Législation sur la sécurité de l’information

À mesure que la valeur de l’information augmente, le nombre de cybercrimes augmente également. Plus les cybercrimes sont nombreux, plus les agences de réglementation tentent de les prévenir en créant de nouvelles lois et réglementations auxquelles les entreprises stockant des données sensibles sont tenues de se conformer. Vous trouverez ici les principaux actes réglementaires américains concernant la sécurité de l’information.

Loi Sarbanes-Oxley (SOX)

Pour qui : Conseils d’administration des compagnies publiques, comptabilité publique et cabinets de gestion.

Ce qu’elle couvre : Après les scandales comptables des sociétés Enron, Tyco et Worldcom, qui ont conduit à l’effondrement du marché boursier, la loi Sarbanes-Oxley (SOX) a été créée. Elle vise à prévenir les investisseurs contre la fraude comptable en garantissant que tous les rapports sur les activités financières contiennent des informations fiables pouvant être vérifiées par des auditeurs indépendants. La loi fixe des normes et des règles pour les rapports d’audit et implique des divulgations financières accrues. Un agent spécial inspecte, enquête et fait respecter la conformité aux exigences. Le non-respect entraîne des sanctions importantes.

Norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS)

Pour qui : Toute entreprise traitant des données de carte de crédit, la norme est en vigueur non seulement aux États-Unis mais dans la plupart des pays.

Ce qu’elle couvre : PCI DSS a été instituée par les principales marques de cartes de paiement (Visa, MasterCard, American Express, JCB et Discover). Il s’agit d’un ensemble d’exigences visant à réduire la fraude et à protéger les informations des cartes de crédit des clients.

1. Installez une pare-feu et une configuration de routeur pour protéger les données de titulaire de cartes.
2. Les mots de passe par défaut du système fournis par le fournisseur doivent être changés.
3. Protégez les données stockées des titulaires de cartes. En général, aucune donnée de titulaire de carte ne doit jamais être stockée à moins que ce soit essentiel pour des raisons commerciales.
4. Cryptage de la transmission des données de titulaire de carte sur les réseaux ouverts et publics. Le cryptage est une technologie utilisée pour coder les données de manière à ce que seules les personnes autorisées puissent les lire.
5. Un logiciel antivirus doit être installé et régulièrement mis à jour.
6. Un logiciel de sécurité sous licence doit être installé.
7. Restreindre l’accès aux données des titulaires de carte selon le besoin de savoir.
8. Attribuez un identifiant unique à chaque personne utilisant l’ordinateur.
9. Restreindre l’accès physique aux données des titulaires de carte.
10. Suivez et surveillez toutes les accès aux ressources du réseau et aux données des titulaires de carte.
11. Testez régulièrement les systèmes et processus de sécurité.
12. Construisez un système de sécurité abordant la sécurité de l’information pour tous les employés.

Loi sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA)

Pour qui : Compagnies d’assurance maladie, prestataires de soins de santé et centres de traitement de données médicales.

Ce qu’elle couvre : HIPAA est une législation américaine qui exige des dispositions de confidentialité et de sécurité pour les informations médicales. Selon la loi, les sujets doivent protéger les informations de santé (ePHI) contre tout usage abusif ou divulgation par des personnes non autorisées.

1. Les prestataires qui effectuent des transactions de santé par voie électronique doivent utiliser les mêmes transactions, ensembles de codes et identifiants de santé.
2. Une protection fédérale des informations de santé personnelles est fournie. La divulgation des informations de santé personnelles est autorisée uniquement si elle est requise pour les soins aux patients ou à d’autres fins importantes.
3. La loi spécifie les mesures de protection administratives, physiques et techniques pour les entités concernées afin d’assurer l’intégrité, la disponibilité et la confidentialité des informations de santé électroniques protégées.
4. Les prestataires de soins de santé, les régimes de santé et les employeurs doivent avoir des numéros nationaux standard qui les identifient dans les transactions standard.

Loi Gramm-Leach-Bliley (GLB)

Pour qui : Institutions financières (banques, sociétés de bourse, compagnies d’assurance); entreprises fournissant des services financiers, tels que prêts, courtage, transferts d’argent, préparation des déclarations de revenus, conseil financier, etc.

Ce qu’elle couvre : La loi GBL est une loi fédérale adoptée pour protéger les informations financières personnelles des consommateurs détenues par les institutions financières. Selon la composante de confidentialité, les institutions financières sont tenues de fournir à leurs clients un avis annuel de leurs pratiques de confidentialité et de donner la possibilité de ne pas partager ces informations. La règle des sauvegardes exige que les institutions financières mettent en place un système de sécurité complet pour la protection de la confidentialité et de l’intégrité des données financières privées dans leurs dossiers.

Loi sur les transferts électroniques de fonds, réglementation E

Pour qui : Institutions financières détenant des comptes de consommateurs ou fournissant des services de TEF; bénéficiaires et commerçants.

Ce qu’elle couvre : Cette loi protège les clients effectuant des transferts électroniques de fonds contre les erreurs et la fraude. Elle établit les droits, responsabilités et obligations de base des institutions financières offrant des services de TEF et de leurs consommateurs. Les TEF incluent les transferts aux terminaux de point de vente dans les magasins, les transferts aux guichets automatiques, les services de paiement des factures par téléphone et les transferts préautorisés vers ou depuis le compte d’un consommateur.

Loi fédérale sur la gestion de la sécurité de l’information (FISMA)

Pour qui : agences fédérales

Ce qu’elle couvre : Cette loi traite des questions de sécurité nationale et oblige les agences fédérales à développer une méthode de protection des systèmes d’information.

1. Les informations doivent être catégorisées en fonction de la nécessité de protection.
2. Procédures périodiques d’évaluation des risques.
3. Surveillance continue des contrôles de sécurité et évaluation de leur efficacité.
4. Sélection de contrôles de base minimaux.
5. Formation de sensibilisation à la sécurité pour le personnel.
6. Prendre des mesures pour détecter, signaler et répondre aux incidents de sécurité.
7. Plans subordonnés pour la sécurité de l’information des réseaux et des installations.

Normes de la société nord-américaine de fiabilité électrique (NERC)

Pour qui : Les systèmes de services publics d’électricité nord-américains.

Ce qu’elle couvre : Le jeu actuel de normes NERC a été développé pour établir des normes de fiabilité pour le système d’alimentation en vrac de l’Amérique du Nord, ainsi que pour protéger l’infrastructure critique de l’industrie contre les menaces physiques et cybernétiques.

Title 21 of the Code of Federal Regulations (21 CFR Part 11) Electronic Records

Pour qui : Toutes les industries réglementées par la FDA dont les activités réglementées stipulent l’utilisation d’ordinateurs, aux États-Unis et en dehors du pays.

Ce qu’elle couvre : La partie 11, comme on l’appelle couramment, impose des lignes directrices sur les dossiers électroniques et les signatures électroniques afin de garantir leur fiabilité et leur fiabilité. Elle a été émise en 1997 et est supervisée par la Food and Drug Administration des États-Unis.

Directive européenne sur la protection des données

Pour qui : Organisations européennes et entreprises non-européennes vers lesquelles des données sont exportées.

Ce qu’elle couvre : La directive européenne sur la protection des données impose des limites strictes à la collecte et à l’utilisation des données personnelles et oblige chaque État membre à mettre en place un organisme national indépendant responsable de la protection des données.

Loi sur le port sûr

Pour qui : Entreprises américaines ayant des activités en Europe.

Ce qu’elle couvre : La loi sur le port sûr interdit le transfert de données personnelles vers des pays non membres de l’Union européenne s’ils ne respectent pas les normes de protection de la vie privée établies par la directive européenne sur la protection des données. Elle a été adoptée pour combler les différentes approches en matière de confidentialité de l’Europe et des États-Unis, permettant ainsi aux entreprises américaines de mener des opérations transatlantiques sans subir d’interruptions ou de poursuites par les autorités européennes.

En savoir plus sur comment DataSunrise aide à se conformer aux exigences réglementaires.