Loi modèle de la NAIC sur la sécurité des données: Sécuriser l’accès aux données des assurés via un écran vert

Pour se conformer à la loi modèle de la NAIC sur la sécurité des données, les assureurs doivent sécuriser l'accès aux données des assurés via leurs systèmes hôtes en modernisant les contrôles d'accès, en appliquant une authentification robuste et en générant des journaux d'audit conformes aux exigences réglementaires. Négliger de corriger les vulnérabilités des anciens systèmes d'accès aux mainframes expose des informations sensibles et expose les assureurs à des sanctions réglementaires. Moderniser l'accès aux systèmes critiques permet non seulement de préserver la confiance des assurés, mais aussi de simplifier la conformité, en permettant de détecter les activités non autorisées en temps réel et de réagir rapidement aux menaces émergentes.

Les autorités de réglementation ont établi la loi modèle de l'Association nationale des commissaires aux assurances (NAIC) sur la sécurité des données afin de faire face à l'augmentation des risques. Ce cadre définit des exigences strictes en matière de protection des données, de contrôle d'accès et de gestion des incidents. De nombreux assureurs éprouvent des difficultés à s'y conformer. Les systèmes centraux, pourtant très fiables, reposent souvent sur des méthodes d'accès obsolètes qui ne bénéficient pas de contrôles de sécurité modernes.

Pour se conformer à la loi modèle de la NAIC sur la sécurité des données, les assureurs devraient envisager les stratégies pratiques suivantes:

• Moderniser les contrôles d'accès des systèmes centraux, en passant des mots de passe traditionnels à une gestion des identités et des accès (IAM) avancée et centralisée.
• Intégrez l'accès mainframe et écran vert aux plateformes IAM d'entreprise et aux meilleures pratiques pour une application unifiée des politiques.
• Appliquer le principe du moindre privilège, afin que les employés n'accèdent qu'aux données et applications nécessaires à leur fonction.
• Automatisez la création et la suppression des comptes utilisateurs pour mettre à jour ou révoquer rapidement les accès en fonction de l'évolution des rôles.
• Mettez en œuvre l'authentification multifacteurs (MFA) à chaque session hôte pour empêcher tout accès non autorisé, même si les mots de passe sont compromis.
• Activez l'authentification unique (SSO) pour un accès simplifié et sécurisé des employés aux applications hôtes.
• Déployez des solutions qui génèrent des journaux d'audit complets, centralisés et immuables pour chaque session hôte.
• Intégrez les données de journalisation aux outils SIEM pour une surveillance continue, une réponse rapide aux incidents et une génération de rapports d'audit simplifiée.

Ces mesures aident les assureurs à combler les lacunes en matière de conformité, à protéger les données sensibles des assurés et à bâtir une base solide pour les opérations d'assurance numérique.

Qu’est-ce que la loi modèle de la NAIC sur la sécurité des données ?

La loi modèle de la NAIC sur la sécurité des données définit des normes strictes en matière de sécurité des données, de notification des violations et d'enquêtes sur les incidents de cybersécurité dans le secteur de l'assurance. Les assureurs sont tenus d'élaborer et de maintenir un programme de sécurité de l'information écrit, fondé sur une évaluation claire des risques.

Le contrôle d'accès est un élément essentiel de cette loi. Vous devez restreindre l'accès aux informations non publiques et surveiller en permanence vos systèmes afin de détecter toute activité non autorisée ou violation potentielle.

Les anciens émulateurs d'écran vert exposent les données sensibles des assurés. Sans contrôles d'accès modernes ni surveillance continue, chaque connexion représente une vulnérabilité potentielle, mettant en péril la confiance et la conformité.

Les systèmes mainframe traditionnels traitent des milliards de transactions et contiennent d'énormes quantités d'informations personnelles, de données financières et de données de santé. Bien que les architectures mainframe puissent être robustes, les émulateurs « à écran vert » classiques constituent souvent des points faibles, exposant ainsi les données sensibles.

Les risques liés à l'accès aux héritages dans le paysage moderne de l'assurance

L'utilisation de mots de passe statiques pour accéder au système central expose les données des assurés à des cyberattaques telles que le phishing et le credential stuffing, ainsi qu'à d'éventuelles tentatives d'ingénierie sociale. Les méthodes d'authentification traditionnelles ne peuvent tout simplement plus faire face à la complexité croissante des menaces actuelles.

Lorsque les organisations s'appuient sur des contrôles d'accès obsolètes, elles augmentent leur risque de non-conformité. Les émulateurs traditionnels fonctionnent souvent en dehors des périmètres de sécurité modernes. Ils nécessitent une gestion des identifiants distincte, ce qui fragmente les flux de travail de sécurité. Cette fragmentation crée des angles morts. Il devient plus difficile d'appliquer des politiques de sécurité cohérentes. La mise en place de contrôles d'accès dynamiques ou le suivi efficace du comportement des utilisateurs sont également plus complexes.

Combler le fossé entre les systèmes de sécurité traditionnels et modernes est essentiel: des contrôles fragmentés autour des applications critiques peuvent entraîner des non-conformités. L’intégration de votre infrastructure existante aux outils de sécurité modernes est indispensable pour protéger les données des assurés et répondre aux exigences de la NAIC.

Comment moderniser les contrôles d'accès pour assurer la conformité

Pour moderniser les contrôles d'accès et garantir la conformité, les assureurs doivent intégrer les applications hôtes existantes à des stratégies IAM centralisées. Cette approche sécurise les accès sans remplacer les systèmes centraux, facilitant ainsi l'application de politiques cohérentes et la correction des failles de sécurité.

L'intégration moderne présente des avantages clés:

• Applique le principe du moindre privilège en associant les autorisations d'accès à l'hôte aux rôles IAM, garantissant ainsi que les employés n'accèdent qu'aux données et applications essentielles à leur travail.
• Automatise l'attribution et la suppression des accès, ce qui permet de mettre à jour ou de révoquer rapidement les accès lorsque les rôles changent ou que des employés quittent l'entreprise.
• Réduit la complexité administrative et élimine les risques associés aux comptes inactifs.

Mise en œuvre de l'authentification multifacteurs pour une défense renforcée

L’authentification multifacteurs (AMF) est désormais indispensable pour protéger les informations non publiques, conformément à la loi modèle de la NAIC sur la sécurité des données. Face à l’évolution des menaces liées aux identifiants, l’AMF constitue une couche de sécurité essentielle, bloquant les accès non autorisés et renforçant la protection globale de vos données.

L'ajout de l'authentification multifacteur (MFA) aux systèmes existants peut s'avérer complexe. Les solutions modernes de sécurisation de l'accès au système hôte résolvent ce problème grâce à l'authentification multifacteur basée sur les sessions. Lorsqu'un employé ouvre une session hôte, une authentification secondaire est déclenchée par son fournisseur de gestion des identités et des accès (IAM). Les utilisateurs doivent vérifier leur identité – par biométrie, jeton matériel ou application d'authentification – avant d'obtenir l'accès.

L'authentification multifacteur (MFA) basée sur la session authentifie les utilisateurs au moment de l'accès, garantissant ainsi que seules les personnes vérifiées puissent accéder aux données sensibles du système central. Cette approche répond aux exigences du modèle Zero Trust et aux normes NAIC, bloquant les accès non autorisés même en cas de compromission des identifiants réseau.

L'intégration de l'authentification multifacteur (MFA) à l'authentification unique (SSO) simplifie également l'expérience utilisateur. Principaux avantages:

• Les employés s'authentifient une seule fois sur le portail d'entreprise pour un accès rapide et sécurisé aux applications hôtes.
• L'accès sans mot de passe réduit la lassitude liée aux identifiants et le risque de violations de données liées aux mots de passe.
• Des flux de travail plus simples favorisent des taux d'adoption plus élevés par les utilisateurs.
• Moins de réinitialisations de mots de passe et de blocages signifient moins de demandes d'assistance.
• Les équipes consacrent moins de temps aux problèmes d'accès et plus de temps au service client.

Générer des journaux prêts pour l'audit afin de prouver la conformité

La production de journaux conformes aux exigences d'audit est essentielle pour garantir le respect de la loi modèle de la NAIC sur la sécurité des données. Les assureurs doivent tenir des registres clairs et détaillés de tous les accès au système et des actions des utilisateurs afin d'assurer une réponse rapide aux incidents et de démontrer leur pleine conformité réglementaire.

Les émulateurs traditionnels génèrent souvent des journaux d'événements incohérents et fragmentés. Ces journaux désorganisés sont difficiles et chronophages à traiter. En cas d'incident, ce manque de clarté entrave les enquêtes et peut retarder la transmission des rapports obligatoires aux autorités compétentes.

Une stratégie d'accès aux hôtes modernisée devrait inclure:

• Des pistes d'audit complètes et immuables pour chaque session hôte
• Enregistrement détaillé des journaux de connexion, des applications utilisées et de la durée des sessions.
• Formats de journalisation centralisés et standardisés pour rationaliser la surveillance et la production de rapports
• Journaux prêts à l'intégration pour une utilisation avec les outils SIEM, prenant en charge la détection des menaces en temps réel et une réponse rapide

Des journaux centralisés et standardisés facilitent l'intégration avec les outils SIEM, permettant une détection des menaces en temps réel et des rapports de conformité rapides et précis.

Collaborez avec Rocket^® pour sécuriser les données des assurés

La sécurisation des données des assurés est essentielle pour respecter les exigences de la loi modèle de sécurité des données de la NAIC et préserver la confiance. Investissez dans des solutions qui protègent les informations sensibles sans perturber les systèmes d'information critiques de l'entreprise.

Rocket^® Software comprend les exigences spécifiques de la modernisation informatique dans le secteur de l'assurance. Avec Rocket^® Secure Host Access, vous pouvez intégrer l'accès sécurisé (écran vert) aux solutions IAM modernes telles qu'Okta, Microsoft Entra ID ou Ping Identity. Cette stratégie étend les protocoles de sécurité avancés directement au système central. Chaque utilisateur tentant d'accéder aux données des assurés est évalué au regard des politiques de sécurité globales de votre organisation avant d'y être autorisé. Cette approche garantit une protection en profondeur de vos flux de travail sur système central.

La mise en œuvre de Rocket^® Secure Host Access vous offre un contrôle centralisé, une authentification multifacteur (MFA) par session et des pistes d'audit claires. Vous pouvez ainsi répondre aux exigences de la NAIC, renforcer votre conformité et protéger les données de vos assurés, tout en garantissant un accès sécurisé et efficace à votre système central.