Richtlinien für die Daten- und Cyber-Sicherheit (ICS) 2023
Die von der indischen Regierung 2017 eingeleitete Digitalisierung und die Fernarbeit während der COVID-19-Pandemie markierten einen Wandel in der Datenverarbeitung in der indischen Versicherungsbranche. Angesichts der sich entwickelnden Cyber-Sicherheitslandschaft hat die indische Regulierungs- und Entwicklungsbehörde für Versicherungen (IRDAI) am 24. April 2023 die Richtlinien für Daten- und Cyber-Sicherheit (ICS) eingeführt, die die Richtlinien von 2017 ablösen.
Als eines der führenden Unternehmen im Bereich der Datensicherheit unterstützt Thales Unternehmen in der Versicherungsbranche bei der Einhaltung der ICS-Richtlinien in 6 Sicherheitsbereichen durch die Empfehlung passender Technologien für Datensicherheit und Identitätsmanagement.
Überblick über die Verordnung
Der Hauptschwerpunkt der Richtlinien für Daten- und Cyber-Sicherheit (ICS) 2023 liegt auf einem datenzentrierten Sicherheitsansatz, d. h. auf der Sicherung der Daten selbst und nicht nur des Netzwerks oder Systems, in dem sie gespeichert sind. Die ICS-Richtlinien 2023 verpflichten die beaufsichtigten Unternehmen außerdem dazu, einen risikobasierten Ansatz zu verfolgen, die erforderlichen Maßnahmen zur Sicherung der Datenverwaltung zu ergreifen und Cyber-Bedrohungen in Form von Verlust, Missbrauch oder Veröffentlichung sensibler Kundendaten in jeglicher Form abzuschwächen.
Für welche Unternehmen gelten die ICS-Richtlinien?
Die ICS-Richtlinien 2023 gelten für alle Versicherungsvermittler, einschließlich Makler, ausländische Rückversicherungsunternehmen, Unternehmensvertreter, Web-Aggregatoren, Drittverwalter, Versicherungsmarketingfirmen, Versicherungsrepositorien, Insurance Self-Network Platforms, Unternehmensgutachter, Kfz-Versicherungsdienstleister, gemeinsame Servicezentren und das Insurance Information Bureau of India (IIB) (gemeinsam mit den Versicherern die „regulierten Unternehmen“).
ICS-Compliance
Thales unterstützt Unternehmen in der indischen Versicherungsbranche bei der Einhaltung der Daten- und Cyber-Sicherheitsrichtlinien 2023, indem es auf 6 Sicherheitsbereiche abzielt.
Richtlinien zu Sicherheitsbereichen | Lösungen von Thales |
|---|---|
2.1 Datenklassifizierung | |
3.3 Prozess der Datenklassifizierung: | CipherTrust Data Discovery and Classification erkennt strukturierte sowie unstrukturierte Daten on-premises und in der Cloud. Integrierte Templates ermöglichen eine schnelle Identifizierung regulierter Daten, machen Sicherheitsrisiken sichtbar und tragen dazu bei, Lücken bei der Einhaltung von Bestimmungen aufzudecken. Data Security Fabric überwacht Daten von einem einheitlichen Standpunkt aus, um Audits über verschiedene lokale und Cloud-Plattformen hinweg zu ermöglichen, und bietet einen Überblick über relationale Datenbanken, NoSQL-Datenbanken, Mainframes, Big-Data-Plattformen und Data Warehouses. Detaillierte Aktivitäten strukturierter und unstrukturierter Daten werden automatisch erfasst, was die Erfüllung von Auditanforderungen erleichtert. |
3.4.1.2 und 3.4.2.2 Speicheranforderungen 3.4.1.3 und 3.4.2.3 Übertragungsanforderungen | CipherTrust Transparent Encryption bietet Data-at-Rest-Verschlüsselung mit zentraler Schlüsselverwaltung und Zugriffskontrolle für privilegierte Benutzer. Es bietet eine vollständige Rollentrennung, bei der nur autorisierte Benutzer und Prozesse unverschlüsselte Daten einsehen können. CipherTrust Tokenization mit dynamischer Datenmaskierung ermöglicht die Pseudonymisierung sensibler Daten in Datenbanken, während gleichzeitig die Fähigkeit erhalten bleibt, aggregierte Daten zu analysieren, ohne sensible Daten während der Analyse oder in Berichten offenzulegen. CipherTrust Enterprise Key Management rationalisiert und stärkt die Schlüsselverwaltung in Cloud- und Unternehmensumgebungen für eine Vielzahl von Anwendungsfällen. Darüber hinaus können verschlüsselte Informationen durch die Zerstörung der kryptographischen Schlüssel effektiv gelöscht werden. |
2.2 Asset-Management | |
3.1 Profilierung von Daten-Assets 3.2.2.1 Asset-Kennzeichnung 3.2.2.2 Bestandsaufnahme und Dokumentation der Assets | CipherTrust Data Discovery and Classification erkennt strukturierte sowie unstrukturierte Daten on-premises und in der Cloud. Integrierte Templates ermöglichen eine schnelle Identifizierung regulierter Daten, machen Sicherheitsrisiken sichtbar und tragen dazu bei, Lücken bei der Einhaltung von Bestimmungen aufzudecken. |
3.2.2.3 Berechtigungsinventar 3.2.3 Nutzung von Assets | CipherTrust Secrets Management ist eine hochmoderne Lösung für die Verwaltung von Secrets. Sie schützt und automatisiert den Zugriff auf Secrets über DevOps-Tools und Cloud-Workloads hinweg, einschließlich Secrets, Anmeldeinformationen, Zertifikaten, API-Schlüsseln und Token. Durch die Kombination der Verwaltung von Secrets mit der Schlüsselverwaltung entsteht ein sicherer Speicher für alle Ihre wertvollen Assets an einem Ort zur Bestandskontrolle. |
3.2.6 Löschung von Assets | CipherTrust Enterprise Key Management sorgt für die sichere Löschung von Assets. Durch den Einsatz von FIPS-140-2-konformen virtuellen oder Hardware-Appliances bieten die Schlüsselverwaltungstools und -lösungen von Thales hohe Sicherheit in sensiblen Umgebungen und zentralisieren die Schlüsselverwaltung für hausinterne Verschlüsselung sowie für Anwendungen von Drittanbietern. |
2.3 Zugriffskontrolle | |
3.3 Erstellung und Pflege von Benutzer-IDs 3.5 Privilegierte Benutzerkonten | Die Identitäts- und Zugriffsverwaltungslösungen von Thales OneWelcome beschränken den Zugriff interner und externer Benutzer auf der Grundlage ihrer Rollen und ihres Kontexts. Unterstützt durch starke Authentifizierung (MFA), granulare Zugriffsrichtlinien und fein abgestufte Autorisierungsrichtlinien stellen sicher, dass der richtige Benutzer zur richtigen Zeit Zugriff auf die richtige Ressource erhält. Dadurch wird das Risiko eines unbefugten Zugriffs minimiert. SafeNet Trusted Access (STA) ist eine Cloud-basierte Zugriffsverwaltungslösung, die die Verwaltung des Zugriffs auf Cloud-Dienste und Unternehmensanwendungen mit einer integrierten Plattform erleichtert, die Single Sign-On, Multi-Faktor-Authentifizierung (MFA) und szenariobasierte Zugriffsrichtlinien kombiniert. Es bietet einen Überblick über die Zugriffsereignisse in Ihrem gesamten Anwendungsbestand, um sicherzustellen, dass der richtige Benutzer auf die richtige Anwendung mit der richtigen Vertrauensstufe zugreifen kann. |
2.16 Überwachung, Protokollierung und Bewertung | |
3.3 Protokollierung und Überwachung von Informationssystemen | CipherTrust Transparent Encryption Ransomware Protection (CTE-RWP) überwacht kontinuierlich Prozesse auf abnormale Aktivitäten und warnt vor bösartigen Aktivitäten oder blockiert diese. Es überwacht aktive Prozesse, um Aktivitäten wie übermäßigen Datenzugriff, Exfiltration, nicht autorisierte Verschlüsselung oder Diebstahl der Identität eines Benutzers zu erkennen, und warnt/blockiert, wenn eine solche Aktivität entdeckt wird. |
2.12 Kryptographische Kontrollen | |
3.1 Einsatz kryptographischer Kontrollen | CipherTrust Secrets Management ist eine hochmoderne Lösung für die Verwaltung von Secrets, die den Zugriff auf Secrets über DevOps-Tools und Cloud-Workloads hinweg schützt und automatisiert, einschließlich Secrets, Anmeldeinformationen, Zertifikaten, API-Schlüsseln und Token, wodurch sichergestellt wird, dass alle statischen oder wiederverwendbaren Authentifizierungsinformationen während der Speicherung und Verwendung verschlüsselt werden. |
3.2 Schlüsselverwaltung | Mit CipherTrust Manager können Unternehmen kryptographische Schlüssel zentral verwalten, eine granulare Zugriffskontrolle bereitstellen und Sicherheitsrichtlinien konfigurieren. CipherTrust Manager ist die zentrale Verwaltungsstelle für die CipherTrust Data Security Platform und verwaltet Aufgaben im Lebenszyklus von Schlüsseln, bietet rollenbasierte Zugriffskontrolle auf Schlüssel und Richtlinien, unterstützt robuste Audits und Berichte und bietet eine entwicklerfreundliche REST-API. Thales Luna Hardware-Sicherheitsmodule (HSMs) schützen kryptographische Schlüssel und bieten eine nach FIPS 140-3 Level 3 gehärtete, manipulationssichere Umgebung für sichere kryptographische Verarbeitung, Schlüsselgenerierung und -schutz, Verschlüsselung und mehr. Luna HSMs sind on-premises, in der Cloud (as-a-Service) und in hybriden Umgebungen verfügbar. |
2.19 Cloud-Sicherheit | |
3.4.7 Verschlüsselung | CipherTrust Enterprise Key Management vereinfacht und stärkt die Schlüsselverwaltung in Cloud- und Unternehmensumgebungen, bietet hohe Sicherheit für sensible Umgebungen, zentralisiert die Schlüsselverwaltung für selbst entwickelte Verschlüsselungen und unterstützt KMIP sowie Anwendungen von Drittanbietern. CipherTrust Cloud Key Management ermöglicht es Unternehmen, ihre Schlüssel von den in der Cloud gespeicherten Daten zu trennen und einen unbefugten Datenzugriff durch Cloud-Dienstleister zu verhindern. Durch die Verwendung der Hold-Your-Own-Key-Technologie (HYOK) behalten Unternehmen die volle Kontrolle und das Eigentum an ihren Daten, indem sie den Zugriff auf die kryptographischen Schlüssel selbst bestimmen. |
3.4.8 Anwendungssicherheit | Die CipherTrust Data Security Platform bietet mehrere Funktionen für die Anwendungssicherheit. Dazu gehören:
|
Weitere Ressourcen
Weitere wichtige Datenschutz- und Sicherheitsverordnungen
PCI HSM
MANDAT | JETZT AKTIV
Die PCI-HSM-Spezifikation definiert eine Reihe von logischen und physischen Sicherheitsstandards für HSMs speziell für die Zahlungsindustrie. Die PCI-HSM-Konformitätszertifizierung setzt die Einhaltung dieser Standards voraus.
DORA
VERORDNUNG | JETZT AKTIV
DORA hat zum Ziel, die IT-Sicherheit von Finanzinstituten zu stärken, um sicherzustellen, dass der Finanzsektor in Europa angesichts des zunehmenden Umfangs und der Schwere von Cyber-Angriffen widerstandsfähig ist.
Gesetze zur Meldepflicht von Datenschutzverletzungen
VERORDNUNG | JETZT AKTIV
Weltweit haben Länder Verordnungen zur Meldung von Datenschutzverletzungen nach dem Verlust personenbezogener Daten erlassen. Diese Verordnungen variieren von Land zu Land, enthalten aber fast immer eine „Safe Harbor“-Klausel.
GLBA
VERORDNUNG | JETZT AKTIV
Der Gramm-Leach-Bliley Act (GLBA) – auch bekannt als Financial Services Modernization Act von 1999 – verpflichtet Finanzinstitute, ihren Kunden ihre Vorgehensweise in Bezug auf die Weitergabe von Daten zu erklären und sensible Daten zu schützen.