Was ist 23 NYCRR 500 und erfüllt Ihre Organisation die Anforderungen? Drei wichtige Neuerungen und ihre Auswirkungen auf Ihren Green-Screen-Hostzugriff

Im Jahr 2017 erließ das New Yorker Finanzdienstleistungsministerium (NYDFS) die Cybersicherheitsverordnung 23 NYCRR 500. Diese Verordnung legt spezifische Anforderungen für Finanzdienstleistungsunternehmen im Bundesstaat New York oder mit Geschäftstätigkeit in New York fest, darunter Banken, Versicherungen und andere Finanzdienstleister, um nicht-öffentliche Informationen zu schützen. Die Verordnung ist seither für jedes im Bundesstaat tätige Unternehmen unerlässlich, und Verstöße können hohe Strafen und Bußgelder nach sich ziehen.

Das NYDFS hat kürzlich Aktualisierungen zu 23 NYCRR 500 veröffentlicht, die mehrere Änderungen und neue Anforderungen mit sich bringen, die Unternehmen zur Einhaltung der Vorschriften erfüllen müssen. Diese Aktualisierungen umfassen Änderungen in der Cybersicherheits-Governance, Richtlinien zur Verschlüsselung nicht-öffentlicher Informationen (NPI) sowie die erforderlichen Maßnahmen für Kontinuitäts- und Vorfallmanagement.

Angesichts komplexer, aber dennoch unerlässlicher regulatorischer Anforderungen müssen Organisationen, die auf Terminalemulation und Greenscreen-Zugriff für Mainframe-Systeme angewiesen sind, sicherstellen, dass sie mit den richtigen Werkzeugen ausgestattet sind, die dazu beitragen, die bestehende IT-Infrastruktur sicher und mit sich ändernden Richtlinien konform zu halten.

Doch was genau ändert sich für Unternehmen im Bundesstaat New York? Schauen wir uns das genauer an.

NYDFS-Cybersicherheitsvorschriften: Was hat sich geändert?

Seit ihrer Einführung wurde die Verordnung weiterentwickelt, um sich an die sich wandelnde Cybersicherheitslandschaft anzupassen. Die jüngste Aktualisierung betrifft drei Schlüsselbereiche:

• Governance der Cybersicherheit – Gemäß den jüngsten Änderungen müssen Chief Information Security Officers (CISOs) nun Pläne zur Behebung wesentlicher Sicherheitslücken in schriftlichen Berichten an die obersten Führungsgremien darlegen. CISOs sind außerdem verpflichtet, diesen Gremien oder Führungskräften über wesentliche Cybersicherheitsthemen zu berichten, darunter bedeutende Cybersicherheitsereignisse oder Änderungen an ihrem Cybersicherheitsprogramm. Die obersten Führungsgremien der Unternehmen und Organisationen müssen ihrerseits die Aufsicht über das Cybersicherheitsrisikomanagement ausüben.
• Verschlüsselung nichtöffentlicher Informationen – Dies bedeutet, dass Organisationen eine schriftliche Richtlinie implementieren müssen, die eine den Branchenstandards entsprechende Verschlüsselung vorschreibt. Organisationen dürfen keine wirksamen alternativen Ausgleichsmaßnahmen mehr für die Verschlüsselung nichtöffentlicher Informationen während der Übertragung über externe Netzwerke verwenden. Für die Verschlüsselung ruhender nichtöffentlicher Informationen können jedoch wirksame Ausgleichsmaßnahmen eingesetzt werden, sofern diese mindestens jährlich vom CISO schriftlich geprüft und genehmigt werden.
• Reaktion auf Sicherheitsvorfälle und Geschäftskontinuitätsmanagement – Notfallpläne bleiben auch nach diesen Änderungen erforderlich, müssen jedoch mindestens jährlich gemäß den Vorgaben aktualisiert und getestet werden. Geschäftskontinuitäts- und Katastrophenschutzpläne, die auf Cybersicherheitsstörungen abzielen, müssen ebenfalls vorhanden sein. Betroffene Organisationen sind verpflichtet, alle an der Umsetzung der Pläne beteiligten Mitarbeiter zu schulen, die Pläne mit Schlüsselpersonal zu testen, sie bei Bedarf zu überarbeiten, die Wiederherstellung kritischer Daten und Informationssysteme aus Backups zu testen und die für die Wiederherstellung wesentlicher Geschäftsprozesse notwendigen Backups zu pflegen und angemessen zu schützen.

Diese Änderungen beinhalten auch neue Anforderungen für kleine Unternehmen. Diese Organisationen müssen nun Richtlinien implementieren, die die Multi-Faktor-Authentifizierung (MFA) für jeden Fernzugriff auf ihre Informationssysteme, den Fernzugriff auf Anwendungen von Drittanbietern, bei denen nicht-öffentliche Informationen (NPI) zugänglich sind (einschließlich Cloud-Anwendungen), und privilegierte Konten umfassen. Außerdem sind diese Organisationen nun verpflichtet, mindestens einmal jährlich Schulungen zur Sensibilisierung für Cybersicherheit für alle Mitarbeiter anzubieten. Diese Schulungen müssen Social Engineering wie Phishing, Business Email Compromise (BEC) und KI-gestützte Techniken wie Deepfakes abdecken.

Rocket Software und sicherer Zugriff auf den Greenscreen-Host

Angesichts der geänderten Sicherheits- und Fernzugriffsrichtlinien des Bundesstaates New York müssen Unternehmen ihre Terminalemulationsfunktionen priorisieren. Jetzt ist der ideale Zeitpunkt, sich an Drittanbieter zu wenden. Rocket Software bietet beispielsweise speziell positionierte Lösungen, die es Unternehmen, die dieser Regulierung unterliegen, ermöglichen, sich an die neuen Anforderungen anzupassen und weiterzuentwickeln.

Für Organisationen, die den Zugriff auf Mainframes unter Einhaltung strenger Sicherheitsvorgaben verwalten müssen, bietet Rocket Software mit seinen sicheren Green-Screen-Hostzugriffsfunktionen eine unterbrechungsfreie Modernisierung des Mainframe-Zugriffs. Rocket vereinfacht die Verwaltung von Mainframe-Terminalemulationssitzungen und die Überwachung des Verschlüsselungsstatus – ein Aspekt, der angesichts der jüngsten Entwicklungen im Bereich NPI (New Product Innovation) noch wichtiger geworden ist.

Erweiterung der Zugriffsverwaltung auf Mainframe-Anwendungen

Rocket unterstützt Unternehmen auch bei der Erweiterung ihrer Identity- und Access-Management-Lösungen (IAM) um den Anwendungszugriff auf Mainframe-Hosts. So können sie wichtige MFA-Tools nutzen und den Anwendungszugriff sichern. Angesichts der sich ändernden Anforderungen gemäß 23 NYCRR 500 wird es entscheidend sein, sicherzustellen, dass die Systemzugriffsparameter sowohl den Unternehmensrichtlinien als auch externen Vorschriften entsprechen – insbesondere da regelmäßige Risikobewertungen immer wichtiger werden. Mit Mainframe-Sicherheitsdiensten wie Compliance-Assessments bietet Rocket Software Unternehmen mehr Kontrolle über den Zugriff auf kritische Systeme.

Erfahren Sie mehr darüber, wie Rocket Software Ihr Unternehmen bei der Anpassung an die neuesten Sicherheitsbestimmungen unterstützen kann.