Regulamentos de conformidade cibernética do estado de Nova York
Vamos encarar. A conformidade regulatória não é um tema divertido, mas é necessário. Com as regulamentações em constante mudança e os padrões variando por setor, indústria e estado – às vezes sobrepostos – é um assunto confuso e assustador para muitas empresas.
Regulamentações de conformidade são promulgadas para manter as informações de clientes, funcionários e fornecedores protegidas contra cibercriminosos que estão encontrando novas maneiras de acessar esses dados confidenciais. As organizações devem mostrar que possuem todos os protocolos necessários em vigor, ou poderão enfrentar consequências severas.
Vamos dar uma olhada nas três principais regulamentações do Estado de Nova York sobre as quais somos mais questionados.
Lei SHIELD do NYS
Exige que as empresas “implementem e mantenham salvaguardas razoáveis ​​para proteger a segurança, confidencialidade e integridade” das informações privadas. Numa visão geral, estas medidas “razoáveis” de segurança cibernética incluem:
- Salvaguardas administrativas – formação e gestão de funcionários
- Salvaguardas técnicas – avaliação de projeto de rede, detecção de falhas
- Salvaguardas físicas – prevenção de intrusões, gestão de riscos
Se você não cumprir a Lei NYS SHIELD, poderá estar sujeito a penalidades legais, como multas pesadas, prisão, perda de direitos ou outras sanções penais.
Regulamento de segurança cibernética do NYDFS 23 NYCRR 500
O setor de serviços financeiros é um alvo lucrativo para os cibercriminosos. O Departamento de Serviços Financeiros do Estado de Nova Iorque (NYDFS) criou o Regulamento de Segurança Cibernética (23 NYCRR 500) para proteger os sistemas de informação de serviços financeiros e os dados dos consumidores. De acordo com este conjunto de requisitos, as organizações de serviços financeiros no NYS devem desenvolver e implementar um programa de segurança cibernética robusto e eficaz. Exige que as empresas avaliem o seu risco cibernético e desenvolvam um plano que aborde proativamente quaisquer riscos descobertos. Estas diretrizes garantem a implementação de um programa abrangente de segurança cibernética e de políticas de segurança cibernética. Isso inclui:
- Parcela de um plano detalhado de segurança cibernética
- Designação de um Diretor de Segurança da Informação (CISO)
- Promulgação de uma política abrangente de segurança cibernética
- Programa de inicialização e manutenção
O não cumprimento dos regulamentos de segurança cibernética da NYDSF sujeita a empresa a ações legais, como multas pesadas. No entanto, a extensão total das sanções legais ainda não foi definida.
Lei Educacional 2-D do NYS
Na tentativa do Departamento de Educação do Estado de Nova York (NYSED) de fortalecer a segurança e a privacidade dos dados, as agências educacionais e seus contratantes terceirizados (TPC) são agora obrigados a cumprir um conjunto de obrigações básicas para proteger a segurança, a confidencialidade e a integridade dos alunos. PPI sob sua custódia.
Os novos requisitos notáveis ​​envolvem:
-Ed. Os regulamentos da Lei 2-d aplicam-se não apenas aos distritos escolares públicos, mas também às escolas charter e às escolas de educação especial aprovadas pelo estado.
- A inclusão da Declaração de Direitos dos Pais em todos os contratos de terceiros que possuam PII de alunos, professores e diretores.
- Transparência sobre os acordos de terceiros relativos aos dados privados dos quais são parte nos seus sites.
- Adoção de uma política e plano de privacidade alinhado com a estrutura NIST CFS.
Para agências educacionais, não há penalidades civis por violação de dados ou divulgação não autorizada de PII. No entanto, quando um TPC não cumpre os regulamentos especificados, pode enfrentar diversas sanções civis, dependendo do tipo de violação. Violações repetidas resultam em penalidades mais severas. Essas penalidades incluem multas monetárias, acesso restrito às PII da agência educacional afetada ou acesso restrito às PII de qualquer agência educacional do estado por um período fixo de até cinco anos.
Como se tornar compatível com os regulamentos cibernéticos do estado de Nova York
Cumprir essas regulamentações é obrigatório, mas o processo não precisa ser desanimador. Para começar a trabalhar em seu programa de conformidade, identifique com que tipo de dados você trabalha e processa. Em seguida, analise quais requisitos podem ser aplicados à sua organização com base no tipo de dados que você possui. Além disso, como os requisitos de conformidade variam de estado para estado, observe os regulamentos do seu estado e dos estados com os quais você faz negócios.