¿Cómo respalda Cyber Crucible los requisitos de GLBA y de proveedores de instituciones financieras?
Respuesta breve: Como proveedor de servicios de software para una institución financiera, Cyber Crucible respalda las obligaciones de la institución bajo las expectativas de las Safeguards Rule de GLBA y las directrices interagenciales de seguridad de la información, principalmente al no recopilar nunca la información personal no pública (NPI) que dichas normas están diseñadas para proteger. Cyber Crucible es un proveedor de software, no una institución financiera autorizada, por lo que no es examinado directamente; sus controles están diseñados para ser examinables como parte del programa de gestión de riesgos de terceros de la institución.
Dónde la arquitectura hace el trabajo
- No se recopila NPI. El producto se ejecuta en los endpoints que pueden manejar NPI sin extraerla. No existe información financiera del consumidor que Cyber Crucible pueda usar, compartir o volver a divulgar, lo cual respalda directamente la posición de la Regla de Privacidad de GLBA / Regulación P.
- Programa de seguridad documentado. El control de acceso, el cifrado, la respuesta a brechas y el control de cambios están documentados y pueden verificarse con evidencia: las salvaguardas que el programa de un banco busca en un proveedor de servicios.
- Evidencia de debida diligencia disponible. Un paquete de proveedor preparado está estructurado para servir como la evidencia de debida diligencia y monitoreo continuo que un banco necesita conforme a la guía interagencial vigente sobre riesgo de terceros.
El límite honesto
Cyber Crucible respalda las obligaciones de cumplimiento de un cliente; no logra, por sí mismo, que una organización sea conforme, y esto no constituye asesoría legal. Se proporciona información detallada y con nivel de evidencia a los revisores de un banco bajo un acuerdo de confidencialidad (NDA). Véase también ¿Cumple Cyber Crucible con las expectativas de la FFIEC y de gestión de riesgos de terceros?