ニューヨーク州金融サービス向けサイバーセキュリティ要件をゼロトラスト・セキュリティと包括的なデータ保護で効率化
ニューヨーク州金融サービス局（NYDFS）の23 NYCRR 500の第2次改正は、ニューヨーク州の銀行法、保険法、または金融サービス法の下でライセンス、登録、認可、または同様の許可を受けて事業を行うすべての対象事業体に対し、脆弱性管理、アクセス制御、暗号化、インシデント対応計画、サードパーティリスク管理を含む包括的なサイバーセキュリティプログラムの導入を義務付けています。
Kiteworksは、暗号化ファイル共有、セキュアなコラボレーションツール、および規制の厳格なデータ保護・報告要件に対応する詳細な監査機能を通じて、NYDFS規制対象事業体を支援する包括的なセキュアデータ通信プラットフォームを提供します。このプラットフォームは、強化された仮想アプライアンスによるゼロトラストアーキテクチャを実現し、包括的なログ管理とSIEM連携による継続的な監視を維持します。組織は、ロールベースのアクセス制御、自動化されたユーザーライフサイクル管理、リアルタイムのセキュリティ監視機能を通じて、規制コンプライアンスを達成できます。
包括的なセキュリティ機能によるゼロトラスト・アーキテクチャの確立
金融機関は、情報システムの機密性、完全性、可用性を保護するサイバーセキュリティプログラムを導入する際、以下の6つの主要機能を遂行しながら複雑な課題に直面しています。
- リスクの特定
- システムの保護
- イベントの検知
- インシデントへの対応
- 業務の復旧
- 報告義務の履行
組織は、脆弱性管理、アクセス制御、暗号化、全通信チャネルおよびデータワークフローにわたる継続的な監視を、厳格な規制期間内で実現する包括的なフレームワークを導入する必要があります。
継続的なセキュリティ監視と必須トレーニング要件
組織は、認可ユーザーの活動監視、未承認アクセスの検知、Webやメールフィルタリングによる悪意あるコードからの保護、年次のソーシャルエンジニアリング研修など、リスクベースのコントロールを実施する必要があります。クラスA企業には、エンドポイント検知ソリューションや集中型ログ管理システムの追加要件があり、リアルタイムの脅威検知、自動対応、全通信チャネルにわたる継続的なコンプライアンス文書化を伴う、包括的なセキュリティ運用と人的防御層の構築が求められます。
階層型コンポーネント保護を備えた強化型仮想アプライアンス
Kiteworksは、強化された仮想アプライアンスの導入により、ゼロトラストの前提侵害アーキテクチャと階層化されたコンポーネント配置で攻撃対象領域を最小化し、これらの要件に対応します。プラットフォームはサービス層を分割し、ラテラルムーブメントや情報流出を防止しつつ、以下のような包括的なサイバーセキュリティ機能を提供します。
- 資産管理機能
- 外部IDシステム連携を含むネイティブユーザー管理
- 全通信チャネルにわたる統合・正規化ログの継続的なSIEM連携（syslogおよびSplunk Forwarder経由）
自動ユーザーライフサイクル管理を備えたロールベース制御
Kiteworksは、ロールベースアクセス制御によって機能やリソースへのアクセス権限セットを割り当て、動的なデータアクセスを管理する属性ベースアクセス制御と組み合わせることで、包括的なアクセス権限管理を実現します。システムは最小権限のデフォルトを採用し、ユーザーには必要最小限の権限が自動的に付与されます。8つの標準管理者ロールが大半の規制要件を満たし、個別ニーズにはカスタムロールで対応。LDAPやMicrosoft Active Directoryとの連携により、ユーザーの自動オンボーディング・オフボーディング・ロール更新も可能です。
よくあるご質問
ゼロトラスト・アーキテクチャは、ユーザーやシステムを本質的に信頼せず、リソースへのアクセスごとに継続的な検証を求めるセキュリティモデルです。金融機関が情報システムの機密性、完全性、可用性を保護しつつ、リスクへの対応、システムの防御、イベントの検知、インシデント対応、業務復旧、厳格な規制下での報告義務の履行を実現するために不可欠です。
Kiteworksは、機能やリソースへのアクセス権限セットを割り当てるロールベースアクセス制御と、動的なデータアクセスを実現する属性ベースアクセス制御を組み合わせ、包括的なアクセス権限管理を実現しています。最小権限をデフォルトとし、規制要件に対応する8つの標準管理者ロールを提供し、カスタムロールにも対応しています。LDAPやMicrosoft Active Directoryとの連携により、ユーザーの自動オンボーディング、オフボーディング、ロール更新も可能です。
組織は、認可ユーザーの活動監視のためのリスクベース制御、未承認アクセスの検知、悪意あるコードへの防御、年次のソーシャルエンジニアリング研修の実施などに課題を抱えています。クラスA企業では、エンドポイント検知ソリューションや集中型ログシステムなど追加要件があり、リアルタイムの脅威検知、自動対応、全通信チャネルにわたる継続的なコンプライアンス文書化が求められます。
Kiteworksの強化された仮想アプライアンスは、ゼロトラストの侵害前提アーキテクチャと階層化されたコンポーネント配置により攻撃対象領域を最小化し、サイバーセキュリティを強化します。サービス層を分離することで、ラテラルムーブメントやデータ流出を防止し、資産管理、外部IDシステム連携によるネイティブユーザー管理、全通信チャネル横断の統合・正規化ログ、継続的なSIEMフィードも提供します。