Directrices sobre Información y Ciberseguridad (ICS) de 2023
La digitalización iniciada por el Gobierno de la India en 2017 y las modalidades de trabajo remoto durante la COVID-19 marcaron un cambio en la forma de gestionar y tratar los datos en el sector asegurador indio. Con la evolución del panorama de la ciberseguridad, la Autoridad de Regulación y Desarrollo de los Seguros de la India (IRDAI) publicó las Directrices de Información y Ciberseguridad (ICS) de 2023 el 24 de abril de 2023, que sustituyeron a las Directrices de 2017.
Como una de las entidades líderes en seguridad de los datos, Thales permite que las organizaciones del sector asegurador cumplan las Directrices ICS en seis dominios de seguridad mediante la recomendación de las tecnologías adecuadas de seguridad de los datos y gestión de identidades.
Descripción general del reglamento
El énfasis principal de las Directrices de Información y Ciberseguridad (ICS) de 2023 se centra en un enfoque de seguridad centrada en los datos, es decir, en proteger los propios datos y no solo la red o el sistema en el que se almacenan. Las Directrices ICS 2023 también obligan a las entidades reguladas (RE) a adoptar un enfoque basado en riesgos, tomar las medidas necesarias para proteger la gestión de los datos y mitigar las ciberamenazas frente a la pérdida, el uso indebido o la filtración de información sensible de los clientes en cualquier formato.
¿Qué empresas están sujetas a las Directrices ICS?
Las Directrices ICS 2023 se aplican a todos los intermediarios de seguros, incluidos los corredores, las empresas extranjeras de reaseguro (FRB), los agentes corporativos, los agregadores web, los administradores externos (TPA), las empresas de comercialización de seguros (IMF), los repositorios de seguros, las plataformas de autoservicio de seguros (ISNP), los peritos corporativos, los proveedores de servicios de seguros de automóviles (MISP), los centros de servicios comunes (CSC) y el Insurance Information Bureau of India (IIB) (que, junto con las aseguradoras, se denominan colectivamente «entidades reguladas»).
Cumplimiento del ICS
Thales ayuda a las organizaciones del sector asegurador indio a cumplir las Directrices de Información y Ciberseguridad de 2023 al abordar 6 políticas de dominio de la seguridad.
Políticas de dominio de la seguridad | Soluciones de Thales |
|---|---|
2.1 Clasificación de los datos | |
3.3 Proceso de clasificación de datos: | CipherTrust Data Discovery and Classification identifica datos sensibles estructurados y no estructurados en entornos locales y en la nube. Las plantillas integradas permiten identificar rápidamente los datos regulados, resaltar los riesgos para la seguridad y ayudar a descubrir las carencias en materia de cumplimiento normativo. Data Security Fabric supervisa los datos desde una vista unificada para su auditoría en diversas plataformas en entornos locales y en la nube, proporcionando visibilidad sobre bases de datos relacionales, bases de datos NoSQL, «mainframes», plataformas de big data y «data warehouses». La actividad detallada de los datos estructurados y no estructurados se captura automáticamente, lo que facilita el cumplimiento de las solicitudes de auditoría. |
3.4.1.2 y 3.4.2.2 Requisitos de almacenamiento 3.4.1.3 y 3.4.2.3 Requisitos de transferencia | CipherTrust Transparent Encryption ofrece cifrado de datos en reposo con gestión centralizada de claves y control de acceso de usuarios con privilegios. Proporciona una separación completa de funciones, en la que únicamente los usuarios y procesos autorizados pueden ver los datos sin cifrar. CipherTrust Tokenization con enmascaramiento dinámico de datos permite la seudonimización de información sensible en bases de datos, manteniendo la capacidad de analizar datos agregados sin exponer dicha información durante el análisis o en los informes. CipherTrust Enterprise Key Management agiliza y refuerza la gestión de claves en entornos de nube y empresariales en una amplia gama de casos de uso. Además, la información cifrada puede borrarse eficazmente al destruir las claves de cifrado. |
2.2 Gestión de activos | |
3.1 Perfilado de activos de información 3.2.2.1 Etiquetado de activos 3.2.2.2 Inventario y documentación de activos | CipherTrust Data Discovery and Classification identifica datos sensibles estructurados y no estructurados en entornos locales y en la nube. Las plantillas integradas permiten identificar rápidamente los datos regulados, resaltar los riesgos para la seguridad y ayudar a descubrir las carencias en materia de cumplimiento normativo. |
3.2.2.3 Inventario de autorizaciones 3.2.3 Uso de los activos | CipherTrust Secrets Management es una solución de gestión de secretos de última generación que protege y automatiza el acceso a secretos en herramientas de DevOps y cargas de trabajo en la nube, incluidos secretos, credenciales, certificados, claves de API y tokens. Combinar la gestión de secretos con la gestión de claves es como contar con una cámara acorazada para todos sus activos valiosos en un solo lugar para el control de inventario. |
3.2.6 Eliminación de activos | CipherTrust Enterprise Key Management garantiza la eliminación segura de los activos. Aprovechando dispositivos virtuales o hardware compatibles con FIPS 140-2, las herramientas y soluciones de gestión de claves de Thales proporcionan alta seguridad a entornos sensibles y centralizan la gestión de claves tanto para cifrado propio como para aplicaciones de terceros. |
2.3 Control de accesos | |
3.3 Creación y mantenimiento de identificadores de usuario 3.5 Cuentas de usuarios con privilegios | Las soluciones de gestión de identidades y accesos OneWelcome de Thales limitan el acceso de los usuarios internos y externos basándose en sus funciones y en el contexto. Respaldadas por una autenticación sólida (autenticación multifactor), las políticas de acceso granulares y las políticas de autorización detalladas ayudan a garantizar que el usuario adecuado acceda al recurso adecuado en el momento adecuado. Así se minimiza el riesgo de accesos no autorizados. SafeNet Trusted Access (STA) es una solución de gestión de accesos basada en la nube que facilita la administración del acceso tanto a servicios en la nube como a aplicaciones empresariales mediante una plataforma integrada que combina inicio de sesión único, autenticación multifactor (MFA) y políticas de acceso basadas en escenarios. Ofrece una vista unificada de los eventos de acceso en todo el conjunto de aplicaciones, para garantizar que el usuario adecuado tenga acceso a la aplicación correcta con el nivel de confianza apropiado. |
2.16 Supervisión, registro y evaluación | |
3.3 Registro y supervisión de los sistemas de información | CipherTrust Transparent Encryption Ransomware Protection (CTE-RWP) supervisa de manera continua los procesos en busca de actividad anómala y alerta o bloquea la actividad maliciosa. Supervisa los procesos activos para identificar actividades como acceso excesivo a datos, exfiltración, cifrado no autorizado o suplantación maliciosa de un usuario, y alerta o bloquea cuando se detecta dicha actividad. |
2.12 Controles criptográficos | |
3.1 Utilización de controles criptográficos | CipherTrust Secrets Management es una solución de gestión de secretos de última generación, que protege y automatiza el acceso a secretos a través de herramientas DevOps y cargas de trabajo en la nube, incluyendo secretos, credenciales, certificados, claves API y tokens, garantizando así que toda la información de autenticación estática o reutilizable se cifrará durante el almacenamiento y mientras esté en uso. |
3.2 Gestión de claves | CipherTrust Manager permite a las organizaciones gestionar de forma centralizada las claves de cifrado, proporcionar un control de acceso granular y configurar las políticas de seguridad. CipherTrust Manager es el punto central de gestión de la plataforma CipherTrust Data Security Platform y se encarga de las tareas del ciclo de vida de las claves, proporciona control de acceso basado en funciones a claves y políticas, ofrece auditorías e informes robustos y ofrece una API REST orientada a desarrolladores. Los módulos de seguridad de hardware (HSM) Luna de Thales protegen las claves criptográficas y ofrecen un entorno resistente y a prueba de manipulaciones con certificación FIPS 140-3 de nivel 3, a prueba de manipulaciones, para el procesamiento criptográfico seguro, la generación y protección de claves, el cifrado, entre otras opciones. Los HSM Luna están disponibles en entornos locales, en la nube como servicio y en entornos híbridos. |
2.19 Seguridad en la nube | |
3.4.7 Cifrado | CipherTrust Enterprise Key Management simplifica y refuerza la gestión de claves en entornos empresariales y en la nube, proporciona alta seguridad a entornos sensibles, centraliza la gestión de claves para cifrado propio y es compatible con KMIP, así como con aplicaciones de terceros. CipherTrust Cloud Key Management permite a las organizaciones separar las claves de los datos almacenados en la nube, evitando el acceso no autorizado a los datos por parte del proveedor de servicios en la nube. Mediante la tecnología HYOK («aloje su propia clave»), las organizaciones mantienen el control y la propiedad total de sus datos al controlar el acceso a las claves de cifrado. |
3.4.8 Seguridad de las aplicaciones | CipherTrust Data Security Platform ofrece múltiples capacidades para la seguridad de las aplicaciones. Entre ellas se incluyen:
|
Recursos relacionados
Otras normativas clave en materia de protección de datos y seguridad
PCI HSM
MANDATO | EN VIGOR
La especificación PCI HSM define un conjunto de estándares de cumplimiento de seguridad lógica y física para los HSM, específicamente orientados al sector de los pagos. La certificación de cumplimiento PCI HSM depende del cumplimiento de dichos estándares.
DORA
REGLAMENTO | EN VIGOR
DORA tiene como objetivo reforzar la seguridad informática de las entidades financieras para garantizar que el sector financiero en Europa sea resiliente frente al creciente volumen y gravedad de los ciberataques.
Leyes de notificación de brechas de datos
REGLAMENTO | EN VIGOR
Los requisitos de notificación de brechas de datos tras la pérdida de información personal han sido promulgados por países de todo el mundo. Varían según la jurisdicción, pero casi universalmente incluyen una cláusula de «puerto seguro».
GLBA
REGLAMENTO | EN VIGOR
La Ley Gramm-Leach-Bliley (GLBA), también conocida como la Ley de Modernización de los Servicios Financieros de 1999, exige que las instituciones financieras expliquen a sus clientes sus prácticas de intercambio de información y protejan los datos sensibles.