¿Qué es el artículo 23 NYCRR 500? ¿Cumple su organización con las normas? Tres actualizaciones clave y su impacto en el acceso a su host de pantalla verde.

En 2017, el Departamento de Servicios Financieros del Estado de Nueva York (NYDFS) estableció la norma 23 NYCRR 500, una regulación de ciberseguridad que establece requisitos específicos para las empresas de servicios financieros en el estado de Nueva York, o que operan en Nueva York, incluyendo bancos, aseguradoras y otras compañías de servicios financieros, para proteger la información no pública. Desde entonces, esta regulación se ha vuelto vital para cualquier empresa que opera en el estado, y el incumplimiento puede conllevar costosas sanciones y multas.

Recientemente, el Departamento de Servicios de Seguridad Nacional de Nueva York (NYDFS) publicó actualizaciones de la norma 23 NYCRR 500, que incorporan varios cambios y nuevos requisitos que las empresas deberán cumplir para mantener el cumplimiento normativo. Estas actualizaciones incluyen cambios en la gobernanza de la ciberseguridad, directrices sobre el cifrado de información no pública (NPI) y las medidas que las organizaciones necesitan implementar para la continuidad y la gestión de incidentes.

Frente a requisitos regulatorios complejos, pero vitales, las organizaciones que dependen de la emulación de terminal y el acceso de pantalla verde para sistemas mainframe necesitan asegurarse de estar equipadas con las herramientas adecuadas que puedan ayudar a mantener la infraestructura de TI existente segura y en cumplimiento con las políticas cambiantes.

Pero ¿qué está cambiando exactamente para las empresas del estado de Nueva York? Analicémoslo con más detalle.

Regulación de ciberseguridad del NYDFS: ¿Qué ha cambiado?

Desde su creación, el reglamento ha evolucionado para adaptarse al cambiante panorama de la ciberseguridad. En esta última actualización, tres áreas clave se ven afectadas por los cambios:

• Gobernanza de la ciberseguridad: Con las últimas modificaciones, los directores de seguridad de la información (CISO) deben incluir planes para remediar deficiencias sustanciales en los informes escritos a los órganos de gobierno superiores. Los CISO también deben informar a dichos órganos de gobierno o directivos superiores sobre cuestiones relevantes de ciberseguridad, incluyendo eventos significativos o cambios en su programa de ciberseguridad. Asimismo, los órganos de gobierno superiores de dichas empresas y organizaciones deberán supervisar la gestión de riesgos de ciberseguridad.
• Cifrado de información no pública: Este aspecto implica que las organizaciones deben implementar una política escrita que exija un cifrado que cumpla con los estándares de la industria. Las organizaciones ya no pueden utilizar controles compensatorios alternativos eficaces para el cifrado de NPI en tránsito a través de redes externas; sin embargo, las entidades pueden utilizar controles compensatorios eficaces para el cifrado de NPI en reposo, siempre que el CISO los revise y apruebe por escrito al menos una vez al año.
• Respuesta a incidentes y gestión de la continuidad del negocio: Los planes de respuesta a incidentes siguen siendo obligatorios bajo estos cambios, pero deben actualizarse según lo especificado y probarse, como mínimo, anualmente. También deben implementarse planes de continuidad del negocio y respuesta ante desastres diseñados para abordar las interrupciones relacionadas con la ciberseguridad, según lo especificado. Las organizaciones afectadas deben capacitar a todos los empleados involucrados en la implementación de los planes, probarlos con personal crítico, revisarlos si es necesario, comprobar la capacidad de restaurar datos y sistemas de información críticos a partir de copias de seguridad, y mantener y proteger adecuadamente las copias de seguridad necesarias para restablecer las operaciones esenciales.

Estos cambios también incluyen nuevos requisitos para las pequeñas empresas. Estas organizaciones ahora deben implementar políticas que incluyan la autenticación multifactor (MFA) para cualquier acceso remoto a sus sistemas de información, el acceso remoto a aplicaciones de terceros donde la NPI sea accesible (incluidas las aplicaciones en la nube) y las cuentas con privilegios. También se les exige que brinden capacitación en ciberseguridad, al menos una vez al año, a todo el personal sobre ingeniería social, como phishing, vulnerabilidades de correo electrónico empresarial y técnicas mejoradas por IA, como deepfakes.

Rocket Software y acceso seguro al host de pantalla verde

Con los cambios en la seguridad y el acceso remoto en las directrices del estado de Nueva York, las organizaciones deben priorizar sus capacidades de emulación de terminales. Este es el momento ideal para buscar soporte de proveedores externos. Por ejemplo, Rocket Software ofrece soluciones estratégicas para garantizar que las empresas sujetas a este tipo de regulación puedan adaptarse y evolucionar según dichos requisitos.

Para las organizaciones que necesitan gestionar el acceso a la pantalla verde y, al mismo tiempo, tener en cuenta estrictas consideraciones de seguridad, las capacidades de acceso seguro al host de pantalla verde de Rocket Software pueden modernizar el acceso al mainframe sin interrupciones. Rocket facilita la gestión de sesiones de emulación de terminal de mainframe y la supervisión del estado del cifrado, algo que ha cobrado aún más importancia con las últimas actualizaciones de NPI.

Ampliación de la gestión de acceso a las aplicaciones de mainframe

Rocket también puede ayudar a ampliar las soluciones de gestión de identidades y accesos (IAM) de las organizaciones para cubrir el acceso a las aplicaciones host del mainframe, lo que les permite aprovechar importantes herramientas de MFA y mantener la seguridad del acceso a las aplicaciones. A medida que cambian los requisitos de 23 NYCRR 500, será fundamental garantizar que los parámetros de acceso al sistema se ajusten tanto a la política corporativa como a las regulaciones externas, especialmente a medida que aumenta el énfasis en las evaluaciones de riesgos periódicas. Con servicios de seguridad para mainframes, como las evaluaciones de cumplimiento, Rocket Software proporciona a las organizaciones un mayor control sobre el acceso a sistemas críticos.

Obtenga más información sobre cómo Rocket Software puede ayudar a su organización a adaptarse a las últimas regulaciones de seguridad.