Promulgada por el gobernador de Nueva York el 25 de julio de 2019, la Ley Stop Hacks and Improve Electronic Data Security (SHIELD) es una ley de protección de datos que ha ampliado la definición de información personal para incluir el nombre de usuario y la contraseña de una cuenta en línea y los datos biométricos; exige controles específicos de seguridad de los datos a las organizaciones para proteger la información personal de los residentes de Nueva York; y establece requisitos específicos de notificación de violaciones de datos y sanciones a las organizaciones en las que se hayan visto comprometidos los datos de los residentes de Nueva York.
La Ley SHIELD, que en gran medida actualiza las leyes anteriores del estado de Nueva York, entrará en vigor el 21 de marzo de 2020 y tiene por objeto mejorar las protecciones de ciberseguridad y la notificación de violaciones de datos, con sanciones que van desde 5000 dólares por infracción hasta 20 dólares por cada notificación no realizada (con un límite máximo de 250 000 dólares). Al igual que la Ley de Privacidad del Consumidor de California (CCPA) para ese estado, si su organización recopila cualquier tipo de información personal de un residente del estado de Nueva York, o si intercambia información con un socio comercial que lo hace, la ley se le aplica independientemente de la ubicación de su organización.
Requisitos de cumplimiento de la Ley SHIELD
Lo que diferencia notablemente a la Ley SHIELD de otras leyes relacionadas con la protección de datos es que establece una serie de criterios de cumplimiento. La ley define tres (3) tipos de medidas de seguridad para evaluar el cumplimiento: administrativas, físicas y técnicas, con requisitos que incluyen:
- Designar y formar a los empleados para coordinar el cumplimiento de la normativa de ciberseguridad.
- Recurrir a proveedores de servicios externos capaces de mantener prácticas adecuadas de ciberseguridad, con las garantías exigidas por contrato.
- Evaluación del riesgo del programa de ciberseguridad de la empresa, incluyendo tanto el diseño de la red y el software como el procesamiento, la transmisión y el almacenamiento de la información.
- Aplicar procesos y medidas de seguridad físicas para detectar, prevenir y responder a ataques o fallos del sistema.
- Supervisión y comprobación de la eficacia del programa de ciberseguridad.
- Aplicar procesos para eliminar de forma segura y permanente los datos en un plazo razonable una vez que ya no sean necesarios para fines comerciales.
- Actualizar periódicamente el programa para abordar los cambios en el negocio o las circunstancias que requieran modificaciones en el programa.
Según las definiciones de la Ley, se puede lograr el cumplimiento (lo que se denomina «puerto seguro») si una organización cumple los requisitos de la Norma de Salvaguardias de la GLBA, la HIPAA o la 23 NYCRR Parte 500, aunque la Ley no aclara cómo puede una organización demostrar que cumple con cualquiera de estos regímenes normativos.
Consideraciones sobre la gestión de riesgos de terceros
Hay varias áreas en las que habrá que tener en cuenta las relaciones comerciales con terceros para garantizar el cumplimiento de la Ley SHIELD de Nueva York. Utilizaremos los puntos de la sección anterior para identificar estas áreas específicas y plantearemos varias preguntas para determinar la preparación de su organización para el cumplimiento de la Ley SHIELD. Revise el texto de la ley para obtener una visión completa de los requisitos. La tabla siguiente no debe interpretarse como recomendaciones de cumplimiento, sino simplemente como preguntas para evaluar lo que su organización podría necesitar abordar.
Ley SHIELD de Nueva York
| Requisito | Examen de control |
|---|---|
| Recurrir a proveedores de servicios externos capaces de mantener prácticas adecuadas de ciberseguridad, con las garantías exigidas por contrato. |
|
| Evaluación del riesgo del programa de ciberseguridad de la empresa, incluyendo tanto el diseño de la red y el software como el procesamiento, la transmisión y el almacenamiento de la información. |
|
|
Supervisión y comprobación de la eficacia del programa de ciberseguridad. |
|
|
Actualizar periódicamente el programa para abordar los cambios en el negocio o las circunstancias que requieran modificaciones en el programa. |
¿La organización tiene opciones para mantener la flexibilidad del programa, incluyendo:
|
Cómo Prevalent puede ayudar a cumplir los requisitos de gestión de riesgos de terceros de la ley SHIELD
Prevalent ofrece la única plataforma unificada y diseñada específicamente para la gestión de riesgos de terceros. La plataforma Prevalent combina evaluaciones automatizadas de proveedores, supervisión continua de amenazas, flujo de trabajo de evaluación y gestión de correcciones a lo largo de todo el ciclo de vida del proveedor, con servicios de asesoramiento y consultoría expertos, red y opciones externalizadas para optimizar su programa de gestión de riesgos. Con más de 50 opciones de cuestionarios integrados, incluidos los de NYCRR 500 y otros útiles para la ley SHIELD, Prevalent puede ayudar a las organizaciones a obtener una visión de 360 grados de los proveedores para simplificar el cumplimiento, reducir los riesgos y mejorar la eficiencia de un programa escalable de gestión de riesgos de terceros.
Esté atento a más opciones de cuestionarios específicos sobre la ley SHIELD en la plataforma Prevalent y no dude en ponerse en contacto con nosotros hoy mismo si tiene alguna pregunta sobre cómo afectará SHIELD a su organización. Mientras tanto, descargue nuestro informe técnico sobre cumplimiento normativo, en el que se detallan los requisitos de gestión de riesgos de terceros en múltiples normativas y estándares y se describen las capacidades de Prevalent en relación con dichos regímenes.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
