Optimisez la conformité aux exigences de cybersécurité des services financiers de New York grâce à une architecture Zero Trust et une protection maximale des données
Le New York State Department of Financial Services (NYDFS) Second Amendment to 23 NYCRR 500 exige que toutes les entités concernées opérant sous licence, enregistrement, charte ou toute autre autorisation similaire relevant de la Banking Law, de la Insurance Law ou de la Financial Services Law de l’État de New York mettent en place des programmes de cybersécurité couvrant la gestion des vulnérabilités, le contrôle des accès, le chiffrement, la planification de la réponse aux incidents et la gestion des risques liés aux tiers.
Kiteworks propose une plateforme sécurisée de communications de données qui accompagne les entités soumises à la réglementation NYDFS grâce au partage de fichiers chiffrés, à des outils de collaboration sécurisés et à des fonctions d’audit détaillées répondant aux exigences strictes de protection des données et de reporting de la réglementation. La plateforme repose sur une architecture Zero Trust avec déploiement d’appliance virtuelle durcie, tout en maintenant une journalisation et une intégration SIEM intégrées pour assurer une surveillance continue. Les organisations atteignent la conformité réglementaire grâce à des contrôles d’accès basés sur les rôles, une gestion automatisée du cycle de vie des utilisateurs et des fonctions de surveillance de la sécurité en temps réel.
Mettre en place une architecture Zero Trust avec des fonctions de sécurité avancées
Les institutions financières font face à des défis complexes pour mettre en œuvre des programmes de cybersécurité qui protègent la confidentialité, l’intégrité et la disponibilité des systèmes d’information tout en assurant six fonctions essentielles :
- identifier les risques
- protéger les systèmes
- détecter les événements
- répondre aux incidents
- restaurer les opérations
- remplir les obligations de reporting.
Les organisations doivent déployer des cadres robustes couvrant la gestion des vulnérabilités, les contrôles d’accès, le chiffrement et la surveillance continue sur tous les canaux de communication et flux de données, dans des délais réglementaires stricts.
Gérer des droits d’accès complexes pour plusieurs catégories d’utilisateurs
Les entités concernées peinent à appliquer les principes du moindre privilège tout en :
- gérant un nombre limité de comptes à privilèges
- réalisant des revues d’accès annuelles
- sécurisant les protocoles d’accès à distance
- mettant fin rapidement aux accès lors des départs de collaborateurs
Les entreprises de classe A doivent également se doter de solutions de gestion des accès à privilèges et de blocage automatisé des mots de passe courants, ce qui complexifie la gouvernance des accès et impose une intégration avec les systèmes de gestion des identités existants, tout en maintenant la séparation des tâches pour des populations d’utilisateurs variées.
Surveillance continue de la sécurité et exigences de formation obligatoire
Les organisations doivent mettre en place des contrôles adaptés au risque pour surveiller les activités des utilisateurs autorisés, détecter les accès non autorisés, se protéger contre le code malveillant via des filtres web et e-mail, et proposer une formation annuelle sur l’ingénierie sociale. Les entreprises de classe A doivent aussi déployer des solutions de détection des endpoints et des systèmes de journalisation centralisée, ce qui crée des opérations de sécurité et des dispositifs de sensibilisation nécessitant une détection des menaces en temps réel, des réponses automatisées et une documentation de conformité continue sur tous les canaux de communication.
Appliance virtuelle durcie et protection des composants par niveaux
Kiteworks répond à ces exigences grâce au déploiement d’une appliance virtuelle durcie qui réduit la surface d’attaque en s’appuyant sur une architecture Zero Trust « assume-breach » et un positionnement des composants par niveaux. La plateforme segmente les couches de service pour bloquer les mouvements latéraux et l’exfiltration, tout en offrant des fonctions de cybersécurité avancées, notamment :
- des fonctions de gestion des actifs
- une gestion native des utilisateurs avec intégration aux systèmes d’identités externes
- une journalisation consolidée et normalisée sur tous les canaux de communication, avec des flux SIEM continus via syslog et Splunk Forwarder.
Contrôles basés sur les rôles et gestion automatisée du cycle de vie utilisateur
Kiteworks met en œuvre une gestion avancée des droits d’accès grâce à des contrôles d’accès basés sur les rôles qui attribuent des ensembles d’autorisations pour les fonctions et ressources, associés à des contrôles d’accès basés sur les attributs pour une gestion dynamique des accès aux données. Le système applique par défaut le moindre privilège : les utilisateurs reçoivent automatiquement les droits strictement nécessaires, avec huit rôles administrateur par défaut pour répondre aux exigences réglementaires et des rôles personnalisés selon les besoins. L’intégration avec LDAP et Microsoft Active Directory permet l’automatisation de l’onboarding, de l’offboarding et de la mise à jour des rôles utilisateurs.
Journalisation en temps réel et contrôles de sécurité intégrés
Kiteworks conserve des journaux détaillés pour toutes les activités de sécurité et de conformité, en nettoyant, normalisant, standardisant et agrégeant automatiquement les informations dans des flux unifiés. La plateforme intègre un pare-feu applicatif web qui détecte et bloque les attaques web et API REST sans maintenance. La journalisation consolidée et normalisée couvre tous les canaux de communication avec des flux SIEM continus, et le système alimente les SIEM en temps réel, contrairement à d’autres solutions qui retardent l’enregistrement des logs jusqu’à 72 heures.
Foire aux questions
L’architecture Zero Trust est un modèle de sécurité qui considère qu’aucun utilisateur ou système n’est digne de confiance par défaut, exigeant une vérification continue pour accéder aux ressources. Elle s’avère essentielle pour les institutions financières afin de garantir la confidentialité, l’intégrité et la disponibilité des systèmes d’information, tout en gérant les risques, protégeant les systèmes, détectant les incidents, réagissant aux événements, assurant la reprise d’activité et remplissant les obligations de reporting dans des cadres réglementaires stricts.
Kiteworks propose une gestion avancée des privilèges d’accès grâce à des contrôles d’accès basés sur les rôles, qui attribuent des ensembles d’autorisations pour les fonctions et les ressources, associés à des contrôles basés sur les attributs pour un accès dynamique aux données. Il applique le principe du moindre privilège par défaut, propose huit rôles administrateur prédéfinis pour répondre aux exigences réglementaires et prend en charge les rôles personnalisés. L’intégration avec LDAP et Microsoft Active Directory permet l’automatisation de l’intégration, la désactivation et la mise à jour des rôles utilisateurs.
Les organisations doivent relever le défi de mettre en œuvre des contrôles basés sur les risques pour surveiller les activités des utilisateurs autorisés, détecter les accès non autorisés, se protéger contre le code malveillant et dispenser une formation annuelle à l’ingénierie sociale. Les entreprises de classe A doivent également déployer des solutions de détection des points de terminaison et des systèmes de journalisation centralisée, ce qui implique la détection des menaces en temps réel, des réponses automatisées et un reporting continu de conformité sur tous les canaux de communication.
L’appliance virtuelle durcie de Kiteworks renforce la cybersécurité en réduisant la surface d’attaque grâce à une architecture Zero Trust basée sur l’hypothèse de compromission, avec une segmentation par niveaux des composants. Elle isole les couches de services pour empêcher les mouvements latéraux et l’exfiltration de données, tout en offrant la gestion des actifs, la gestion native des utilisateurs avec intégration à des systèmes d’identité externes, et une journalisation normalisée et centralisée sur tous les canaux de communication avec des flux SIEM continus.
RESSOURCES EN VEDETTE
L’appliance virtuelle durcie de Kiteworks possède plusieurs niveaux de sécurité pour réduire considérablement les risques et la gravité des attaques
