Gesetzgebung zur Informationssicherheit

Mit zunehmendem Wert der Informationen nimmt auch die Anzahl der Cyberkriminalität zu. Je mehr Cyberkriminalität begangen wird, desto mehr bemühen sich die Regulierungsbehörden, diese durch die Schaffung neuer Gesetze und Vorschriften zu verhindern, die Unternehmen, die sensible Daten speichern, einhalten müssen. Hier finden Sie die wichtigsten US-Vorschriften zur Informationssicherheit.

Gesetz über die Reform der Wirtschaftsprüferaufsicht (SOX)

Für wen es gilt: Aufsichtsräte von börsennotierten Unternehmen, Wirtschaftsprüfungsgesellschaften und Managementfirmen.

Was es abdeckt: Nach den Bilanzskandalen bei den Unternehmen Enron, Tyco und Worldcom, die zum Börsencrash führten, wurde das Sarbanes-Oxley Act (SOX) geschaffen. Es soll Anleger vor Bilanzbetrug schützen, indem sichergestellt wird, dass alle Berichte über Finanzaktivitäten zuverlässige Informationen enthalten, die von unabhängigen Prüfern verifiziert werden können. Das Gesetz legt Standards und Regeln für Prüfungsberichte fest und sieht umfangreichere finanzielle Offenlegungen vor. Ein spezieller Agent inspiziert, untersucht und erzwingt die Einhaltung der Anforderungen. Nichteinhaltung zieht erhebliche Strafen nach sich.

Payment Card Industry Data Security Standard (PCI DSS)

Für wen es gilt: Jedes Unternehmen, das Kreditkartendaten verarbeitet; der Standard gilt nicht nur in den USA, sondern in den meisten Ländern.

Was es abdeckt: PCI DSS wurde von den großen Kreditkartenmarken (Visa, MasterCard, American Express, JCB und Discover) eingeführt. Es ist ein Satz von Anforderungen zur Verringerung von Betrug und zum Schutz der Kreditkarteninformationen der Kunden.

Hauptanforderungen:

1. Installieren Sie eine Firewall und Router-Konfiguration zum Schutz der Karteninhaberdaten.
2. Vom Anbieter bereitgestellte Standardpasswörter des Systems müssen geändert werden.
3. Schützen Sie gespeicherte Karteninhaberdaten. Im Allgemeinen sollten keine Karteninhaberdaten gespeichert werden, es sei denn, es ist für geschäftliche Zwecke unbedingt erforderlich.
4. Verschlüsseln Sie die Übertragung von Karteninhaberdaten über offene, öffentliche Netzwerke. Verschlüsselung ist eine Technologie zur Kodierung von Daten, die nur von autorisierten Personen gelesen werden kann.
5. Antivirus-Software muss installiert und regelmäßig aktualisiert werden.
6. Lizenzierte Sicherheitssoftware muss installiert sein.
7. Beschränken Sie den Zugriff auf Karteninhaberdaten auf eine notwendige Notwendigkeitsbasis.
8. Weisen Sie jeder Person einen eindeutigen Computer-ID zu.
9. Begrenzen Sie den physischen Zugriff auf Karteninhaberdaten.
10. Verfolgen und überwachen Sie den gesamten Zugriff auf Netzwerkressourcen und Karteninhaber.
11. Testen Sie regelmäßig Sicherheitsmaßnahmen und -prozesse.
12. Erstellen Sie ein Sicherheitssystem, das die Informationssicherheit für alle Mitarbeiter abdeckt.

Health Insurance Portability and Accountability Act (HIPAA)

Für wen es gilt: Krankenversicherungsunternehmen, Gesundheitsdienstleister und medizinische Clearingstellen.

Was es abdeckt: HIPAA ist ein Gesetz der Vereinigten Staaten, das Datenschutz- und Sicherheitsvorkehrungen für medizinische Informationen vorschreibt. Gemäß dem Gesetz müssen die betroffenen Subjekte Gesundheitsinformationen (ePHI) vor Missbrauch oder Offenlegung durch unbefugte Personen schützen.

 Hauptanforderungen und Bestimmungen:

1. Anbieter, die elektronisch geschäftlich tätig sind, müssen dieselben Gesundheitsübertragungen, Code-Sets und Identifikatoren verwenden.
2. Es wird ein föderaler Schutz für persönliche Gesundheitsinformationen bereitgestellt. Die Offenlegung persönlicher Gesundheitsinformationen ist nur zulässig, wenn sie für die Patientenversorgung oder andere wichtige Zwecke erforderlich ist.
3. Das Gesetz legt administrative, physische und technische Schutzmaßnahmen für betroffene Einheiten fest, um die Integrität, Verfügbarkeit und Vertraulichkeit elektronisch geschützter Gesundheitsinformationen sicherzustellen.
4. Gesundheitsdienstleister, Gesundheitspläne und Arbeitgeber müssen standardisierte nationale Nummern haben, die sie bei standardisierten Transaktionen identifizieren.

 

Das Gramm-Leach-Bliley-Gesetz (GLB)

Für wen es gilt: Finanzinstitute (Banken, Börsenfirmen, Versicherungen); Unternehmen, die Finanzdienstleistungen anbieten, wie z.B. Kreditvergabe, Maklertätigkeit, Geldtransfer, Steuererklärungen, Finanzberatung usw.

Was es abdeckt: GBL-Gesetz ist ein Bundesgesetz, das zum Schutz der persönlichen Finanzinformationen der Verbraucher geführt wurde, die von Finanzinstituten gehalten werden. Gemäß der Datenschutzkomponente sind Finanzinstitute verpflichtet, ihren Kunden jährlich eine Mitteilung über ihre Datenschutzpraktiken zu geben und die Möglichkeit zur Verfügung zu stellen, diese Informationen nicht zu teilen. Die Safeguard-Regel verlangt von Finanzinstituten die Einrichtung eines umfassenden Sicherheitssystems zum Schutz der Vertraulichkeit und Integrität privater Finanzdaten in ihren Aufzeichnungen.

Gesetz über den elektronischen Geldtransfer, Verordnung E

Für wen es gilt: Finanzinstitute, die Verbraucher-Accounts halten oder EFT-Dienstleistungen anbieten; Zahlungsempfänger und Händler.

Was es abdeckt: Dieses Gesetz schützt Kunden, die elektronische Geldtransfers tätigen, vor Fehlern und Betrug. Es legt die grundlegenden Rechte, Verantwortlichkeiten und Haftungen von Finanzinstituten, die EFT-Dienste anbieten, und deren Verbrauchern fest. Zu den EFTs gehören POS-Terminalübertragungen in Geschäften, ATM-Übertragungen, telefonische Zahlungsdienste und vorab genehmigte Übertragungen von oder zu einem Verbraucherkonto.

Föderales Gesetz zur Verwaltung der Informationssicherheit (FISMA)

Für wen es gilt: Bundesbehörden

Was es abdeckt: Dieses Gesetz befasst sich mit nationalen Sicherheitsfragen und verpflichtet Bundesbehörden, eine Methode zum Schutz der Informationssysteme zu entwickeln.

Hauptanforderungen/Bestimmungen:  

1. Informationen, die geschützt werden müssen, müssen kategorisiert werden
2. Periodische Risikobewertungsverfahren
3. Kontinuierliche Überwachung der Sicherheitskontrollen und Bewertung ihrer Wirksamkeit
4. Auswahl von Mindestbasis-Kontrollen
5. Sicherheitsbewusstseinstraining für das Personal
6. Ergreifen von Maßnahmen zur Erkennung, Meldung und Beantwortung von Sicherheitsvorfällen
7. Untergeordnete Pläne für Netzwerke und Einrichtungen zur Informationssicherheit

 

Normen der North American Electric Reliability Corp. (NERC)

Für wen es gilt: Nordamerikanische Elektrizitätsversorgungsunternehmen.

Was es abdeckt: Die aktuellen NERC-Normen wurden entwickelt, um Zuverlässigkeitsstandards für das Großstromnetz in Nordamerika zu etablieren und die kritische Infrastruktur der Branche vor physischen Bedrohungen und Cyber-Bedrohungen zu schützen.

Abschnitt 21 des Bundesgesetzbuchs (21 CFR Teil 11) Elektronische Aufzeichnungen

Für wen es gilt: Alle von der FDA regulierten Industrien, deren regulierte Aktivitäten die Nutzung von Computern vorschreiben, sowohl innerhalb als auch außerhalb der USA.

Was es abdeckt: Teil 11, wie es allgemein genannt wird, enthält Richtlinien für elektronische Aufzeichnungen und elektronische Signaturen, um deren Zuverlässigkeit und Vertrauenswürdigkeit zu gewährleisten. Es wurde 1997 herausgegeben und wird von der U.S. Food and Drug Administration überwacht.

Europäische Datenschutzrichtlinie

Für wen es gilt: Europäische Organisationen und Nicht-Europäische Unternehmen, an die Daten exportiert werden.

Was es abdeckt: Die Datenschutzrichtlinie der Europäischen Union setzt strenge Grenzen für die Erhebung und Nutzung personenbezogener Daten und verpflichtet jeden Mitgliedsstaat zur Einrichtung einer unabhängigen nationalen Stelle, die für den Datenschutz zuständig ist.

Safe Harbor-Gesetz

Für wen es gilt: US-Unternehmen, die in Europa Geschäfte tätigen.

Was es abdeckt: Das Safe Harbor-Gesetz verbietet die Übertragung personenbezogener Daten in Drittländer außerhalb der Europäischen Union, wenn diese nicht die von der Europäischen Datenschutzrichtlinie festgelegten Datenschutzstandards erfüllen. Es wurde erlassen, um die unterschiedlichen Ansätze zum Datenschutz zwischen Europa und den USA zu überbrücken und es US-Unternehmen zu ermöglichen, transatlantische Operationen durchzuführen, ohne Unterbrechungen oder Verfolgungen durch europäische Behörden zu riskieren.

Erfahren Sie mehr darüber, wie DataSunrise hilft, regulatorische Anforderungen zu erfüllen.