La legge modello NAIC sulla sicurezza dei dati: proteggere l'accesso tramite schermo verde ai dati degli assicurati.

Per conformarsi alla Legge Modello NAIC sulla Sicurezza dei Dati, le compagnie assicurative devono proteggere l'accesso ai dati degli assicurati tramite i sistemi host, modernizzando i controlli di accesso, implementando un'autenticazione robusta e generando log pronti per le verifiche. La mancata risoluzione delle vulnerabilità nell'accesso ai mainframe obsoleti espone informazioni sensibili e comporta il rischio di sanzioni normative. La modernizzazione dell'accesso ai sistemi critici non solo tutela la fiducia degli assicurati, ma semplifica anche la conformità, consentendo di rilevare attività non autorizzate in tempo reale e di rispondere tempestivamente alle minacce in continua evoluzione.

Gli enti regolatori hanno istituito la Legge Modello sulla Sicurezza dei Dati della National Association of Insurance Commissioners (NAIC) per affrontare i rischi crescenti. Questo quadro normativo definisce requisiti rigorosi per la protezione dei dati, il controllo degli accessi e la gestione degli incidenti. Molte compagnie assicurative trovano la conformità una sfida. I mainframe altamente affidabili spesso si basano su metodi di accesso obsoleti privi di moderni controlli di sicurezza.

Per conformarsi alla Legge Modello NAIC sulla Sicurezza dei Dati, le compagnie assicurative dovrebbero prendere in considerazione le seguenti strategie pratiche:

• Modernizzare i controlli di accesso per i sistemi principali, abbandonando le vecchie password a favore di una gestione centralizzata e avanzata delle identità e degli accessi (IAM).
• Integrare l'accesso a mainframe e schermi verdi con le piattaforme IAM aziendali e le migliori pratiche per un'applicazione unificata delle policy.
• Applicare il principio del minimo privilegio, in modo che i dipendenti accedano solo ai dati e alle applicazioni necessari per lo svolgimento del loro ruolo.
• Automatizza il provisioning e il deprovisioning degli utenti per aggiornare o revocare rapidamente l'accesso in base all'evoluzione dei ruoli lavorativi.
• Implementare l'autenticazione a più fattori (MFA) per ogni sessione host al fine di prevenire accessi non autorizzati, anche in caso di compromissione delle password.
• Abilita l'accesso Single Sign-On (SSO) per un accesso semplificato e sicuro dei dipendenti alle applicazioni host.
• Implementare soluzioni che generino registri di controllo completi, centralizzati e immutabili per ogni sessione host.
• Integra i dati di log con gli strumenti SIEM per un monitoraggio continuo, una risposta rapida agli incidenti e una facile creazione di report di audit.

Questi passaggi aiutano le compagnie assicurative a colmare le lacune in materia di conformità, a proteggere i dati sensibili degli assicurati e a costruire una solida base per le operazioni assicurative digitali.

Che cos'è la Legge Modello NAIC sulla Sicurezza dei Dati?

La legge modello NAIC sulla sicurezza dei dati definisce standard rigorosi per la sicurezza dei dati, la notifica delle violazioni e l'indagine sugli eventi di sicurezza informatica nel settore assicurativo. Le compagnie assicurative devono creare e mantenere un programma scritto di sicurezza delle informazioni basato su una chiara valutazione del rischio.

I controlli di accesso sono una componente fondamentale di questa legge. È necessario limitare l'accesso alle informazioni non pubbliche e monitorare costantemente i propri sistemi per individuare attività non autorizzate o potenziali violazioni.

I vecchi emulatori di schermo verde lasciano esposti dati sensibili degli assicurati. Senza moderni controlli di accesso e un monitoraggio continuo, ogni connessione rappresenta una potenziale vulnerabilità, mettendo a rischio la fiducia e la conformità.

I mainframe di vecchia generazione elaborano miliardi di transazioni e contengono enormi quantità di informazioni personali (PII), dati finanziari e sanitari. Sebbene le architetture dei mainframe possano essere robuste, i tradizionali emulatori "a schermo verde" spesso rappresentano dei punti deboli, lasciando vulnerabili i dati sensibili.

I rischi dell'accesso ai dati preesistenti nel panorama assicurativo moderno

Affidarsi a password statiche per l'accesso al mainframe espone i dati degli assicurati a strategie di attacco informatico come il phishing e il credential stuffing, nonché a potenziali attacchi di ingegneria sociale. I metodi di autenticazione tradizionali non sono più in grado di tenere il passo con il panorama delle minacce odierne, sempre più complesso.

Quando le organizzazioni si affidano a controlli di accesso obsoleti, aumentano il rischio di lacune in materia di conformità. Gli emulatori tradizionali spesso operano al di fuori dei moderni perimetri di sicurezza. Richiedono una gestione separata delle credenziali, il che frammenta i flussi di lavoro di sicurezza. Questa frammentazione crea punti ciechi. Diventa più difficile applicare policy di sicurezza coerenti. Anche l'abilitazione di controlli di accesso dinamici o il monitoraggio efficace del comportamento degli utenti risultano più complessi.

Colmare il divario tra i sistemi di sicurezza tradizionali e quelli moderni è fondamentale: controlli frammentati sulle applicazioni principali possono comportare violazioni della conformità. Integrare l'infrastruttura legacy con strumenti di sicurezza moderni è essenziale per salvaguardare i dati degli assicurati e soddisfare i requisiti NAIC.

Come modernizzare i controlli di accesso per garantire la conformità

Per modernizzare i controlli di accesso ai fini della conformità, le compagnie assicurative dovrebbero integrare le applicazioni host legacy con strategie IAM centralizzate. Questo approccio protegge i percorsi di accesso senza sostituire i sistemi centrali, semplificando l'applicazione di policy coerenti e la chiusura delle lacune di sicurezza.

L'integrazione moderna offre vantaggi fondamentali:

• Applica il principio del minimo privilegio mappando le autorizzazioni di accesso agli host ai ruoli IAM, garantendo che i dipendenti possano accedere solo ai dati e alle applicazioni essenziali per il loro lavoro.
• Automatizza le procedure di provisioning e deprovisioning, semplificando l'aggiornamento o la revoca rapida dell'accesso in caso di cambio di ruolo o cessazione del rapporto di lavoro dei dipendenti.
• Riduce la complessità amministrativa ed elimina i rischi associati ai conti inattivi.

Implementazione dell'autenticazione a più fattori per una maggiore sicurezza.

L'autenticazione a più fattori (MFA) è ora essenziale per la protezione delle informazioni non pubbliche ai sensi della legge modello NAIC sulla sicurezza dei dati. Con l'evoluzione delle minacce alle credenziali, l'MFA aggiunge un livello di sicurezza fondamentale, bloccando gli accessi non autorizzati e rafforzando la difesa complessiva dei dati.

L'aggiunta dell'autenticazione a più fattori (MFA) ai sistemi legacy può essere complessa. Le soluzioni moderne per la protezione dell'accesso ai sistemi host risolvono questo problema con l'MFA basata su sessione. Quando i dipendenti avviano una sessione host, viene attivata un'autenticazione secondaria tramite il provider IAM. Gli utenti devono verificare la propria identità, utilizzando dati biometrici, token hardware o app di autenticazione, prima di poter accedere.

L'autenticazione a più fattori basata su sessione autentica gli utenti al momento dell'accesso, garantendo che solo le persone verificate possano accedere ai dati sensibili del mainframe. Questo approccio soddisfa i requisiti Zero Trust e gli standard NAIC, bloccando gli accessi non autorizzati anche in caso di compromissione delle credenziali di rete.

L'integrazione dell'autenticazione a più fattori (MFA) con il single sign-on (SSO) semplifica ulteriormente l'esperienza utente. I principali vantaggi includono:

• I dipendenti si autenticano una sola volta nel portale aziendale per un accesso rapido e sicuro alle applicazioni host.
• L'accesso senza password riduce la fatica legata alle credenziali e il rischio di violazioni dei dati connesse alle password.
• Flussi di lavoro più semplici favoriscono tassi di adozione più elevati da parte degli utenti.
• Meno reimpostazioni della password e meno blocchi dell'account significano meno richieste di assistenza.
• I team dedicano meno tempo ai problemi di accesso e più tempo al servizio clienti.

Generazione di registri pronti per la verifica per dimostrare la conformità

La generazione di registri pronti per le verifiche è essenziale per la conformità alla Legge modello sulla sicurezza dei dati della NAIC. Le compagnie assicurative devono mantenere registrazioni chiare e dettagliate di tutti gli accessi al sistema e delle azioni degli utenti per garantire una rapida risposta agli incidenti e dimostrare la piena conformità normativa.

Gli emulatori tradizionali spesso creano registri incoerenti e frammentari. Questi registri disorganizzati sono difficili e richiedono molto tempo per essere riorganizzati. Quando si verificano incidenti, questa mancanza di chiarezza ostacola le indagini e può anche ritardare la segnalazione obbligatoria alle autorità statali.

Una strategia di accesso host modernizzata dovrebbe includere:

• Tracce di controllo complete e immutabili per ogni sessione host
• Registrazione dettagliata dei tempi esatti di connessione, delle applicazioni utilizzate e della durata della sessione.
• Formati di registrazione centralizzati e standardizzati per semplificare il monitoraggio e la creazione di report.
• Log pronti per l'integrazione con strumenti SIEM, a supporto del rilevamento delle minacce in tempo reale e della risposta rapida.

I log centralizzati e standardizzati facilitano l'integrazione con gli strumenti SIEM, consentendo il rilevamento delle minacce in tempo reale e una reportistica di conformità rapida e accurata.

Collabora con Rocket^® per proteggere i dati degli assicurati.

La protezione dei dati degli assicurati è essenziale per soddisfare i requisiti della Legge Modello NAIC sulla Sicurezza dei Dati e per mantenere la fiducia. Investite in soluzioni che proteggano le informazioni sensibili senza interrompere i sistemi aziendali principali.

Rocket^® Software comprende le esigenze specifiche della modernizzazione IT nel settore assicurativo. Con Rocket^® Secure Host Access, è possibile collegare l'accesso tramite interfaccia grafica (green screen) a moderne soluzioni IAM come Okta, Microsoft Entra ID o Ping Identity. Questa strategia estende i protocolli di sicurezza avanzati direttamente al mainframe. Ogni utente che tenta di accedere ai dati degli assicurati viene valutato in base alle policy di sicurezza generali dell'organizzazione prima di ottenere l'accesso. Questo approccio offre una vera e propria difesa multilivello per i flussi di lavoro del mainframe.

L'implementazione Rocket^® Secure Host Access offre controllo centralizzato, autenticazione a più fattori basata su sessione e registri di controllo chiari. È possibile soddisfare i requisiti NAIC, rafforzare la conformità e proteggere i dati degli assicurati, garantendo al contempo un accesso sicuro ed efficiente al mainframe.