O que é a norma 23 NYCRR 500 e sua organização está em conformidade? Três atualizações importantes e como elas impactam seu acesso ao servidor de tela verde.

Em 2017, o Departamento de Serviços Financeiros do Estado de Nova York (NYDFS) estabeleceu a 23 NYCRR 500, uma regulamentação de cibersegurança que define requisitos específicos para empresas de serviços financeiros no estado de Nova York, ou que operam em Nova York, incluindo bancos, seguradoras e outras empresas do setor financeiro, com o objetivo de proteger informações não públicas. Desde então, a regulamentação tornou-se vital para qualquer empresa que opere no estado, e o descumprimento pode acarretar penalidades e multas elevadas.

Recentemente, o Departamento de Serviços Financeiros de Nova York (NYDFS) divulgou atualizações para o Título 23 do Código de Regulamentos de Nova York, Seção 500 (23 NYCRR 500 ), trazendo diversas mudanças e novos requisitos que as empresas precisarão seguir para manter a conformidade. Essas atualizações incluem alterações na governança de segurança cibernética, diretrizes sobre criptografia de informações não públicas (NPI) e o que as organizações precisam implementar para continuidade de negócios e gerenciamento de incidentes.

Diante de requisitos regulatórios complexos, porém vitais, as organizações que dependem de emulação de terminal e acesso por tela verde para sistemas mainframe precisam garantir que estejam equipadas com as ferramentas adequadas para manter a infraestrutura de TI existente segura e em conformidade com as políticas em constante mudança.

Mas o que exatamente está mudando para as empresas no estado de Nova York? Vamos analisar mais de perto.

Regulamentação de cibersegurança do NYDFS: O que mudou?

Desde a sua criação, o regulamento evoluiu para se adaptar ao cenário de cibersegurança em constante mudança. Nesta última atualização, três áreas principais foram impactadas pelas mudanças, incluindo:

• Governança de cibersegurança – De acordo com as mudanças mais recentes, os Diretores de Segurança da Informação (CISOs) agora precisam incluir planos para remediar deficiências materiais em relatórios escritos para os órgãos de governança sênior. Os CISOs também são obrigados a relatar a esses órgãos de governança sênior ou a seus executivos seniores sobre questões materiais de cibersegurança, incluindo eventos significativos de cibersegurança ou alterações em seus programas de cibersegurança. E os órgãos de governança sênior dessas empresas e organizações precisarão exercer supervisão sobre a gestão de riscos de cibersegurança.
• Criptografia de informações não públicas – Este aspecto significa que as organizações devem implementar uma política escrita que exija criptografia que atenda aos padrões da indústria. As organizações não podem mais usar controles compensatórios alternativos eficazes para criptografia de informações não públicas em trânsito por redes externas; no entanto, as entidades podem usar controles compensatórios eficazes para criptografia de informações não públicas em repouso, desde que os controles compensatórios sejam revisados ​​e aprovados por escrito pelo CISO pelo menos anualmente.
• Resposta a incidentes e gestão da continuidade de negócios - Os planos de resposta a incidentes continuam sendo um requisito sob essas mudanças, mas precisam ser atualizados conforme especificado e testados, no mínimo, anualmente. Planos de continuidade de negócios e de resposta a desastres, elaborados para lidar com interrupções relacionadas à segurança cibernética, conforme especificado, também devem estar em vigor. As organizações abrangidas são obrigadas a treinar todos os funcionários envolvidos na implementação dos planos, testar os planos com a equipe essencial, revisar os planos, se necessário, testar a capacidade de restaurar dados e sistemas de informação críticos a partir de backups e manter e proteger adequadamente os backups necessários para restaurar as operações essenciais.

Essas mudanças também incluem novos requisitos para pequenas empresas. Essas organizações agora precisam implementar políticas que incluam autenticação multifator (MFA) para qualquer acesso remoto aos seus sistemas de informação, acesso remoto a aplicativos de terceiros onde informações não pessoais (NPI) estejam acessíveis (incluindo aplicativos em nuvem) e contas privilegiadas. Além disso, agora é exigido que essas organizações ofereçam treinamento de conscientização sobre segurança cibernética, pelo menos uma vez por ano, a todos os funcionários, abordando engenharia social, como phishing, comprometimento de e-mails corporativos e técnicas aprimoradas por inteligência artificial, como deepfakes.

Rocket Software e acesso seguro ao host com tela verde

Com as mudanças nas diretrizes de segurança e acesso remoto do Estado de Nova York, as organizações precisam priorizar seus recursos de emulação de terminal. Este é o momento ideal para buscar suporte de fornecedores terceirizados. Por exemplo, a Rocket Software oferece soluções exclusivas para garantir que as empresas sujeitas a esse tipo de regulamentação possam se adaptar e evoluir conforme as exigências.

Para organizações que precisam gerenciar o acesso à tela verde, levando em consideração rigorosos requisitos de segurança, os recursos de acesso seguro ao host da tela verde da Rocket Software podem modernizar o acesso ao mainframe sem interrupções. A Rocket facilita o gerenciamento de sessões de emulação de terminal de mainframe e o monitoramento do status de criptografia, algo que se tornou ainda mais importante diante das recentes atualizações relacionadas à NPI (Interface Não Protegida).

Ampliar o gerenciamento de acesso em aplicações de mainframe

A Rocket também pode ajudar a expandir as soluções de gerenciamento de identidade e acesso (IAM) das organizações para abranger o acesso a aplicativos em mainframes, permitindo que elas aproveitem importantes ferramentas de autenticação multifator (MFA) e mantenham o acesso aos aplicativos seguro. À medida que os requisitos da norma 23 NYCRR 500 mudam, garantir que os parâmetros de acesso ao sistema estejam em conformidade tanto com as políticas corporativas quanto com as regulamentações externas será crucial — principalmente com o aumento da ênfase em avaliações de risco regulares. Com serviços de segurança para mainframe, como avaliações de conformidade, a Rocket Software oferece às organizações maior controle sobre o acesso a sistemas críticos.

Saiba mais sobre como a Rocket Software pode ajudar sua organização a se adaptar às mais recentes normas de segurança.