Federal Banka Düzenleyicileri Bir Siber Güvenlik Olayından Sonra Bildirim Görevini Genişletiyor

0

BEĞENDİM

ABONE OL

News

0

Yönetmelik uyarınca, bankaların “herhangi bir önemli bilgisayar güvenliği olayı”ndan itibaren otuz altı (36) saat içinde birincil federal düzenleyici Kurumlarını bilgilendirmeleri gerekecektir

Para Birimi Denetçiliği Ofisi (OCC), Federal Mevduat Sigorta Kurumu (FDIC) ve Federal Rezerv Sistemi (FRB) Guvernörler Kurulu (her biri birer “Kurum” ve toplu olarak , “Ajanslar”), ABD bankacılık sistemine zarar veren siber güvenlik olaylarıyla ilgili bilgi paylaşımını iyileştirmek amacıyla 12 CFR Bölüm 53, 12 CFR Bölüm 225.300 ve 12 CFR Bölüm 304’te kodlanan tek tip bir düzenlemeye son şeklini verdi (“” Düzenleme”). Yönetmelik uyarınca, bankaların “herhangi bir önemli bilgisayar güvenliği olayı”ndan itibaren otuz altı (36) saat içinde birincil federal düzenleyici Kurumlarını bilgilendirmeleri gerekecektir.

https://www.natlawreview.com/article/federal-bank-regulators-expand-duty-to-notify-after-cybersecurity-event

Yönetmeliğin amacı nedir?

Yönetmelik, şu anda doğrudan siber güvenlik olayı raporlama gereklilikleri getirmeyen Banka Gizliliği Yasası ve diğer kara para aklamayla mücadele düzenlemeleri, Gramm-Leach Bliley Yasası ve Banka Hizmeti Şirketi Yasası kapsamında mevcut gereksinimler dahil olmak üzere federal düzenlemeler arasındaki mevcut bir boşluğu doldurmaktadır. Bankacılık kuruluşları için.

Yönetmelik ne zaman yürürlüğe giriyor?

Yönetmeliğin yürürlük tarihi 1 Nisan 2022 olmakla birlikte, 1 Mayıs 2022’ye kadar uyum gerekmektedir.

Kim etkilenir?

Yönetmelik, banka holding şirketlerine, tasarruf ve kredi holding şirketlerine, ulusal bankacılık birliklerine, devlete bağlı bankalara, federal ve eyalet tasarruf birliklerine/tasarruf kuruluşlarına ve yabancı bankaların federal ve eyalet şubelerine ve bunların hizmet sağlayıcılarına (bundan böyle topluca, “banka” veya “bankalar”).

Nelerin bildirilmesi gerekiyor?

Bankaların, herhangi bir önemli bilgisayar güvenliği olayının raporlama amacıyla bildirim olayları oluşturup oluşturmadığını duruma göre değerlendirmeleri gerekecektir. Aşağıda, genellikle rapor edilmesi gereken olayların kapsamlı olmayan bir listesi bulunmaktadır:

müşteri hesabı erişimini uzun bir süre boyunca kesintiye uğratan büyük ölçekli dağıtılmış hizmet reddi saldırıları;

bir bankacılık kuruluşu tarafından iş uygulamalarını çalıştırmak için temel bankacılık platformu için kullanılan bir banka hizmet sağlayıcısı, yaygın sistem kesintileri yaşıyor ve kurtarma süresi belirlenemiyor;

 müşteriler ve bankacılık kuruluşu çalışanları için yaygın kullanıcı kesintilerine neden olan başarısız bir sistem yükseltmesi veya değişikliği;

bir bankacılık kuruluşunun iş sürekliliği veya felaket kurtarma planının etkinleştirilmesiyle sonuçlanan kurtarılamaz bir sistem arızası;

bankacılık işlemlerini uzun süre devre dışı bırakan bir bilgisayar korsanlığı olayı;

bankanın ağındaki, bankanın temel iş kolları veya kritik operasyonları için yakın bir tehdit oluşturan veya bankanın, bankacılık kuruluşunun temel iş kollarını veya kritik operasyonlarını destekleyen güvenliği ihlal edilmiş ürünleri veya bilgi sistemlerini İnternet tabanlı ağ bağlantılarından ayırmasını gerektiren kötü amaçlı yazılımlar; ve

bir çekirdek bankacılık sistemini veya yedek verileri şifreleyen bir fidye kötü amaçlı yazılım saldırısı.

Bir banka kapsanan bir olayı ne zaman rapor etmelidir?

Yönetmelik uyarınca, bankaların, bir bildirim olayının gerçekleştiğini belirlemesinden sonraki otuz altı (36) saat içinde “herhangi bir önemli bilgisayar güvenliği olayı” hakkında birincil federal düzenleyici Kuruma bildirimde bulunmaları istenecektir. Ancak Yönetmelik, bir bankanın bir tebligat olayının meydana geldiğini “belirlemiş” sayıldığı durumları doğrudan ele almamaktadır. Ajanslar, olayın hemen keşfedilmesi gerekmediğini, ancak bir olayın keşfinin makul bir süre içinde yapılacağını tahmin ediyorlar. Ajanslar, bazı olayların normal çalışma saatleri dışında meydana gelebileceğini ve ancak bankacılık kuruluşu böyle bir karar verdiğinde zaman çerçevesinin başlayacağını kaydetti. Ajanslar, birincil federal düzenleyicilerine aynı gün bildirimde bulunmayı teşvik eder.

Mevcut uygulamada olduğu gibi, bildirim ilgili Kurumdaki uygun denetim ofisine veya irtibat noktasına yapılmalıdır ve Yönetmelik, bildirim için içerik veya biçim gerekliliklerini belirtmemektedir. Bildirimler Ajans irtibat noktasına telefon veya e-posta yoluyla yapılacaktır.

Bankalar Tüzüğe hazırlanmak için şu anda ne yapıyor olmalı?

Bu arada, bankalar 1 Mayıs 2022 uyumluluk son tarihine uymak için bir raporlama prosedürünün mevcut olduğundan emin olmak için dahili politika ve prosedürleri gözden geçirmelidir.

Devlet tarafından kiralanan bankaların, New York gibi bazı eyaletlerin benzer raporlama gereklilikleri uyguladığını akılda tutmaları gerektiğini not ediyoruz. Eyalet düzeyinde raporlama yükümlülükleri, Yönetmelik ve diğer federal raporlama gerekliliklerinden farklı olabilir.

Mevcut Mevzuat Gereksinimleri

Yeni Yönetmelik, bilgi güvenliğine ilişkin rehberin (“Güvenlik Rehberi”) kapsamadığı bir boşluğu doldurmaktadır. Spesifik olarak, mevcut kurumlar arası Güvenlik Yönergeleri, yalnızca belirli müşteri bilgilerinin ele geçirilmesi durumunda ve bir banka bilgilerin kötüye kullanılma olasılığının olduğunu tespit ederse, ilgili düzenleyiciye bildirimde bulunulmasını gerektirir. 12 CFR Bölüm 30, Ek B, 12 CFR Bölüm 208, Ek D-2 ve 12 CFR Bölüm 364, Ek B’de kodlanan Güvenlik Yönergeleri yürürlükte kalır ve her finans kuruluşunu, diğerlerinin yanı sıra, aşağıdaki riskleri değerlendirmeye yönlendirir: bilgi güvenliği programını geliştirmek: müşteri bilgilerinin veya müşteri bilgi sistemlerinin yetkisiz ifşasına, kötüye kullanımına, değiştirilmesine veya imha edilmesine neden olabilecek makul şekilde öngörülebilir dahili ve harici tehditler; müşteri bilgilerinin hassasiyetini dikkate alarak tehditlerin olasılığı ve olası zararları; ve Riskleri kontrol etmek için yürürlükte olan politikaların, prosedürlerin, müşteri bilgi sistemlerinin ve diğer düzenlemelerin yeterliliği.

Bu risklerin değerlendirilmesinin ardından, Güvenlik Yönergeleri, bir finans kuruluşunun belirlenen riskleri ele almak için bir program tasarlamasını şart koşar. Bir kurumun benimsemesi gereken özel güvenlik önlemleri, işinin karmaşıklığı ve kapsamının sunduğu risklere bağlı olacaktır. En azından, finans kuruluşunun Güvenlik İlkelerinde sıralanan belirli güvenlik önlemlerini dikkate alması ve aşağıdakiler de dahil olmak üzere kurum için uygun olanları benimsemesi gerekir:

Kimlik doğrulama ve yalnızca yetkili kişilere erişime izin verme kontrolleri ve çalışanların müşteri bilgilerini yetkisiz kişilere vermesini önlemeye yönelik kontroller dahil olmak üzere müşteri bilgi sistemleri üzerindeki erişim kontrolleri; müşteri bilgilerine erişim sorumluluğu olan çalışanlar için geçmiş kontrolleri; ve  Mali kuruluş, düzenleyici ve kanun uygulayıcı kurumlara uygun raporlar da dahil olmak üzere, yetkisiz kişilerin müşteri bilgi sistemlerine erişim elde ettiğinden şüphelendiğinde veya bunu tespit ettiğinde yapılacak işlemleri belirten yanıt programları.

Güvenlik Yönergeleri, (i) bir olayın niteliği ve kapsamının ve erişilen veya kötüye kullanılan müşteri bilgilerinin türlerinin değerlendirilmesi, (ii) birincil federal düzenleyici Kuruma mümkün olan en kısa sürede bilgi verilmesi de dahil olmak üzere bir yanıt programı için gereksinimler getirir. kurum, hassas müşteri bilgilerine yetkisiz erişimi veya hassas müşteri bilgilerinin kullanımını içeren bir olaydan haberdar olursa ve (iii) derhal ilgilenilmesi gereken federal suç ihlallerini içeren durumlarda Şüpheli Faaliyet Raporu’nu zamanında doldurmanın yanı sıra uygun kolluk kuvvetlerine bildirimde bulunur.

Bu yılın Kasım ayı itibarıyla oluşturulan Yönetmelik, genel güvenlik ihlallerini ve siber saldırıları hedeflemektedir ve müşteri bilgilerinin ele geçirilmesini ve Güvenlik İlkelerinde belirtilen bu bilgilerin olası kötüye kullanımını içeren olaylarla sınırlı değildir. Sonuç olarak Yönetmelik, bankaların siber güvenlik tehditlerini uygun şekilde ele almasını sağlamak için halihazırda mevcut düzenleyici yükümlülüklerle birlikte çalışmayı amaçlamaktadır.