Cos'è la norma 23 NYCRR 500 e la tua organizzazione è conforme? Tre aggiornamenti chiave e come influiscono sull'accesso dell'host del tuo schermo verde

Nel 2017, il Dipartimento dei Servizi Finanziari dello Stato di New York (NYDFS) ha istituito il 23 NYCRR 500, un regolamento sulla sicurezza informatica che stabilisce requisiti specifici per le aziende di servizi finanziari nello Stato di New York, o che operano nello Stato di New York, tra cui banche, assicuratori e altre società di servizi finanziari, al fine di proteggere le informazioni riservate. Da allora, il regolamento è diventato fondamentale per qualsiasi azienda che operi nello Stato e il mancato rispetto può comportare sanzioni e multe costose.

Di recente, il NYDFS ha rilasciato aggiornamenti al NYCRR 500, apportando diverse modifiche e nuovi requisiti che le aziende dovranno rispettare per rimanere conformi. Questi aggiornamenti includono modifiche alla governance della sicurezza informatica, linee guida sulla crittografia delle informazioni non pubbliche (NPI) e le misure necessarie alle organizzazioni per la continuità operativa e la gestione degli incidenti.

Di fronte a requisiti normativi complessi ma essenziali, le organizzazioni che dipendono dall'emulazione di terminale e dall'accesso tramite green screen per i sistemi mainframe devono assicurarsi di essere dotate degli strumenti giusti che possano contribuire a mantenere l'infrastruttura IT esistente sicura e conforme alle policy in continua evoluzione.

Ma cosa sta cambiando esattamente per le aziende nello Stato di New York? Analizziamolo più da vicino.

Normativa sulla sicurezza informatica del NYDFS: cosa è cambiato?

Fin dalla sua introduzione, il regolamento si è evoluto per adattarsi al mutevole panorama della sicurezza informatica. In questo ultimo aggiornamento, tre sono le aree chiave interessate dai cambiamenti, tra cui:

• Governance della sicurezza informatica – In base alle ultime modifiche, i Chief Information Security Officer (CISO) devono ora includere piani per la correzione di carenze sostanziali nelle relazioni scritte agli organi di governo senior. I CISO sono inoltre tenuti a segnalare a tali organi di governo senior o dirigenti le questioni sostanziali relative alla sicurezza informatica, inclusi eventi significativi o modifiche al loro programma di sicurezza informatica. E gli organi di governo senior di tali aziende e organizzazioni dovranno esercitare la supervisione della gestione del rischio di sicurezza informatica.
• Crittografia delle informazioni non pubbliche: questo aspetto implica che le organizzazioni debbano implementare una policy scritta che richieda una crittografia conforme agli standard di settore. Le organizzazioni non possono più utilizzare efficaci controlli di compensazione alternativi per la crittografia delle informazioni non pubbliche in transito su reti esterne; tuttavia, le entità possono utilizzare efficaci controlli di compensazione per la crittografia delle informazioni non pubbliche a riposo, a condizione che tali controlli siano rivisti e approvati per iscritto dal CISO almeno una volta all'anno.
• Gestione della risposta agli incidenti e della continuità operativa - I piani di risposta agli incidenti rimangono un requisito in base a queste modifiche, ma devono essere aggiornati come specificato e testati, almeno una volta all'anno. Devono essere implementati anche piani di continuità operativa e di risposta ai disastri progettati per affrontare le interruzioni legate alla sicurezza informatica, come specificato. Le organizzazioni interessate sono tenute a formare tutti i dipendenti coinvolti nell'implementazione dei piani, testare i piani con il personale critico, rivedere i piani se necessario, testare la capacità di ripristinare dati e sistemi informativi critici dai backup e mantenere e proteggere adeguatamente i backup necessari per ripristinare le operazioni materiali.

Queste modifiche includono anche nuovi requisiti per le piccole imprese. Queste organizzazioni devono ora implementare policy che includano l'autenticazione a più fattori (MFA) per qualsiasi accesso remoto ai propri sistemi informativi, l'accesso remoto ad applicazioni di terze parti in cui l'NPI è accessibile (incluse le applicazioni cloud) e gli account privilegiati. È inoltre richiesto a tali organizzazioni di fornire formazione sulla sicurezza informatica, almeno una volta all'anno, a tutto il personale, in materia di ingegneria sociale, come il phishing, compromissioni delle e-mail aziendali e tecniche potenziate dall'intelligenza artificiale, come i deepfake.

Rocket Software e accesso host con schermo verde sicuro

Con le modifiche alla sicurezza e all'accesso remoto nelle linee guida dello Stato di New York, le organizzazioni devono dare priorità alle proprie capacità di emulazione di terminale. Questo è il momento perfetto per rivolgersi a fornitori terzi per ottenere supporto. Ad esempio, Rocket Software offre soluzioni uniche per garantire alle aziende soggette a questo tipo di regolamentazione la capacità di adattarsi ed evolversi di pari passo con tali requisiti.

Per le organizzazioni che devono gestire l'accesso tramite green screen tenendo conto di rigorose considerazioni di sicurezza, le funzionalità di accesso host tramite green screen sicuro di Rocket Software possono modernizzare l'accesso mainframe senza interruzioni. Rocket semplifica la gestione delle sessioni di emulazione di terminale mainframe e il monitoraggio dello stato della crittografia, un aspetto diventato ancora più importante alla luce degli ultimi aggiornamenti relativi a NPI.

Estensione della gestione degli accessi alle applicazioni mainframe

Rocket può anche aiutare ad estendere le soluzioni di gestione delle identità e degli accessi (IAM) delle organizzazioni per includere l'accesso alle applicazioni host mainframe, consentendo loro di sfruttare importanti strumenti MFA e di garantire la sicurezza dell'accesso alle applicazioni. Con l'evoluzione dei requisiti del 23 NYCRR 500, garantire che i parametri di accesso al sistema siano in linea sia con le policy aziendali che con le normative esterne sarà fondamentale, soprattutto con la crescente enfasi sulle valutazioni periodiche dei rischi. Con servizi di sicurezza mainframe, come le valutazioni di conformità, Rocket Software offre alle organizzazioni un maggiore controllo sull'accesso ai sistemi critici.

Scopri di più su come Rocket Software può aiutare la tua organizzazione ad adattarsi alle più recenti normative sulla sicurezza.