Un programme Safeguards Rule pour prêteurs, sociétés de transfert et autres non-banques

La liste comprend aussi les agences de recouvrement, les conseillers en crédit et les conseillers en investissement non tenus de s'enregistrer auprès de la SEC. Une fintech de groupe constituée en LLC américaine qui manie des fonds ou du crédit de consommateurs se trouve en général dans ce cercle.

Plancher fédéral, licences d'État en plus

La Safeguards Rule fixe le minimum fédéral. Une licence d'État ajoute sa couche : un licencié du DFS de New York relève aussi du 23 NYCRR 500. Nous rédigeons un seul programme couvrant les deux, avec un tableau qui indique l'origine de chaque contrôle.

Les mesures que la règle nomme directement (314.4(c)) :

• contrôles d'accès selon le moindre privilège, revus périodiquement ;
• inventaire des données, systèmes et appareils ;
• chiffrement des informations clients au repos et en transit sur les réseaux externes, ou mesures compensatoires approuvées par le Qualified Individual ;
• MFA pour toute personne accédant à tout système d'information ;
• destruction sécurisée des informations clients au plus tard deux ans après leur dernier usage, sauf besoin opérationnel ou obligation légale de conservation ;
• gestion des changements et journalisation de l'activité des utilisateurs autorisés.

Tests d'intrusion et évaluations des vulnérabilités (314.4(d))

Sans surveillance continue efficace, l'entreprise mène un test d'intrusion annuel et une évaluation des vulnérabilités au moins tous les six mois et après tout changement important. Nous réalisons les scans et les évaluations ; le test d'intrusion est disponible sur demande.

Avec un Qualified Individual externe, l'entreprise désigne un cadre chargé de diriger et superviser ce prestataire et exige de lui son propre programme de sécurité (314.4(a)). Au moins une fois par an, le Qualified Individual rend compte par écrit au conseil, ou à un dirigeant s'il n'y a pas de conseil : état du programme, risques importants, résultats des tests, événements de sécurité et recommandations (314.4(i)).

Nous équipons la personne désignée du programme, du registre des risques, du calendrier des tests et d'un modèle de rapport annuel. Un Qualified Individual externe au format vCISO est disponible sur demande.

Une information compte comme non chiffrée si la clé de chiffrement a été obtenue par une personne non autorisée (314.2(m)). L'avis passe par le formulaire en ligne de la FTC, avec les coordonnées de l'entreprise, les types d'informations, la date ou la période de l'événement et le nombre de consommateurs touchés (314.4(j)). La découverte date du premier jour où un salarié, dirigeant ou mandataire autre que l'auteur a eu connaissance de l'événement.

Le plan de réponse aux incidents de la 314.4(h) couvre objectifs, rôles et pouvoir de décision, communications, correction, documentation et retour d'expérience. Si le même incident touche des clients européens ou canadiens, les délais se cumulent ; voir notre page réponse aux incidents.