Wie unterstützt Cyber Crucible GLBA- und Anbieteranforderungen für Finanzinstitute?
Kurze Antwort: Als Softwareanbieter für ein Finanzinstitut unterstützt Cyber Crucible die Verpflichtungen des Instituts im Rahmen der GLBA-Safeguards-Erwartungen und der interagency information-security guidelines – vor allem dadurch, dass es niemals die nicht-öffentlichen personenbezogenen Finanzinformationen (NPI) erfasst, zu deren Schutz diese Vorschriften verfasst wurden. Cyber Crucible ist ein Softwareanbieter und kein zugelassenes Finanzinstitut, wird daher selbst nicht geprüft; seine Kontrollen sind jedoch so ausgestaltet, dass sie im Rahmen des Drittanbieter-Risikoprogramms des Instituts überprüfbar sind.
Wo die Architektur die Arbeit übernimmt
- Keine NPI werden erfasst. Das Produkt läuft auf Endpunkten, die NPI verarbeiten können, ohne diese zu extrahieren. Es gibt keine Verbraucher-Finanzinformationen, die Cyber Crucible nutzen, weitergeben oder erneut offenlegen könnte, was die Position zur GLBA Privacy Rule / Regulation P direkt unterstützt.
- Dokumentiertes Sicherheitsprogramm. Zugriffskontrolle, Verschlüsselung, Reaktion auf Sicherheitsverletzungen und Änderungskontrolle sind dokumentiert und nachweisbar – die Schutzmaßnahmen, die das Programm einer Bank von einem Dienstleister erwartet.
- Sorgfaltspflicht-Nachweise vorhanden. Ein vorbereitetes Anbieterpaket ist so strukturiert, dass es als Nachweis für die Due-Diligence- und laufende Überwachungspflichten dient, die eine Bank gemäß den aktuellen interagency third-party risk guidance benötigt.
Die ehrliche Abgrenzung
Cyber Crucible unterstützt die Compliance-Verpflichtungen eines Kunden; es macht eine Organisation jedoch nicht allein compliant, und dies stellt keine Rechtsberatung dar. Spezifische, nachweistaugliche Details werden den Prüfern einer Bank unter einer Geheimhaltungsvereinbarung (NDA) zur Verfügung gestellt. Siehe auch Erfüllt Cyber Crucible die Erwartungen von FFIEC und des Third-Party Risk Managements?