Das NAIC-Mustergesetz zur Datensicherheit: Sicherstellung des Greenscreen-Zugriffs auf Versicherungsnehmerdaten

Um dem NAIC-Mustergesetz zur Datensicherheit zu entsprechen, müssen Versicherer den Zugriff ihrer Hostsysteme auf Versicherungsnehmerdaten sichern. Dies erfordert die Modernisierung der Zugriffskontrollen, die Durchsetzung robuster Authentifizierungsmethoden und die Erstellung revisionssicherer Protokolle. Werden Schwachstellen im Zugriff über veraltete Mainframe-Systeme nicht behoben, werden sensible Informationen offengelegt und regulatorische Strafen riskiert. Die Modernisierung des Zugriffs auf kritische Systeme schützt nicht nur das Vertrauen der Versicherungsnehmer, sondern vereinfacht auch die Einhaltung der Vorschriften. Sie ermöglicht die Erkennung unautorisierter Aktivitäten in Echtzeit und eine schnelle Reaktion auf sich entwickelnde Bedrohungen.

Um den steigenden Risiken zu begegnen, haben die Aufsichtsbehörden das Musterdatensicherheitsgesetz der National Association of Insurance Commissioners (NAIC) verabschiedet. Dieses Rahmenwerk legt strenge Anforderungen an Datenschutz, Zugriffskontrolle und Reaktion auf Sicherheitsvorfälle fest. Viele Versicherer empfinden die Einhaltung dieser Vorgaben als schwierig. Hochzuverlässige Mainframes nutzen häufig veraltete Zugriffsmethoden, denen moderne Sicherheitskontrollen fehlen.

Um dem NAIC-Mustergesetz zur Datensicherheit zu entsprechen, sollten Versicherer folgende praktische Strategien in Betracht ziehen:

• Modernisieren Sie die Zugriffskontrollen für Kernsysteme und gehen Sie von veralteten Passwörtern zu einem fortschrittlichen, zentralisierten Identitäts- und Zugriffsmanagement (IAM) über.
• Integration von Mainframe- und Green-Screen-Zugriff mit Enterprise-IAM-Plattformen und Best Practices für eine einheitliche Richtliniendurchsetzung.
• Setzen Sie das Prinzip der minimalen Berechtigungen durch, damit Mitarbeiter nur auf Daten und Anwendungen zugreifen können, die für ihre Tätigkeit erforderlich sind.
• Automatisieren Sie die Benutzerbereitstellung und -entziehung, um Zugriffsrechte bei Änderungen der Stellenbeschreibung schnell zu aktualisieren oder zu widerrufen.
• Implementieren Sie bei jeder Host-Sitzung eine Multi-Faktor-Authentifizierung (MFA), um unberechtigten Zugriff zu verhindern, selbst wenn Passwörter kompromittiert wurden.
• Aktivieren Sie Single Sign-On (SSO) für einen optimierten und sicheren Mitarbeiterzugriff auf Host-Anwendungen.
• Implementieren Sie Lösungen, die umfassende, zentralisierte und unveränderliche Audit-Logs für jede Host-Sitzung generieren.
• Integrieren Sie Protokolldaten in SIEM-Tools für kontinuierliche Überwachung, schnelle Reaktion auf Vorfälle und einfache Berichterstellung.

Diese Schritte helfen Versicherern, Compliance-Lücken zu schließen, sensible Versicherungsnehmerdaten zu schützen und eine robuste Grundlage für den digitalen Versicherungsbetrieb zu schaffen.

Was ist das NAIC-Mustergesetz zur Datensicherheit?

Das NAIC-Mustergesetz zur Datensicherheit definiert strenge Standards für Datensicherheit, Meldung von Datenschutzverletzungen und Untersuchung von Cybersicherheitsvorfällen in der Versicherungswirtschaft. Versicherer müssen ein schriftliches Informationssicherheitsprogramm auf Basis einer klaren Risikoanalyse erstellen und pflegen.

Zugriffskontrollen sind ein zentraler Bestandteil dieses Gesetzes. Sie müssen den Zugriff auf nicht-öffentliche Informationen beschränken und Ihre Systeme kontinuierlich auf unbefugte Aktivitäten oder potenzielle Sicherheitslücken überwachen.

Herkömmliche Green-Screen-Emulatoren legen sensible Versicherungsnehmerdaten offen. Ohne moderne Zugriffskontrollen und kontinuierliche Überwachung stellt jede Verbindung eine potenzielle Sicherheitslücke dar – und gefährdet damit Vertrauen und Compliance.

Ältere Großrechner verarbeiten Milliarden von Transaktionen und speichern riesige Mengen an personenbezogenen Daten, Finanzdaten und Gesundheitsdaten. Obwohl Großrechnerarchitekturen robust sein können, stellen herkömmliche „Green-Screen“-Emulatoren oft Schwachstellen dar, wodurch sensible Daten gefährdet sind.

Die Risiken des Zugriffs auf bestehende Systeme in der modernen Versicherungslandschaft

Die Verwendung statischer Passwörter für den Mainframe-Zugriff macht Versicherungsnehmerdaten anfällig für Cyberangriffe wie Phishing und Credential Stuffing sowie Social Engineering. Herkömmliche Authentifizierungsmethoden können mit der zunehmend komplexen Bedrohungslandschaft von heute einfach nicht mehr mithalten.

Wenn Unternehmen auf veraltete Zugriffskontrollen setzen, erhöhen sie das Risiko von Compliance-Lücken. Traditionelle Emulatoren operieren oft außerhalb moderner Sicherheitsperimeter. Sie erfordern eine separate Verwaltung von Anmeldeinformationen, was die Sicherheitsabläufe fragmentiert. Diese Fragmentierung führt zu Sicherheitslücken. Die Durchsetzung einheitlicher Sicherheitsrichtlinien wird erschwert. Auch die Aktivierung dynamischer Zugriffskontrollen und die effektive Nachverfolgung des Nutzerverhaltens gestalten sich schwieriger.

Die Überbrückung der Lücke zwischen veralteten und modernen Sicherheitssystemen ist von entscheidender Bedeutung – fragmentierte Kontrollen rund um Kernanwendungen können zu Compliance-Verstößen führen. Die Integration Ihrer bestehenden Infrastruktur mit modernen Sicherheitstools ist unerlässlich, um Versicherungsnehmerdaten zu schützen und die NAIC-Anforderungen zu erfüllen.

Wie man Zugriffskontrollen im Hinblick auf die Einhaltung der Vorschriften modernisiert

Um die Zugriffskontrollen im Sinne der Compliance zu modernisieren, sollten Versicherer bestehende Host-Anwendungen in zentralisierte IAM-Strategien integrieren. Dieser Ansatz sichert Zugriffswege, ohne Kernsysteme zu ersetzen, und erleichtert so die Durchsetzung einheitlicher Richtlinien und das Schließen von Sicherheitslücken.

Moderne Integration bietet entscheidende Vorteile:

• Setzt das Prinzip der minimalen Berechtigungen durch, indem Host-Zugriffsberechtigungen IAM-Rollen zugeordnet werden, um sicherzustellen, dass Mitarbeiter nur auf die für ihre Arbeit unbedingt notwendigen Daten und Anwendungen zugreifen können.
• Automatisiert die Bereitstellung und Aufhebung der Bereitstellung und ermöglicht so eine schnelle Aktualisierung oder den Entzug des Zugriffs bei Rollenänderungen oder Ausscheiden von Mitarbeitern.
• Verringert den Verwaltungsaufwand und beseitigt die Risiken, die mit ruhenden Konten verbunden sind.

Implementierung der Multi-Faktor-Authentifizierung für verbesserte Verteidigung

Die Multi-Faktor-Authentifizierung (MFA) ist gemäß dem NAIC-Mustergesetz zur Datensicherheit mittlerweile unerlässlich, um nicht-öffentliche Informationen zu schützen. Angesichts der sich ständig weiterentwickelnden Bedrohungen durch Anmeldeinformationen stellt die MFA eine entscheidende Sicherheitsebene dar, die unbefugten Zugriff verhindert und Ihre gesamte Datensicherheit stärkt.

Die Integration von Multi-Faktor-Authentifizierung (MFA) in ältere Systeme kann eine Herausforderung darstellen. Moderne Lösungen zur Sicherung des Host-Systemzugriffs umgehen dieses Problem mit sitzungsbasierter MFA. Beim Starten einer Host-Sitzung wird über Ihren IAM-Anbieter eine zusätzliche Authentifizierung ausgelöst. Benutzer müssen ihre Identität – per Biometrie, Hardware-Token oder Authentifizierungs-App – verifizieren, bevor ihnen Zugriff gewährt wird.

Die sitzungsbasierte Multi-Faktor-Authentifizierung (MFA) authentifiziert Benutzer im Moment des Zugriffs und stellt so sicher, dass nur verifizierte Personen Zugriff auf sensible Mainframe-Daten haben. Dieser Ansatz erfüllt die Anforderungen von Zero Trust und die NAIC-Standards und blockiert unbefugten Zugriff selbst dann, wenn die Netzwerkzugangsdaten kompromittiert wurden.

Die Integration von MFA mit Single Sign-On (SSO) optimiert zudem die Benutzerfreundlichkeit. Zu den wichtigsten Vorteilen gehören:

• Mitarbeiter authentifizieren sich einmalig im Unternehmensportal, um schnell und sicher auf die Host-Anwendungen zugreifen zu können.
• Die passwortlose Anmeldung verringert die Ermüdung durch Anmeldeinformationen und das Risiko von passwortbezogenen Sicherheitslücken.
• Einfachere Arbeitsabläufe führen zu höheren Akzeptanzraten bei den Nutzern.
• Weniger Passwortzurücksetzungen und -sperrungen bedeuten weniger Supportanfragen.
• Die Teams verbringen weniger Zeit mit Zugriffsproblemen und mehr Zeit mit der Betreuung der Kunden.

Erstellung von revisionssicheren Protokollen zum Nachweis der Einhaltung

Die Erstellung revisionssicherer Protokolle ist unerlässlich für die Einhaltung des NAIC-Mustergesetzes zur Datensicherheit. Versicherer müssen klare und detaillierte Aufzeichnungen über alle Systemzugriffe und Benutzeraktionen führen, um eine schnelle Reaktion auf Vorfälle zu gewährleisten und die vollständige Einhaltung der regulatorischen Vorgaben nachzuweisen.

Herkömmliche Emulatoren erzeugen oft inkonsistente und fragmentierte Protokolle. Diese unstrukturierten Protokolle sind schwer und zeitaufwendig zu sortieren. Im Falle von Vorfällen behindert diese Unübersichtlichkeit die Untersuchungen und kann zudem die Meldung an staatliche Behörden verzögern.

Eine modernisierte Host-Zugriffsstrategie sollte Folgendes umfassen:

• Umfassende, unveränderliche Prüfprotokolle für jede Host-Sitzung
• Detaillierte Protokollierung der genauen Verbindungszeiten, der aufgerufenen Anwendungen und der Sitzungsdauer
• Zentralisierte, standardisierte Protokollierungsformate zur Optimierung von Überwachung und Berichterstattung
• Integrationsfertige Protokolle zur Verwendung mit SIEM-Tools, die Echtzeit-Bedrohungserkennung und schnelle Reaktion unterstützen

Zentralisierte, standardisierte Protokolle erleichtern die Integration mit SIEM-Tools und ermöglichen so die Echtzeit-Erkennung von Bedrohungen sowie eine schnelle und präzise Berichterstattung über die Einhaltung von Vorschriften.

Arbeiten Sie mit Rocket^® zusammen, um die Daten Ihrer Versicherungsnehmer zu sichern.

Der Schutz von Versicherungsnehmerdaten ist unerlässlich, um die Anforderungen des NAIC-Modellgesetzes zur Datensicherheit zu erfüllen und Vertrauen zu erhalten. Investieren Sie in Lösungen, die sensible Informationen schützen, ohne Ihre Kerngeschäftssysteme zu beeinträchtigen.

Rocket^® Software versteht die besonderen Anforderungen der IT-Modernisierung in der Versicherungsbranche. Mit Rocket^® Secure Host Access können Sie den Benutzerzugriff (Greenscreen) mit modernen IAM-Lösungen wie Okta, Microsoft Entra ID oder Ping Identity verknüpfen. Diese Strategie erweitert fortschrittliche Sicherheitsprotokolle direkt auf den Mainframe. Jeder Benutzer, der auf Versicherungsnehmerdaten zugreifen möchte, wird anhand der Sicherheitsrichtlinien Ihres Unternehmens geprüft, bevor ihm Zugriff gewährt wird. Dieser Ansatz bietet umfassenden Schutz für Ihre Mainframe-Workflows.

Die Implementierung von Rocket^® Secure Host Access ermöglicht Ihnen die zentrale Steuerung, sitzungsbasierte Multi-Faktor-Authentifizierung und lückenlose Prüfprotokolle. Sie können die NAIC-Anforderungen erfüllen, die Compliance verbessern und Versicherungsnehmerdaten schützen – und gleichzeitig einen sicheren und effizienten Mainframe-Zugriff gewährleisten.