Ce sunt reglementările specifice industriei?

Specific industriei reglementările, cum ar fi HIPAA și PCI DSS, plus GDPR trans-sectorial, sunt reguli de protecție a datelor. Majoritatea se aplică unor sectoare specifice, precum sănătatea și finanțele. Scopul principal este de a proteja datele sensibile; legile vor varia în funcție de cerințele industriei.

• HIPAA (Legea privind portabilitatea și responsabilitatea asigurării de sănătate): Specifică industriei de asistență medicală; concepută pentru protecția datelor de sănătate ale pacienților.
• PCI DSS (Standardul de securitate a datelor din industria cardurilor de plată): Un standard al industriei cardurilor pentru orice afacere care acceptă carduri; conceput pentru protecția datelor deținătorilor de carduri în timpul tranzacțiilor.
• GDPR (Regulamentul general privind protecția datelor): Aplicabil tuturor statelor membre UE și reglementează colectarea și procesarea datelor. Se aplică, de asemenea, membrilor non-UE ai SEE (Norvegia, Islanda și Liechtenstein).

Conformitatea cu reglementările este un ghid pentru cadrele dvs. de securitate. Ar trebui să respectați cerințele de reglementare pentru securitate cibernetică implementând controale de securitate și gândindu-vă la politicile dvs. 

Este esențial să respectați reglementările pentru a evita amenințările la adresa securității cibernetice, cum ar fi încălcările de date și, ulterior, pentru a evita implicațiile financiare și de reputație.

• HIPAA: Pentru industria medicală și se concentrează pe protejarea informațiilor de sănătate ale pacienților, confidențialitatea și caracterul privat fiind cele două aspecte fundamentale.
• PCI DSS: Un standard al industriei cardurilor care impune furnizorilor să securizeze datele titularilor de card în timpul tranzacțiilor; ai nevoie de el pentru a preveni frauda și pentru securitatea datelor. Această regulă se aplică tuturor entităților care gestionează datele titularilor de card.

Aflați diferențele dintre aceste două aspecte pentru a vă asigura că vă concentrați pe ceea ce se aplică industriei și modelului dvs. de afaceri.

Respectarea HIPAA sau GDPR nu acoperă PCI DSS: o clinică sau un magazin online care acceptă carduri trebuie, de asemenea, să o respecte, deoarece se aplică oricărei entități care stochează, prelucrează sau transmite datele titularilor de card (PCI SSC).

Conformitatea HIPAA pentru SaaS înseamnă protejarea prelucrarea și stocarea datelor PHI în aplicațiile dumneavoastră bazate pe cloud. Aceasta include:

• Criptarea datelor
• Controale de acces
• Trasee de audit
• Acorduri de asociere comercială cu clienții

Puteți începe prin a examina funcționalitățile de personalizare ale furnizorului dumneavoastră SaaS și implementare controalele de securitate necesare.

PCI-DSS impune menținerea unui mediu securizat la gestionarea informațiilor cardurilor de plată, iar intenția sa este de a preveni frauda. PCI DSS este mai degrabă un standard industrial decât o lege: Consiliul pentru Standarde de Securitate PCI din spatele său a fost fondat în 2006 de American Express, Discover, JCB International, Mastercard și Visa (PCI SSC). În primul rând standardul a fost creat de companiile de carduri de credit și îți cere să faci următoarele:

• Securizează vă rețeaua: Protejați datele stocate și modificați setările implicite. De asemenea, trebuie să instalați paravanele de protecție.
• Protejează datele titularilor de card: Securitatea datelor titularilor de card include criptarea datelor în timpul transmiterii și evitarea stocării anumitor date sensibile; abaterile de la aceste practici pot duce la neconformitate.
• Mențineți securitatea: Utilizați software antivirus și mențineți sistemele și aplicațiile actualizate.
• Controlul accesului: Setați parametrii de acces ai utilizatorului și atribuiți ID-uri unice fiecărei persoane din cloud.
• Monitorizare și testare: Testați-vă măsurile de securitate și urmăriți accesul pentru a evita încălcările.
• Politica de securitate: Elaborați o politică de securitate și revizuiți-o frecvent pentru a face modificări.

Urmați acești pași pentru conformitatea SaaS GDPR:

• Minimalizare: Colectați doar datele personale necesare și stocați-le doar atât timp cât este necesar.
• Consimțământ: Asigurați-vă o bază legală, cum ar fi consimțământul sau un contract, înainte de a colecta sau prelucra date (Articolul 6 GDPR).
• Drepturile persoanei vizate: Oferiți persoanelor acces la datele lor și permiteți-le să le rectifice și să le șteargă dacă doresc.
• Protecția datelor prin proiectare: Luați în considerare confidențialitatea pe tot parcursul fazei de proiectare a produsului dvs.
• Notificare privind încălcarea datelor: Raportați încălcările către autoritatea de supraveghere în termen de 72 de ore cu excepția cazului în care este puțin probabil să pună persoanele în pericol, și implementați măsuri pentru a minimiza lor efectele.

Indiferent de locul în care operați în UE, GDPR este obligatoriu. Țările vecine, precum Regatul Unit și Elveția, au și ele propriile legi de respectat.