Assurer la conformité des données sensibles à la loi GLBA

Sep 20, 2023

Assurer la conformité des données sensibles à la loi GLBA

Aperçu de la loi GLBA

La loi Gramm-Leach-Bliley

Adoptée en 1999, la loi Gramm-Leach-Bliley s’applique à la fois aux institutions financières et à toute entreprise qui offre aux consommateurs des produits ou services financiers (prêts, conseils financiers ou d’investissement, assurances, etc.)

Elle oblige les entreprises à expliquer à leurs clients leurs pratiques en matière de partage de l’information et à prouver aux auditeurs qu’elles prennent des mesures actives pour protéger les données sensibles.

Entreprises impactées

La loi GLBA s’applique aux entreprises de toute taille qui fournissent des produits ou des services financiers à des fins personnelles, familiales ou domestiques et qui collectent des informations personnelles non publiques (NPI) sur les consommateurs.

Les entreprises soumises à la loi GLBA s’identifient comme des institutions financières ou reçoivent des NPI d’une institution financière en tant que tierce partie.

La loi GLBA ne s’applique pas lorsqu’une institution financière collecte des informations à des fins professionnelles ou commerciales, telles que des prêts commerciaux, des comptes chèques commerciaux et d’autres services B2B. La loi GLBA ne s’applique pas non plus aux informations collectées sur des personnes ne demandant pas de produit financier.

Types de données couvertes

Toute information personnelle non publique ou NPI concernant les consommateurs et collectée par des entreprises offrant des services financiers est couverte par la loi.

Les NPI sont toutes les informations financières personnellement identifiables recueillies au sujet d’un individu, y compris :

toute information personnelle fournie par un consommateur pour obtenir un produit financier
toute information recueillie lors d’une transaction (numéros de carte de crédit et de compte bancaire)
toute information recueillie lors de la prestation d’un service financier

Exigences de conformité

La loi comporte trois sections principales, composées de deux règles et d’un ensemble de dispositions.

Pour être en conformité avec la loi GLBA, les institutions financières doivent:

communiquer aux clients la manière dont elles partagent les données sensibles
informer les clients de leur droit de refus s’ils préfèrent que leurs données personnelles ne soient pas partagées avec des tiers
fournir aux auditeurs la preuve qu’elles ont pris des mesures pour protéger les données privées des clients conformément à leur politique écrite de sécurité de l’information.

Les principales implications de la loi GLBA en matière de protection des données sont décrites dans la règle de sauvegarde (Safeguards Rule), avec des exigences supplémentaires en matière de confidentialité et de sécurité publiées par la règle de confidentialité financière de la FTC.

La Safeguards Rule exige que les entreprises mettent en place des contrôles pour protéger, stocker et éliminer les informations relatives aux clients. Elle exige des entreprises qu’elles identifient les risques liés aux informations privées des consommateurs dans chaque domaine d’activité pertinent de l’entreprise, qu’elles évaluent l’efficacité des mesures de protection actuelles pour contrôler ces risques et qu’elles fournissent aux auditeurs la preuve que les mesures suivantes ont été prises.

Mise en œuvre et sanctions

Toutes les règles de la loi GLBA sont entrées en vigueur le 12 novembre 1999 et sont appliquées par la FTC, les agences bancaires fédérales et d’autres autorités réglementaires fédérales, ainsi que par les agences étatiques de surveillance des assurances.

Si une allégation de non-conformité à la loi GLBA est prouvée, les pénalités peuvent avoir des répercussions considérables sur l’entreprise, et même sur la vie privée. Les sanctions pour non-conformité comprennent :

Les institutions financières reconnues coupables de violation s’exposent à des amendes de 100 000 dollars pour chaque violation.
Les personnes responsables reconnues coupables de violation sont passibles d’une amende de 10 000 dollars par infraction.
La loi GLBA comprend également des dispositions relatives à l’application de la loi au niveau pénal. Dans les affaires pénales, les institutions financières, les responsables et les directeurs peuvent être condamnés à des amendes légales, et les responsables et les directeurs peuvent également être condamnés à une peine d’emprisonnement fédérale pouvant aller jusqu’à 5 ans.

Surveillez le risque lié aux données sensibles en tout temps et recevez des alertes dès qu’une accumulation, une suppression ou une exfiltration à risque se produit. Si un incident se produit, utilisez la recherche par mot-clé pour trouver un élément de données spécifique et suivez le cheminement complet des données, y compris l’endroit exact où les données ont été extraites d’un environnement, où elles ont abouti et tous les points de contact intermédiaires.

Qohash fournit un inventaire complet des données sensibles et non structurées au repos. Qohash découvre les données sensibles 50 fois plus vite que les autres solutions, sur n’importe quelle source de données, à tout endroit. Qohash permet l’étiquetage, la classification, les recherches personnalisées par RegEx et par mot-clé, ainsi que le classement et la contextualisation des risques.

Effectuez des recherches par nom, date, numéro de carte de crédit et autres pour trouver toutes les copies de données sensibles dans les systèmes de l’entreprise. Découvrez quelles catégories de données sensibles sont stockées sur les systèmes de l’entreprise. Voyez comment des éléments de données spécifiques ont été déplacés entre les employés et les sites. Supprimez des données directement dans la plateforme pour démontrer la conformité aux demandes de suppression de données en tout lieu, y compris les postes de travail.

Qohash fournit aux auditeurs la preuve que les données sensibles sont surveillées et associées aux interactions des employés, permettant ainsi l’application des politiques au moment même. Qohash examine les fichiers pour suivre les éléments de données. Il surveille ces éléments et les associe aux employés et aux emplacements. Sachez à quel moment un employé a une interaction risquée avec des données sensibles. Tracez l’historique de tout élément de données qui se déplace sur les postes de travail, pour une remédiation plus rapide.

Créez rapidement une liste de contrôle d’accès de toutes les données réglementées par diverses lois. Fournissez des preuves des restrictions et montrez que vous évaluez régulièrement si les personnes ayant accès ont un besoin professionnel légitime.