Ley Modelo de Seguridad de Datos de la NAIC: Protección del Acceso a los Datos de los Asegurados mediante Pantalla Verde

Para cumplir con la Ley Modelo de Seguridad de Datos de la NAIC, las aseguradoras deben proteger el acceso a los datos de los asegurados desde sus sistemas anfitriones mediante la modernización de los controles de acceso, la implementación de una autenticación sólida y la generación de registros listos para auditoría. No abordar las vulnerabilidades en el acceso a los sistemas centrales heredados expone información confidencial y conlleva el riesgo de sanciones regulatorias. Modernizar el acceso a los sistemas críticos no solo protege la confianza de los asegurados, sino que también agiliza el cumplimiento, permitiendo detectar actividades no autorizadas en tiempo real y responder con rapidez a las amenazas en constante evolución.

Los organismos reguladores han establecido la Ley Modelo de Seguridad de Datos de la Asociación Nacional de Comisionados de Seguros (NAIC) para abordar los riesgos crecientes. Este marco normativo describe requisitos estrictos para la protección de datos, el control de acceso y la respuesta ante incidentes. Muchas aseguradoras encuentran difícil cumplir con esta normativa. Los sistemas centrales de alta fiabilidad suelen depender de métodos de acceso obsoletos que carecen de controles de seguridad modernos.

Para ajustarse a la Ley Modelo de Seguridad de Datos de la NAIC, las aseguradoras deberían considerar estas estrategias prácticas:

• Modernice los controles de acceso a los sistemas centrales, pasando de las contraseñas tradicionales a una gestión de identidades y accesos (IAM) avanzada y centralizada.
• Integre el acceso a mainframes y pantallas verdes con plataformas IAM empresariales y mejores prácticas para la aplicación unificada de políticas.
• Aplique el principio del mínimo privilegio, de modo que los empleados solo accedan a los datos y las aplicaciones necesarios para desempeñar su función.
• Automatice el aprovisionamiento y la desaprovisionamiento de usuarios para actualizar o revocar rápidamente el acceso a medida que cambian las funciones laborales.
• Implemente la autenticación multifactor (MFA) en cada sesión de host para evitar el acceso no autorizado, incluso si las contraseñas se ven comprometidas.
• Habilite el inicio de sesión único (SSO) para un acceso más ágil y seguro de los empleados a las aplicaciones del servidor.
• Implemente soluciones que generen registros de auditoría completos, centralizados e inmutables para cada sesión del host.
• Integre los datos de registro con las herramientas SIEM para una monitorización continua, una respuesta rápida ante incidentes y una elaboración de informes de auditoría sencilla.

Estas medidas ayudan a las aseguradoras a subsanar deficiencias en materia de cumplimiento normativo, proteger los datos confidenciales de los asegurados y construir una base sólida para las operaciones de seguros digitales.

¿Qué es la Ley Modelo de Seguridad de Datos de la NAIC?

La Ley Modelo de Seguridad de Datos de la NAIC define estándares estrictos para la seguridad de los datos, la notificación de violaciones de seguridad y la investigación de incidentes de ciberseguridad en el sector asegurador. Las aseguradoras deben crear y mantener un programa escrito de seguridad de la información basado en una evaluación de riesgos clara.

Los controles de acceso son un componente fundamental de esta ley. Debe restringir el acceso a la información no pública y supervisar continuamente sus sistemas para detectar actividades no autorizadas o posibles infracciones.

Los emuladores de pantalla verde obsoletos dejan expuestos datos confidenciales de los asegurados. Sin controles de acceso modernos y una monitorización continua, cada conexión representa una vulnerabilidad potencial, lo que pone en riesgo la confianza y el cumplimiento normativo.

Los sistemas centrales heredados procesan miles de millones de transacciones y almacenan grandes cantidades de información personal identificable (PII), registros financieros y datos de salud. Si bien las arquitecturas de los sistemas centrales pueden ser robustas, los emuladores tradicionales de "pantalla verde" suelen ser puntos débiles, dejando los datos confidenciales vulnerables.

Los riesgos del acceso a datos heredados en el panorama actual de los seguros.

Depender de contraseñas estáticas para acceder a los sistemas centrales deja los datos de los asegurados expuestos a ciberataques como el phishing y el robo de credenciales, así como a posibles ataques de ingeniería social. Los métodos de autenticación tradicionales simplemente no pueden hacer frente al panorama de amenazas cada vez más complejo de hoy en día.

Cuando las organizaciones dependen de controles de acceso obsoletos, aumentan el riesgo de incumplimiento normativo. Los emuladores tradicionales suelen operar fuera de los perímetros de seguridad modernos. Requieren una gestión de credenciales independiente, lo que fragmenta los flujos de trabajo de seguridad. Esta fragmentación crea puntos ciegos, dificultando la aplicación de políticas de seguridad coherentes. Además, resulta más difícil habilitar controles de acceso dinámicos o realizar un seguimiento eficaz del comportamiento del usuario.

Es fundamental cerrar la brecha entre los sistemas de seguridad heredados y los modernos: los controles fragmentados en torno a las aplicaciones principales pueden provocar incumplimientos normativos. Integrar su infraestructura heredada con herramientas de seguridad modernas es esencial para proteger los datos de los asegurados y cumplir con los requisitos de la NAIC.

Cómo modernizar los controles de acceso para el cumplimiento normativo.

Para modernizar los controles de acceso y garantizar el cumplimiento normativo, las aseguradoras deberían integrar las aplicaciones heredadas con estrategias centralizadas de gestión de identidades y accesos (IAM). Este enfoque protege las vías de acceso sin necesidad de reemplazar los sistemas centrales, lo que facilita la aplicación de políticas coherentes y la subsanación de vulnerabilidades de seguridad.

La integración moderna ofrece ventajas clave:

• Garantiza el principio del mínimo privilegio al asignar los permisos de acceso al host a los roles de IAM, asegurando que los empleados solo accedan a los datos y las aplicaciones esenciales para su trabajo.
• Automatiza el aprovisionamiento y la desaprovisionamiento, lo que facilita la actualización o la revocación rápida del acceso cuando cambian las funciones o los empleados se marchan.
• Reduce la complejidad administrativa y elimina los riesgos asociados a las cuentas inactivas.

Implementación de autenticación multifactor para una defensa mejorada

La autenticación multifactor (MFA) es ahora esencial para proteger la información no pública según la Ley Modelo de Seguridad de Datos de la NAIC. A medida que evolucionan las amenazas a las credenciales, la MFA añade una capa de seguridad fundamental, bloqueando el acceso no autorizado y reforzando la defensa general de sus datos.

Implementar la autenticación multifactor (MFA) en sistemas heredados puede resultar complejo. Las soluciones modernas para proteger el acceso a los sistemas host resuelven este problema mediante la MFA basada en sesiones. Cuando los empleados inician una sesión en el sistema host, se activa una autenticación secundaria a través de su proveedor de gestión de identidades y accesos (IAM). Los usuarios deben verificar su identidad (mediante datos biométricos, tokens de hardware o aplicaciones de autenticación) antes de obtener acceso.

La autenticación multifactor basada en sesiones autentica a los usuarios en el momento del acceso, garantizando que solo las personas verificadas accedan a los datos confidenciales del sistema central. Este enfoque cumple con los requisitos de Confianza Cero y los estándares NAIC, bloqueando el acceso no autorizado incluso si las credenciales de red se ven comprometidas.

La integración de la autenticación multifactor (MFA) con el inicio de sesión único (SSO) también optimiza la experiencia del usuario. Entre los principales beneficios se incluyen:

• Los empleados se autentican una sola vez en el portal empresarial para obtener un acceso rápido y seguro a las aplicaciones del servidor.
• El acceso sin contraseña reduce la fatiga por el uso de credenciales y el riesgo de filtraciones relacionadas con contraseñas.
• Los flujos de trabajo más sencillos impulsan mayores tasas de adopción por parte de los usuarios.
• Menos restablecimientos de contraseña y bloqueos significan menos solicitudes de soporte.
• Los equipos dedican menos tiempo a los problemas de acceso y más tiempo a atender a los clientes.

Generar registros listos para auditoría para demostrar el cumplimiento

Generar registros de auditoría es fundamental para cumplir con la Ley Modelo de Seguridad de Datos de la NAIC. Las aseguradoras deben mantener registros claros y detallados de todos los accesos al sistema y las acciones de los usuarios para garantizar una respuesta rápida ante incidentes y demostrar el pleno cumplimiento normativo.

Los emuladores tradicionales suelen generar registros inconsistentes y fragmentados. Organizar estos registros desorganizados resulta difícil y requiere mucho tiempo. Cuando ocurren incidentes, esta falta de claridad dificulta las investigaciones y puede retrasar la presentación de informes a las agencias estatales.

Una estrategia de acceso al host modernizada debe incluir:

• Registros de auditoría completos e inmutables para cada sesión de host.
• Registro detallado de los tiempos exactos de conexión, las aplicaciones a las que se accede y la duración de la sesión.
• Formatos de registro centralizados y estandarizados para optimizar la monitorización y la elaboración de informes.
• Registros listos para la integración con herramientas SIEM, compatibles con la detección de amenazas en tiempo real y una respuesta rápida.

Los registros centralizados y estandarizados facilitan la integración con las herramientas SIEM, lo que permite la detección de amenazas en tiempo real y la generación de informes de cumplimiento rápidos y precisos.

Asóciate con Rocket^® para proteger los datos de los asegurados.

Proteger los datos de los asegurados es fundamental para cumplir con los requisitos de la Ley Modelo de Seguridad de Datos de la NAIC y mantener la confianza. Invierta en soluciones que protejan la información confidencial sin interrumpir los sistemas empresariales principales.

Rocket^® Software comprende las exigencias únicas de la modernización de TI en el sector asegurador. Con Rocket^® Secure Host Access, puede vincular el acceso mediante pantalla verde con soluciones IAM modernas como Okta, Microsoft Entra ID o Ping Identity. Esta estrategia extiende los protocolos de seguridad avanzados directamente al mainframe. Cada usuario que intenta acceder a los datos de los asegurados es evaluado según las políticas de seguridad generales de su organización antes de obtener acceso. Este enfoque proporciona una verdadera defensa en profundidad para sus flujos de trabajo en el mainframe.

La implementación de Rocket^® Secure Host Access le brinda control centralizado, autenticación multifactor basada en sesiones y registros de auditoría claros. Podrá cumplir con los requisitos de la NAIC, reforzar el cumplimiento normativo y proteger los datos de los asegurados, todo ello garantizando un acceso seguro y eficiente al sistema central.