ニューヨーク州金融サービス向けサイバーセキュリティ要件をゼロトラスト・セキュリティと包括的なデータ保護で効率化
ニューヨーク州金融サービス局（NYDFS）の23 NYCRR 500の第2次改正は、ニューヨーク州の銀行法、保険法、または金融サービス法に基づくライセンス、登録、認可、その他同様の許可を受けて事業を行うすべての対象事業体に対し、脆弱性管理、アクセス制御、暗号化、インシデント対応計画、サードパーティリスク管理を含む包括的なサイバーセキュリティプログラムの導入を義務付けています。
Kiteworksは、暗号化ファイル共有、セキュアなコラボレーションツール、および規制の厳格なデータ保護・報告要件に対応する詳細な監査機能を通じて、NYDFS規制対象事業体を支援します。プラットフォームはゼロトラスト・アーキテクチャと強化された仮想アプライアンスを提供し、包括的なログとSIEM連携による継続的な監視を実現します。組織は、ロールベースのアクセス制御、自動化されたユーザーライフサイクル管理、リアルタイムのセキュリティ監視により、規制コンプライアンスを達成できます。
ゼロトラスト・アーキテクチャと包括的なセキュリティ機能の確立
金融機関は、情報システムの機密性、完全性、可用性を保護するサイバーセキュリティプログラムを実施する際、以下の6つの中核機能を遂行しながら複雑な課題に直面しています。
- リスクの特定
- システムの保護
- イベントの検知
- インシデントへの対応
- 業務の復旧
- 報告義務の履行
組織は、脆弱性管理、アクセス制御、暗号化、およびすべてのコミュニケーションチャネルとデータワークフローにわたる継続的な監視を、厳格な規制時間枠内で実現する包括的なフレームワークを導入しなければなりません。
継続的なセキュリティ監視と必須トレーニング要件
組織は、認可ユーザーの活動監視、未承認アクセスの検知、Web・メールフィルタリングによる悪意あるコードからの保護、年次のソーシャルエンジニアリング研修など、リスクベースのコントロールを実装する必要があります。クラスA企業は、エンドポイント検知ソリューションや集中型ログシステムなど、追加要件への対応が求められ、リアルタイムの脅威検知、自動応答機能、継続的なコンプライアンス文書化を全コミュニケーションチャネルで実現する、包括的なセキュリティ運用と人的防御層の構築が必要です。
強化された仮想アプライアンスによる階層型コンポーネント保護
Kiteworksは、強化された仮想アプライアンスの導入を通じて、ゼロトラストの侵害前提アーキテクチャと階層的なコンポーネント配置により攻撃対象領域を最小化し、これらの要件に対応します。プラットフォームはサービス層を分割することでラテラルムーブメントや情報流出を防止し、以下を含む包括的なサイバーセキュリティ機能を提供します。
- 資産管理機能
- 外部IDシステム連携を備えたネイティブユーザー管理
- すべてのコミュニケーションチャネルにわたる統合・正規化ログの継続的なSIEM連携（syslogおよびSplunk Forwarder経由）
ロールベース制御と自動ユーザーライフサイクル管理
Kiteworksは、ロールベースアクセス制御による包括的なアクセス権限管理を実現し、機能やリソースへのアクセスを制御する権限セットの割り当てと、動的にデータアクセスを管理する属性ベースアクセス制御を組み合わせています。システムは最小権限のデフォルト設定を採用し、ユーザーには必要最小限の権限が自動的に付与されます。8つの標準管理者ロールで多くの規制要件を満たし、特定ニーズにはカスタムロールも対応。LDAPやMicrosoft Active Directoryとの連携により、ユーザーの自動オンボーディング、オフボーディング、ロール更新が可能です。
よくあるご質問
ゼロトラスト・アーキテクチャは、ユーザーやシステムを本質的に信頼せず、リソースへのアクセスごとに継続的な検証を求めるセキュリティモデルです。金融機関が情報システムの機密性、完全性、可用性を保護しつつ、リスクへの対応、システムの防御、イベントの検知、インシデント対応、業務復旧、厳格な規制下での報告義務の履行を実現するために不可欠です。
Kiteworksは、機能やリソースへのアクセス権限セットを割り当てるロールベースアクセス制御と、動的なデータアクセスを実現する属性ベースアクセス制御を組み合わせ、包括的なアクセス権限管理を実現しています。最小権限をデフォルトとし、規制要件に対応する8つの標準管理者ロールを提供し、カスタムロールにも対応しています。LDAPやMicrosoft Active Directoryとの連携により、ユーザーの自動オンボーディング、オフボーディング、ロール更新も可能です。
組織は、認可ユーザーの活動監視のためのリスクベース制御、未承認アクセスの検知、悪意あるコードへの防御、年次のソーシャルエンジニアリング研修の実施などに課題を抱えています。クラスA企業では、エンドポイント検知ソリューションや集中型ログシステムなど追加要件があり、リアルタイムの脅威検知、自動対応、全通信チャネルにわたる継続的なコンプライアンス文書化が求められます。
Kiteworksの強化された仮想アプライアンスは、ゼロトラストの侵害前提アーキテクチャと階層化されたコンポーネント配置により攻撃対象領域を最小化し、サイバーセキュリティを強化します。サービス層を分離することで、ラテラルムーブメントやデータ流出を防止し、資産管理、外部IDシステム連携によるネイティブユーザー管理、全通信チャネル横断の統合・正規化ログ、継続的なSIEMフィードも提供します。