prozesse.
• Sicherheit von Kundeninformationen.
• Effektive Audit-Funktionalität für das Risikomanagement.
• Interne Kontrollen.
• Threat Intelligence über Informationssysteme hinweg.
• Endpunkt-Sicherheit.
• Sichere Codierungspraktiken.

Obwohl die Verwendung dieses Tools optional ist, ist es eine sehr empfehlenswerte Methode zur Bewertung der Cybersicherheitsresilienz, wenn Sie derzeit kein etabliertes Cybersicherheitsprogramm haben.

Greifen Sie auf das Cybersecurity Assessment Tool von FFIEC zu >

UpGuard bietet eine Reihe von Funktionen, die ein kontinuierliches Bewusstsein für Cybersicherheitsrisiken in allen häufig ausgenutzten Bereichen der Angriffsfläche unterstützen.

• Sicherheitsbewertungen - Quantitative Bewertungen der Sicherheitslage Ihrer internen IT-Ökosysteme und aller Drittanbieter (einschließlich Subunternehmer), die in Echtzeit aktualisiert werden.
• UpGuard Vendor Risk - Bewerten Sie das Risikoniveau und die Wahrscheinlichkeit einer Datenschutzverletzung bei jedem Anbieter.
• Third-Party Risk Assessment Management - Wählen Sie aus einer Bibliothek von Risikobewertungen, die auf gängigen Cybersicherheits-Frameworks basieren, und verfolgen Sie deren Status.
• Nachverfolgung der Einhaltung gesetzlicher Vorschriften - Ordnen Sie Sicherheitsreaktionen von Drittanbietern gängigen Cybersicherheitsstandards zu, um unerfüllte regulatorische Anforderungen zu identifizieren.
• Erstellung von Cybersicherheitsberichten - Halten Sie den Vorstand und die Geschäftsleitung über den Zustand Ihrer Sicherheitslage und -leistung im Vergleich zu Cybersicherheitskennzahlen auf dem Laufenden.

Fordern Sie eine kostenlose 7-Tage-Testversion von UpGuard > an

2. Implementieren Sie ein Risikomanagementprogramm eines Drittanbieters

Ein Third-Party-Risikomanagement-Programm stattet Finanzinstitute mit der umfassendsten Methode zur Minderung von Cybersicherheitsrisiken durch Beziehungen zu Drittanbietern aus. Die FFIEC erwartet, dass ein TPRM-Programm die letzten grundlegenden Anforderungen erfüllt:

• Due Diligence - Bewerten Sie die Incident-Recovery-Fähigkeiten neuer und bestehender Technology Service Provider (TSPs) und die Ausrichtung an internen Sicherheitsstandards.
• Laufende Überwachung - Kontinuierliche Überwachung des operationellen Risikos, insbesondere bei kritischen Aktivitäten im Zusammenhang mit sensiblen Kundendaten (weitere Informationen zu dieser Anforderung finden Sie unter Punkt 3 unten).
• Verträge - Stellen Sie sicher, dass die Lieferantenverträge die Einhaltung geltender Gesetze, das Recht auf unabhängige Überprüfungen und die Verantwortung Dritter für die Bewältigung von Sicherheitsrisiken vorsehen. Das Recht auf Audit-Vereinbarungen sollte die Häufigkeit und den Namen jedes erforderlichen Berichts enthalten, z. B. SOC 2-Berichte.

Eine Anleitung zur Identifizierung und Kontrolle von Risiken im Zusammenhang mit der Bekämpfung von Geldwäsche finden Sie in diesem Handbuch der FFIEC.

Wenn Sie bereits über ein etabliertes Cybersicherheits-Framework verfügen, sollte ein TPRM-Programm in dieses integriert und nicht ersetzt werden.

Erfahren Sie, wie Sie ein TPRM in ein bestehendes Cyber-Framework implementieren >

UpGuard bietet eine TPRM-Lösung, die den gesamten Lebenszyklus von Sicherheitsrisiken für alle Beziehungen zu Drittanbietern abdeckt. Dieser Leitfaden zum Risikomanagement wird durch die folgenden Funktionen angeboten:

• Due Diligence - Sichern Sie den Onboarding-Prozess des Anbieters mit Sicherheitsbewertung und Angriffsfläche, bevor der Einsatz von Dritten genehmigt wird. Bewerten Sie außerdem das Risikoprofil und das inhärente Risikoniveau neuer TSPs im Hinblick auf die Risikobereitschaft.
• Behebungsmanagement - Verfolgen Sie die Behebungsbemühungen aller entdeckten Schwachstellen und deren prognostizierte Auswirkungen auf die Sicherheitsbewertungen.
• Laufende Überwachung - Echtzeitüberwachung auf neu auftretende Sicherheitsrisiken von Drittanbietern
• Benutzerdefinierte Bewertungen durch Drittanbieter - Erstellen Sie benutzerdefinierte Fragebögen, um die Wirksamkeit der Notfallplanung, der Strategien zur Vermeidung von Serviceunterbrechungen und der finanziellen Bedingungen aller Drittanbieter zu bewerten.
• Compliance-Tracking - Erstellen Sie benutzerdefinierte Fragebögen, um die Einhaltung geltender Gesetze wie dem Gramm-Leach-Bliley Act (GLBA) und den Gesetzen zur Bekämpfung der Geldwäsche durch Drittanbieter zu bewerten.
• Freigegebenes Lieferantenprofil - Lassen Sie Drittanbieter Verträge und andere relevante Dokumentationen in einem gemeinsamen Profil hosten, das den FFIEC-Prüfern leicht zugänglich ist.
• Erkennung von Datenlecks - Erkennen und beheben Sie Datenlecks, die Datenschutzverletzungen von Drittanbietern und andere Risiken von Drittanbietern, die gegen die Sicherheitsstandards der FFIEC verstoßen, beschleunigen könnten.

Fordern Sie eine kostenlose 7-Tage-Testversion von UpGuard > an

3. Laufende Überwachung der Angriffsfläche

Der FFIEC verlangt von Finanzinstituten, dass sie Technology Service Provider (TSPs) kontinuierlich auf mögliche Auswirkungen auf die Ausfallsicherheit von Unternehmen überwachen. Diese Überwachungsbemühungen sollten Bewertungen in den folgenden Schlüsselbereichen umfassen:

• Planung der Geschäftskontinuität (BCP)
• Sicherheitskontrollen.
• Ausrichtung an Service Level Agreements von Anbietern.
• Mögliche Auswirkungen externer Ereignisse (z. B. Sicherheitsvorfälle innerhalb der Lieferkette).

UpGuard überwacht kontinuierlich die Angriffsfläche von Drittanbietern, um aufkommende Risiken von Drittanbietern zu entdecken, die Datenschutzverletzungen erleichtern könnten. Die Ergebnisse dieser Scans speisen dann einen Sicherheitsbewertungsalgorithmus ein, um eine quantitative Analyse der Wirksamkeit der Sicherheitskontrollen jedes Drittanbieters zu erstellen.

Für maßgeschneiderte Überwachungsmaßnahmen bietet UpGuard einen anpassbaren Sicherheitsfragebogen-Builder, der es Finanzinstituten ermöglicht, Sicherheitsbewertungen für praktisch jeden Bereich der FFIEC-Compliance zu erstellen, einschließlich aller vier wesentlichen Überwachungskategorien, die oben aufgeführt sind.

Fordern Sie eine kostenlose 7-Tage-Testversion von UpGuard > an

4. Compliance-Verfolgung durch Dritte

Das FFIEC verlangt vom Management, dass es eine formelle Bewertung durchführt, um den Umfang der Risiken in den folgenden vier Risikokategorien zu ermitteln.

• Reputationsrisiken - Alle Reputationsbedrohungen, die sich aus IT-Fehlern ergeben, einschließlich ineffizienter oder verspäteter Benachrichtigungen über Datenschutzverletzungen an betroffene Kunden.
• Strategische Risiken - Alle Bedrohungen für schlechte strategische Entscheidungen, die durch unzureichende Managementerfahrung verursacht werden.
• Compliance-Risiken - Alle Bedrohungen durch die Nichteinhaltung von Finanzvorschriften, einschließlich der Nichteinhaltung von Drittanbietern.
• Zinsänderungsrisiken - Verarbeitungsfehler, die zu schlechten Anlageentscheidungen führen.

Erfahren Sie, wie Sie das Risiko von Drittanbietern an den Vorstand kommunizieren können >

UpGuard hilft Finanzinstituten, Compliance-Lücken von Anbietern zu identifizieren, die zu einer FFIEC-Verletzung führen könnten, indem es die Antworten auf Sicherheitsfragebögen gängigen Cybersicherheits-Frameworks zuordnet.

Fordern Sie eine kostenlose 7-Tage-Testversion von UpGuard > an

Andere Cybersicherheitsstandards, die die Einhaltung von FFIEC unterstützen könnten

Zu den weiteren Kontrollen, die die Einhaltung der Sicherheitsstandards von FFIEC von Drittanbietern unterstützen könnten, gehören:

• Mult-Faktor-Authentifizierung (MFA) - Implementieren Sie MFA für alle Benutzerkonten, nicht für die Ein-Faktor-Authentifizierung, da Hacker diesen Sicherheitsmechanismus leicht ausnutzen können. Im Idealfall sollte eine adaptive MFA implementiert werden.
• Verschlüsseln Sie alle Online-Transaktionsprozesse (OLTP) - Alle Finanzaktivitäten und vertraulichen Kundeninformationen sollten im Ruhezustand und während der Übertragung verschlüsselt werden.
• Regelmäßige interne Bewertungen - Führen Sie regelmäßige interne und externe Sicherheitsbewertungen durch, um Schwachstellen zu identifizieren und präventiv zu beheben, bevor sie sich zu Sicherheitsverletzungen entwickeln.
• Stellen Sie eine starke Unterstützung des Vorstands und der Geschäftsleitung sicher - Binden Sie den Vorstand und die leitenden Manager in alle Pläne für Informationssicherheitsprogramme ein. Stellen Sie außerdem sicher, dass das Management kontinuierlich über den Status und die Wirksamkeit der Cybersicherheitsbemühungen informiert wird.
• Definieren Sie Cybersicherheitsrollen und -verantwortlichkeiten: Weisen Sie Verantwortlichkeiten für wichtige Cybersicherheitsinitiativen und -reaktionen zu und stellen Sie sicher, dass sie mit den Incident-Response-Plänen übereinstimmen.