Guide pour se conformer à la règle de sauvegarde de la FTC

La règle de sauvegarde de la Federal Trade Commission (FTC) est une réglementation fédérale qui exige des institutions financières qu’elles mettent en œuvre des mesures pour protéger les informations des clients. Cette règle, qui fait partie de la Loi Gramm-Leach-Bliley (GLBA), est conçue pour garantir que les institutions financières et autres entités offrant des services et produits financiers aux consommateurs prennent les mesures nécessaires pour protéger les données de leurs clients. La règle de sauvegarde s’applique aux banques, aux coopératives de crédit, aux firmes d’investissement et à toute autre institution financière qui offre des services ou produits financiers aux consommateurs.

Les institutions financières doivent développer et mettre en œuvre une politique de sécurité de l’information écrite qui inclut des mesures de sécurité physique et des procédures pour détecter et prévenir l’accès non autorisé et répondre aux incidents de sécurité. La politique doit également inclure des mesures pour garantir que les tiers avec lesquels elles font affaire disposent également de mesures de sécurité appropriées. De plus, la règle de sauvegarde exige que les institutions financières fournissent aux clients un avis sur leurs pratiques de sécurité de l’information et forment les employés aux meilleures pratiques de sécurité de l’information.

Qui doit se conformer à la règle de sauvegarde de la FTC ?

La règle de sauvegarde de la FTC couvre un large éventail d’entités qui fournissent des services financiers, des petites boutiques aux grandes entités corporatives. Le terme « Institution Financière » peut aujourd’hui sembler plutôt ambigu, car il englobe bien plus que les institutions financières traditionnelles telles que les banques et les coopératives de crédit. Les concessionnaires automobiles, les conseillers en carrière financière, les conseillers en crédit, les évaluateurs de biens personnels ou immobiliers, les agences de recouvrement, les entreprises de vérification de chèques, les détaillants fournissant des cartes de crédit en magasin, les comptables et les services de préparation de déclarations fiscales, les entreprises qui transfèrent de l’argent entre consommateurs, les courtiers hypothécaires et les agences de voyage en lien avec les services financiers ne sont que quelques-unes des entités qui relèvent de la règle de sauvegarde de la FTC.

Avec l’essor de la transformation numérique, la définition d’une Institution Financière est constamment en expansion et affinée pour refléter les nouveaux défis présentés par le paysage numérique en rapide évolution. Dans un avenir proche, des entreprises qui ne relèvent actuellement pas de la règle de sauvegarde pourraient être incluses dans cette catégorie. Ainsi, il est important de comprendre la règle de sauvegarde de la FTC et de s’assurer qu’une entreprise est conforme pour maintenir une bonne position auprès de la FTC et protéger les intérêts financiers de leurs clients.

Quelles sont les conséquences du non-respect de la règle de sauvegarde de la FTC ?

Si une institution financière est

jugée en violation de la règle de sauvegarde, la FTC peut imposer des amendes, rechercher des injonctions ou exiger que l’institution financière mette en place un programme de conformité. Le montant de l’amende dépendra de la gravité de la violation et de la taille de l’institution financière. En plus de l’utilisation de la FTC pour faire respecter la règle de sauvegarde, d’autres agences réglementaires, telles que le Bureau de protection financière du consommateur (CFPB) et les régulateurs bancaires d’État, peuvent également prendre des mesures et imposer des pénalités pour non-conformité.

Les organismes de réglementation peuvent évaluer et auditer les institutions financières pour s’assurer qu’elles sont conformes à la règle de sauvegarde. Cela peut se faire par des auto-évaluations, des examens sur place ou des audits indépendants. Il est important pour les institutions financières d’être proactives pour garantir qu’elles suivent la règle de sauvegarde et de développer un programme de conformité qui inclut des mesures telles que des audits réguliers, la formation des employés et le développement de politiques et procédures pour protéger les informations des clients.

Il est essentiel pour les institutions financières de prendre au sérieux la règle de sauvegarde de la FTC et de mettre en œuvre des mesures pour protéger les informations des clients. Le non-respect de la règle peut entraîner des actions d’exécution, des amendes et d’autres pénalités, ainsi que des conséquences négatives de la part des clients et des autorités réglementaires. Les institutions financières peuvent garantir la conformité en mettant en place un programme de conformité et en révisant et mettant à jour régulièrement leurs politiques et procédures, en réalisant des évaluations des risques et en formant les employés sur les meilleures pratiques de sécurité de l’information. En prenant ces mesures, les institutions financières peuvent aider à protéger leurs clients et éviter les pénalités associées au non-respect.

Éléments de la règle de sauvegarde de la FTC

La règle de sauvegarde de la FTC se compose de différents éléments, incluant :

Concevoir et mettre en œuvre un programme complet de sécurité de l’information

Selon la règle de sauvegarde de la FTC, les entreprises sont tenues de concevoir et de mettre en œuvre un programme complet de sécurité de l’information pour protéger les informations personnelles sensibles des clients qui sont en possession de l’entreprise. Ce programme doit inclure des garanties administratives, techniques et physiques raisonnables pour empêcher l’accès non autorisé, la modification ou la divulgation des données des clients.

Désigner un ou des employés pour coordonner le programme de sécurité

La règle de sauvegarde de la FTC exige que les entreprises désignent au moins un employé pour coordonner leur programme de sécurité. Cette personne devrait être responsable de la supervision de la mise en œuvre du programme et de sa mise à jour régulière pour répondre aux besoins de sécurité en constante évolution de l’organisation.

Évaluer les risques pour les informations des clients

Les entreprises doivent évaluer leurs risques de violation de données et autres incidents de sécurité, y compris les risques internes et externes. Cette évaluation doit être mise à jour périodiquement pour s’assurer qu’elle prend en compte les nouvelles menaces ou les changements dans l’environnement de l’entreprise.

Concevoir et mettre en œuvre des mesures de protection pour contrôler le risque

Les entreprises doivent concevoir et mettre en œuvre des mesures de protection appropriées pour répondre aux risques potentiels identifiés lors de l’évaluation des risques. Ces mesures de protection doivent inclure des mesures de sécurité administratives, techniques et physiques pour prévenir l’accès non autorisé, la perte, l’abus, la modification ou la destruction des informations des clients.

Surveiller et tester régulièrement les mesures de sécurité

Les entreprises doivent créer un processus pour surveiller et tester régulièrement l’efficacité de leurs mesures de sécurité. Cela inclut la réalisation régulière de scans de vulnérabilité, de tests de pénétration et d’autres audits de sécurité ainsi que le maintien d’une protection antimalware à jour.

Sélectionner des prestataires de services qui protègent adéquatement les informations des clients

Les entreprises doivent sélectionner des prestataires de services qui disposent de mesures de sécurité appropriées pour protéger les données des clients. Les entreprises doivent également avoir un processus en place pour évaluer la sécurité de tout nouveau prestataire de services choisi.

Ajuster les mesures de protection de sécurité selon les besoins

Les entreprises doivent ajuster leurs mesures de protection de sécurité selon les besoins pour garantir que les données des clients restent protégées contre l’accès non autorisé, la perte, l’abus, la modification ou la destruction. Cela inclut la surveillance continue des nouvelles menaces et l’ajustement du plan de sécurité en conséquence.

Évaluer le programme de sécurité au moins annuellement

Les entreprises doivent évaluer leur programme de sécurité au moins une fois par an pour garantir qu’il est efficace dans la protection des données des clients. Cette évaluation doit inclure une évaluation des mesures de sécurité en place ainsi que des changements depuis la dernière évaluation.

Développer et fournir une formation en sécurité aux employés

Les entreprises doivent offrir une formation en sécurité à tous leurs employés pour garantir qu’ils savent comment protéger les données des clients. Cette formation doit inclure des informations sur les politiques, procédures et mesures de sécurité de l’entreprise. Elle doit également couvrir les différents types de menaces et comment y répondre.

Comment les organismes réglementaires évaluent-ils et auditent-ils l’adhésion à ces normes ?

Les organismes réglementaires évaluent et auditent l’adhésion à la règle de protection de la FTC de diverses manières, mais toutes impliquent des examens approfondis des mesures de sécurité d’une institution financière. Ces méthodes incluent :

• Auto-évaluation: Les institutions financières peuvent être tenues de réaliser des auto-évaluations pour garantir qu’elles sont conformes à la règle de protection de la FTC. Cela pourrait inclure la révision des politiques et procédures, la réalisation d’évaluations des risques et le test des contrôles de sécurité.
• Examens : Les organismes réglementaires peuvent réaliser des examens sur site des institutions financières pour évaluer la conformité avec la règle de protection. Ces examens peuvent inclure la révision de documents, l’observation des pratiques et le test des contrôles.
• Audits : Les institutions financières peuvent également être tenues de subir des audits indépendants pour évaluer la conformité avec la règle de protection de la FTC. Ces audits peuvent être réalisés par des firmes tierces ou par les organismes réglementaires eux-mêmes.

Comment les services financiers peuvent utiliser Kiteworks pour protéger les informations des clients et se conformer à la règle de protection de la FTC

Kiteworks offre aux entreprises de services financiers la possibilité d’unifier les communications de contenu sensible sur une seule plateforme qui les aide à protéger les informations des clients et à répondre aux exigences de la règle de protection de la FTC. L’appliance virtuelle durcie de Kiteworks propose une gamme de fonctionnalités de sécurité pour prévenir les cyberattaques en employant une superposition de sécurités et des contrôles d’accès granulaires pour gérer les différents niveaux d’accès et de collaboration. Les politiques d’accès des comptes incluent des listes de blocage et d’autorisation, des restrictions IP et de localisation, et des exigences de complexité des mots de passe.

Le Réseau de contenu privé Kiteworks est conforme à la règle de protection de la FTC grâce à l’utilisation de pratiques de développement sécurisé, l’authentification multifactorielle (MFA) et la surveillance continue, des tests de pénétration périodiques et des évaluations de vulnérabilité. De plus, grâce à l’utilisation de technologies DevSecOps et de programmes de récompenses, Kiteworks peut constamment évaluer et remédier aux risques ou vulnérabilités potentiels. L’accès à Kiteworks est géré via l’authentification multifactorielle (MFA), nécessitant l’utilisation d’un mot de passe et d’un jeton numérique envoyé à un appareil. Avec le Réseau de contenu privé Kiteworks, les entreprises de services financiers peuvent garantir le plus haut niveau de protection pour leurs clients.

Programmez une démonstration personnalisée du Réseau de contenu privé Kiteworks dès aujourd’hui pour découvrir comment il peut accélérer votre conformité avec la règle de protection de la FTC.

 

Retour au glossaire Risque & Conformité