OCC 2013-29 Naleving: Waarom beveiligde bestandsoverdracht voor banken ook partners moet omvatten
OCC 2013-29-naleving vereist dat banken verantwoordelijkheid nemen voor de beveiligingspraktijken van hun belangrijkste partners. Financiële instellingen kunnen voldoen aan OCC 2013-29 en andere regelgeving met beveiligde bestandsoverdracht voor banken.
De zwakste schakel
Volgens een recente enquête werd aan bankdirecteuren gevraagd of hun bank kwetsbaar zou zijn als een van hun leveranciers het slachtoffer zou worden van een cyberaanval of datalek.
Bijna de helft (44%) van alle respondenten antwoordde “ja”. Even zorgwekkend is dat 34% aangaf niet zeker te weten of hun bank kwetsbaar zou zijn. Slechts 21% van de respondenten gaf aan niet te geloven dat hun bank kwetsbaar zou zijn. (Let op: deze cijfers komen door afronding niet op honderd procent uit.)
Nu banken en andere organisaties partners en leveranciers opnemen in hun werkprocessen, betekent dit steeds vaker dat zij toegang moeten geven tot hun netwerken. Dit vereist het openen van een poort voor elke leverancier, zodat deze van buiten de firewall toegang heeft tot de benodigde informatie. Uiteraard geldt: hoe meer poorten deze organisaties openen, hoe moeilijker het wordt voor banken om hun gegevens te beheren, monitoren en beschermen. Dit is de huidige uitdaging bij beveiligde bestandsoverdracht voor banken.
Citi en Scottrade Bank zijn slechts twee voorbeelden van spraakmakende datalekken waarbij banken en hun zakenpartners betrokken waren.
OCC 2013-29-naleving
Het voorkomen van datalekken is niet de enige reden waarom beveiligde bestandsoverdracht voor banken topprioriteit moet zijn. In 2013 bracht het Office of the Comptroller of the Currency (OCC) Bulletin 2013-29 uit, met richtlijnen voor banken over hun verantwoordelijkheid voor de beveiliging van gegevens die aan derden worden toevertrouwd.
Het Bulletin noemt diverse vereisten voor risicobeheer die banken moeten aanpakken, waaronder het beoordelen van het informatiebeveiligingsprogramma van een derde partij en de mogelijke gevolgen voor informatiebeveiliging wanneer een derde partij toegang heeft tot de systemen en vertrouwelijke informatie van een bank.
Specifiek moet een bank bepalen of de derde partij voldoende ervaring heeft met het identificeren, beoordelen en beperken van huidige en potentiële bedreigingen en kwetsbaarheden. Banken moeten ook het IT-infrastructuur- en applicatiebeveiligingsprogramma van de derde partij evalueren.
Uiteindelijk, als een derde partij tekortschiet in informatiebeveiliging, maakt OCC 2013-29 duidelijk dat de bank een deel van de verantwoordelijkheid draagt. Daarom is naleving, of specifieker het voorkomen van een nalevingsschending, een extra reden voor beveiligde bestandsoverdracht voor banken.
Bereik OCC 2013-29-naleving met beveiligde bestandsoverdracht
Een beveiligde bestandsoverdrachtoplossing, zoals het Kiteworks secure file sharing and governance platform, biedt een enkele, gecontroleerde interface die integreert met on-premise en cloudgebaseerde content-systemen, zodat banken en andere financiële instellingen veilig bestanden kunnen delen met vertrouwde derden. Dit verbetert de risicobeheerpraktijken voor elk werk dat aan een derde partij wordt uitbesteed.
Beveiligde bestandsoverdracht voor banken wordt bereikt met:
- een geharde VM-appliance die kan worden ingezet in een private of hybride cloud
- encryptie van content tijdens transport en in rust
- eigendom van encryptiesleutels
- ATP- en DLP-integraties om te voorkomen dat schadelijke bestanden binnenkomen en klantgegevens uitlekken
Banken bereiken ook het hoogste niveau van governance over bestandsoverdracht met gedetailleerde beleidscontroles en rolgebaseerde machtigingen die ervoor zorgen dat gevoelige informatie alleen toegankelijk is voor geautoriseerde gebruikers.
Het beschermen van klantgegevens en het aantonen van naleving van OCC 2013-29 is verplicht voor banken en andere financiële instellingen. Beveiligde bestandsoverdracht voor banken en andere financiële instellingen is de kritieke route naar het bereiken van gegevensprivacy en naleving van regelgeving.
Veelgestelde vragen
Naleving van regelgeving verwijst naar het voldoen aan wetten, regels, richtlijnen en specificaties die relevant zijn voor de bedrijfsprocessen van een organisatie. Naleving is cruciaal voor het behouden van de reputatie van het bedrijf, het voorkomen van juridische sancties en het waarborgen van de veiligheid en beveiliging van de bedrijfsvoering.
Naleving van regelgeving beïnvloedt diverse sectoren op verschillende manieren, afhankelijk van de specifieke regelgeving die op elke sector van toepassing is. Zo moeten zorgorganisaties voldoen aan regelgeving zoals HIPAA die patiëntgegevens beschermt, terwijl financiële instellingen zich moeten houden aan regelgeving zoals de PCI DSS die financiële crises probeert te voorkomen. Defensie-aannemers moeten voldoen aan CMMC. Niet-naleving kan leiden tot zware sancties, waaronder boetes en reputatieschade.
Enkele veelvoorkomende uitdagingen zijn het bijhouden van veranderende regelgeving, het beheren en beveiligen van data, het opleiden van medewerkers over nalevingsvereisten en het toewijzen van voldoende middelen voor nalevingsactiviteiten. Daarnaast kunnen internationale organisaties te maken krijgen met de extra complexiteit van naleving in meerdere rechtsbevoegdheden.
Organisaties kunnen hun naleving van regelgeving aantonen via diverse methoden, zoals het bijhouden van uitgebreide documentatie van hun nalevingsactiviteiten, het uitvoeren van regelmatige audits en het bewaren van opleidingsregistraties. Daarnaast kunnen sommige regelgevingen vereisen dat organisaties periodiek rapportages indienen of externe audits ondergaan om hun naleving aan te tonen.
Data-encryptie speelt een cruciale rol bij naleving van regelgeving, omdat het helpt om gevoelige data te beschermen tegen ongeautoriseerde toegang. Veel regelgeving vereist dat organisaties passende beveiligingsmaatregelen nemen, waaronder encryptie, om data te beschermen. Door data te versleutelen, kunnen organisaties de vertrouwelijkheid en integriteit ervan waarborgen en zo bijdragen aan naleving.