Программа защиты клиентских данных по правилам FTC для финтеха без банковской лицензии

Статья 314.1(b) перечисляет примеры: ипотечные кредиторы, payday-кредиторы, финансовые компании, ипотечные брокеры, сервисеры счетов, обналичивание чеков, wire transferors, агентства по взысканию, кредитные консультанты, налоговые консультанты, инвестиционные советники без регистрации в SEC. Финтех-компания группы, зарегистрированная как LLC в США и работающая с деньгами потребителей, обычно попадает в этот круг.

Как правило соотносится с законами штатов

Safeguards Rule — федеральный минимум. Лицензия штата добавляет свои требования: в Нью-Йорке, например, лицензиат DFS дополнительно выполняет 23 NYCRR 500. Мы готовим одну программу, которая покрывает оба режима, с таблицей, где видно, какое требование откуда.

Технические меры, которые FTC перечисляет прямо (314.4(c)):

• контроль доступа по принципу минимальных прав и регулярный пересмотр доступов;
• инвентаризация данных, систем и устройств;
• шифрование клиентских данных при хранении и при передаче по внешним сетям; если оно невозможно, равноценные меры, одобренные ответственным лицом;
• MFA для любого человека, который входит в любую информационную систему;
• безопасное удаление клиентских данных не позднее двух лет после последнего использования, если только они не нужны для работы или их хранения не требует закон;
• управление изменениями и журналирование действий пользователей.

Пентест и сканирование уязвимостей по 314.4(d)

Без эффективного непрерывного мониторинга компания проводит пентест ежегодно, оценку уязвимостей раз в шесть месяцев и дополнительно при существенных изменениях. Сканирование и оценку мы выполняем сами, пентест доступен по запросу.

Если Qualified Individual внешний, правило требует назначить старшего сотрудника, который его контролирует, и обязать поставщика вести собственную программу безопасности (314.4(a)). Qualified Individual не реже раза в год письменно отчитывается перед советом директоров или, при его отсутствии, перед старшим руководителем: состояние программы, риски, результаты тестов, инциденты, рекомендации (314.4(i)).

Мы готовим назначенного вами человека к этой роли: даём ему программу, реестр рисков, график тестов и форму годового отчёта. Внешний Qualified Individual в формате vCISO доступен по запросу.

Данные считаются незашифрованными, если посторонний получил доступ к ключу шифрования (314.2(m)). Уведомление подаётся через форму на сайте FTC и содержит сведения о компании, типе данных, дате или периоде события и числе затронутых потребителей (314.4(j)). Событие считается обнаруженным с первого дня, когда о нём узнал любой сотрудник, кроме виновника.

План реагирования по 314.4(h) описывает цели, роли и полномочия, коммуникации, устранение слабых мест, документирование и разбор после инцидента. Когда инцидент затрагивает ещё и клиентов из ЕС или Канады, сроки складываются; общую карту уведомлений ведём на странице реагирование на инциденты.