Normativa sulla Sicurezza delle Informazioni

Con l’aumento del valore delle informazioni, aumenta anche il numero di crimini informatici. Più crimini informatici vengono commessi, più le agenzie regolatorie cercano di prevenirli creando nuove leggi e regolamenti che le aziende che archiviano dati sensibili sono obbligate a rispettare. Qui puoi trovare i più importanti atti regolatori statunitensi riguardanti la sicurezza delle informazioni.

Sarbanes-Oxley Act (SOX)

A chi è destinata:  Consigli di amministrazione di società pubbliche, contabilità pubblica e società di gestione.

Di cosa si occupa: Dopo gli scandali contabili delle società Enron, Tyco e Worldcom che hanno portato al crollo del mercato azionario, Sarbanes-Oxley Act (SOX) è stato creato. È volto a proteggere gli investitori dalle frodi contabili assicurando che tutti i rapporti sulle attività finanziarie contengano informazioni affidabili che possono essere verificate da revisori indipendenti. L’atto stabilisce standard e regole per i rapporti di audit e implica maggiori divulgazioni finanziarie. Un agente speciale ispeziona, indaga e garantisce la conformità ai requisiti. La non conformità comporta pene significative.

Payment Card Industry Data Security Standard (PCI DSS)

A chi è destinata: Qualsiasi azienda che gestisce dati di carte di credito, lo standard è in vigore non solo negli Stati Uniti ma nella maggior parte dei paesi.

Di cosa si occupa: PCI DSS è stato istituito dai principali marchi di carte di pagamento (Visa, MasterCard, American Express, JCB e Discover). È un insieme di requisiti per ridurre le frodi e proteggere le informazioni delle carte di credito dei clienti.

1. Installare una firewall e configurazione del router per proteggere i dati dei titolari di carta.
2. Le password di sistema predefinite fornite dal fornitore devono essere cambiate.
3. Proteggere i dati dei titolari di carta archiviati. In generale, nessun dato del titolare di carta dovrebbe essere archiviato a meno che non sia essenziale per scopi aziendali.
4. Crittografare la trasmissione dei dati dei titolari di carta attraverso reti pubbliche aperte. La crittografia è una tecnologia utilizzata per codificare i dati in modo che solo persone autorizzate possano leggerli.
5. Il software antivirus deve essere installato e regolarmente aggiornato.
6. Il software di sicurezza con licenza deve essere installato.
7. Limitare l’accesso ai dati dei titolari di carta solo su base necessaria.
8. Assegnare un ID univoco a ciascuna persona con il computer.
9. Limitare l’accesso fisico ai dati dei titolari di carta.
10. Tenere traccia e monitorare tutti gli accessi alle risorse di rete e ai titolari di carta.
11. Testare regolarmente i sistemi e i processi di sicurezza.
12. Costruire un sistema di sicurezza che affronti la sicurezza delle informazioni per tutti i dipendenti.

Health Insurance Portability and Accountability Act (HIPAA)

A chi è destinata: Compagnie di assicurazione sanitaria, fornitori di assistenza sanitaria, e clearinghouse mediche.

Di cosa si occupa:HIPAA è una legislazione degli Stati Uniti che richiede disposizioni per la privacy e la sicurezza delle informazioni mediche. Secondo l’atto, i soggetti devono proteggere le informazioni sanitarie (ePHI) dall’essere abusate o esposte da individui non autorizzati.

1. I fornitori che operano elettronicamente devono utilizzare le stesse transazioni sanitarie, set di codici e identificatori.
2. È prevista una protezione federale per le informazioni sanitarie personali. La divulgazione delle informazioni sanitarie personali è consentita solo se necessaria per le cure del paziente o per altri scopi importanti.
3. L’atto specifica le garanzie amministrative, fisiche e tecniche per gli enti coinvolti per garantire l’integrità, la disponibilità e la riservatezza delle informazioni sanitarie elettroniche protette.
4. I fornitori di assistenza sanitaria, i piani sanitari e i datori di lavoro devono avere numeri nazionali standard che li identificano nelle transazioni standard.

The Gramm-Leach-Bliley Act (GLB)

A chi è destinata: Istituzioni finanziarie (banche, società di borsa, compagnie di assicurazione); aziende che forniscono servizi finanziari, come prestiti, brokeraggio, trasferimento di denaro, preparazione delle dichiarazioni dei redditi, consulenza finanziaria, ecc.

Di cosa si occupa: GLBA è una legge federale promulgata per proteggere le informazioni finanziarie personali dei consumatori detenute dalle istituzioni finanziarie. Secondo il componente della privacy, le istituzioni finanziarie sono obbligate a fornire ai loro clienti una notifica annuale delle loro pratiche sulla privacy e a dare l’opportunità di scegliere di non condividere tali informazioni. La Safeguards Rule richiede che le istituzioni finanziarie stabiliscano un sistema di sicurezza completo per la protezione della riservatezza e integrità dei dati finanziari privati nei loro registri.

Electronic Fund Transfer Act, Regulation E

A chi è destinata: Istituzioni finanziarie che detengono conti dei consumatori o forniscono servizi EFT; beneficiari e commercianti.

Di cosa si occupa: Questo Atto protegge i clienti che effettuano trasferimenti di fondi elettronici da errori e frodi. Stabilisce i diritti, le responsabilità e le responsabilità di base delle istituzioni finanziarie che offrono servizi EFT e dei loro consumatori. Gli EFT includono trasferimenti ai terminali POS nei negozi, trasferimenti ATM, servizi di pagamento delle bollette telefoniche e trasferimenti preautorizzati da o verso un conto del consumatore.

Federal Information Security Management Act (FISMA)

A chi è destinata: agenzie federali

Di cosa si occupa: Questo Atto si occupa delle questioni di sicurezza nazionale e obbliga le agenzie federali a sviluppare un metodo per proteggere i sistemi informativi.

1. Le informazioni che devono essere protette devono essere categorizzate
2. Procedure periodiche di valutazione dei rischi
3. Monitoraggio continuo dei controlli di sicurezza e valutazione della loro efficacia
4. Selezionare i controlli base minimi
5. Formazione sulla consapevolezza della sicurezza per il personale
6. Adottare misure per rilevare, segnalare e rispondere agli incidenti di sicurezza
7. Piani subordinati per la sicurezza delle informazioni delle reti e delle strutture

North American Electric Reliability Corp. (NERC) standards

A chi è destinata: Sistemi di utilità elettrica nordamericani.

Di cosa si occupa:: L’attuale insieme di standard NERC è stato sviluppato per stabilire standard di affidabilità per il sistema di alimentazione di massa del Nord America, nonché per proteggere l’infrastruttura critica dell’industria da minacce fisiche e informatiche.

Title 21 of the Code of Federal Regulations (21 CFR Part 11) Electronic Records

A chi è destinata: Tutte le industrie regolamentate dalla FDA le cui attività regolamentate prevedono l’uso di computer, sia negli Stati Uniti che al di fuori del paese.

Di cosa si occupa:: Parte 11, come viene comunemente chiamato, impone linee guida sui registri elettronici e le firme elettroniche al fine di garantire la loro affidabilità e fiducia. È stato emesso nel 1997 ed è monitorato dall’U.S. Food and Drug Administration.

European Union Data Protection Directive

A chi è destinata: Organizzazioni europee e aziende non europee a cui i dati vengono esportati.

Di cosa si occupa:: La European Union Data Protection Directive stabilisce limiti rigorosi sulla raccolta e sull’uso dei dati personali e obbliga ciascuno stato membro a istituire un organismo nazionale indipendente responsabile della protezione dei dati.

Safe Harbor Act

A chi è destinata: Società statunitensi che operano in Europa.

Di cosa si occupa:: Il Safe Harbor Act proibisce il trasferimento di dati personali a nazioni non appartenenti all’Unione Europea se queste non soddisfano lo standard di protezione della privacy stabilito dalla European Union Data Protection Directive. È stato istituito per colmare le diverse approcci alla privacy di Europa e USA, consentendo alle società statunitensi di operare transatlantico senza affrontare interruzioni o persecuzioni da parte delle autorità europee.

Leggi di più su come DataSunrise aiuta a conformarsi ai requisiti normativi.