NAIC 数据安全法

美国保险专员协会 (NAIC) 数据安全法（示范法）要求保险公司和其他经州保险部门许可的实体制定、实施和维护信息安全计划；调查任何网络安全事件；并将此类事件通知州保险专员。NAIC 示范法为监管保险公司的州级法律提供了蓝图。该法律的主要建议包括：

• 制定书面的信息安全计划

• 分配信息安全责任

• 定期进行风险评估

• 实施关键网络安全保障措施

• 制定事件响应计划和程序

• 定期监测并报告项目状态

• 实施服务提供商监督

• 提供董事会级别的监督

哪些公司受 NAIC 数据安全法约束

该法律适用于各州保险局的持牌人。其中包括（有一些例外）保险业公司、代理机构、代理人、公共理赔员和经纪人。

NAIC 数据安全法何时生效？

美国保险监督官协会于2017年第四季度正式通过了《数据安全法》。截至2023年5月，已有22个州颁布了该法律版本：阿拉巴马州、阿拉斯加州、康涅狄格州、特拉华州、夏威夷州、印第安纳州、爱荷华州、肯塔基州、路易斯安那州、缅因州、马里兰州、密歇根州、明尼苏达州、密西西比州、新罕布什尔州、北达科他州、俄亥俄州、南卡罗来纳州、田纳西州、佛蒙特州、弗吉尼亚州和威斯康星州。

不遵守 NAIC数据安全法会受到哪些处罚？

不遵守 NAIC 数据安全法的建议处罚为每次违规最高 500 美元（最高 10,000 美元）。如果保险公司/生产商违反专员的停止令，建议处罚为每次违规最高 10,000 美元（最高 50,000 美元）。这些机构的个人每次违规最高可被罚款 10,000 美元，还可能被判处最高五年监禁。

我们如何帮助满足 NAIC 合规要求

我们的解决方案可简化合规性并实现安全自动化，从而帮助保险提供商遵守 NAIC 数据安全法，减轻安全和合规团队的负担。我们帮助满足组织 NAIC 强制信息安全计划中风险管理的基本要求。

我们在网络安全的三个关键领域提供全面的网络安全解决方案：应用程序安全、数据安全以及身份和访问管理。

• 应用程序安全

  在云端、本地或混合模式下大规模保护应用程序和 API。我们市场领先的产品套件包括 Web 应用程序防火墙 (WAF)、针对分布式拒绝服务 (DDoS) 和恶意 BOT 攻击的保护、API 安全、安全的内容分发网络 (CDN) 和运行时应用程序自我保护 (RASP)。

  
  

• 数据安全

  使用加密、令牌化和密钥管理，发现和分类混合 IT 中的敏感数据，并在任何地方自动保护这些数据，无论是静态、动态还是使用中。Thales解决方案还可以识别、评估和确定潜在风险的优先级，以进行准确的风险评估，以及识别异常行为，并监控活动以验证合规性，从而使组织能够确定将精力投入到哪些方面的优先顺序。

  
  

• 身份和访问管理

  为客户、员工和合作伙伴提供无缝、安全且值得信赖的应用程序和数字服务访问。我们的解决方案根据内部和外部用户的角色和环境限制其访问权限，并采用精细的访问策略和多重身份验证，帮助确保在正确的时间向正确的用户授予对正确资源的访问权限。

满足 NAIC《数据安全法》第 4 条的关键要求

D.1 | “降低第三方服务提供商的风险”

• Thales 如何提供帮助：

• 通过维护对加密密钥的本地控制来降低第三方风险，从而保护云中托管的数据。

• 强制分离云提供商管理员和您的组织之间的角色，限制对敏感数据的访问。

• 监控和警告异常以检测和防止不必要的活动破坏供应链活动。

• 启用与供应商、合作伙伴或任何第三方用户的关系管理；明确委派访问权限。

• 通过使用基于关系的细粒度授权来最小化权限。

• 解决方案：

• 数据安全

• 云密钥管理

• 透明加密

• 数据活动监控

• 用户权限管理

• 发现和分类

• 身份和访问管理

• 第三方访问控制

• 委托用户管理

• 外部授权

D.2.a | “在信息系统上设置访问控制”

• Thales 如何提供帮助：

• 根据角色和上下文使用策略限制对系统和数据的访问。

• 根据风险评分应用上下文安全措施。

• 将访问策略和执行集中到单一管理平台中的多个混合环境。

• 为客户提供对公司系统中信息的安全访问。

• 解决方案：

• 身份和访问管理

• 员工访问管理

• 客户身份和访问管理

• 数据安全

• 透明加密

• 数据风险分析

D.2.b | “识别和管理数据和系统...”

• Thales 如何提供帮助：

• 识别混合 IT 中存在风险的结构化和非结构化敏感数据。

• 确定当前的合规状态和记录差距。

• 发现并分类所有公共、私有和影子 API 的潜在风险。

• 解决方案：

• 应用程序安全

• API 安全

• 数据安全

• 数据发现和分类

• 数据风险分析

• 漏洞管理

D2.d | “通过加密保护……所有非公开信息……”

• Thales 如何提供帮助：

• 在本地、跨云以及大数据或容器环境中加密静态数据。

• 在 FIPS 140-2 level 3环境中保护加密密钥。

• 将数据库中的敏感信息匿名化。

• 使用高速加密保护动态数据。

• 利用机密计算保护正在使用的数据。

• 获得完整的敏感数据活动可见性，跟踪谁有访问权限，审计他们正在做什么并记录。

• 专为后量子升级而设计的安全产品，以保持加密敏捷性。

• 解决方案：

• 数据安全

• 透明加密

• Tokenization（令牌化/标记化/数据脱敏）

• 密钥管理

• 机密管理

• HSM（硬件安全模块/加密机）

• 高速加密

• 数据活动监控

• 数据治理

D2.e | “为内部开发的应用程序采用安全开发实践……”

• Thales 如何提供帮助：

• 保护应用程序免受运行时利用，同时与 CI/CD 管道中的工具集成。

• 检测和使用 Web 应用程序防火墙预防网络威胁，确保无缝操作和安心。

• 保护关键网络资产免受 DDoS 攻击和坏机器人的侵害，同时继续允许合法流量。

• 在混合和多云应用程序中部署数据保护控制以保护 DevSecOps。

• 保护并自动化跨 DevOps 工具对机密的访问。• 通过在线市场轻松访问数据安全解决方案。

• 解决方案：

• 应用程序安全

• 运行时保护

• Web 应用程序防火墙

• DDoS 保护

• 机器人保护

• API 保护

• 数据安全

• 社区版

• 机密管理

• DPOD 市场

D.2.g |“利用有效的控制，其中可能包括多因素身份验证……”

• Thales 如何提供帮助：

• 使用最广泛的硬件和软件方法启用多因素身份验证 (MFA)。

• 根据数据/应用程序的敏感度构建和部署自适应身份验证策略。

• 防止网络钓鱼和中间人攻击。

• 解决方案：

• 身份和访问管理

• 多因素身份验证

• 基于风险的身份验证

• PKI 和 FIDO 身份验证器

D.2.i | “在旨在检测和响应网络安全事件的信息安全计划中包含审计跟踪”

• Thales 如何提供帮助：

• 使用 Web 应用程序防火墙检测和预防网络威胁。

• 监控 ICT 网络并防止 DDoS 攻击和恶意机器人。

• 监控 API 活动、跟踪使用情况、检测异常并识别潜在的未经授权的访问尝试。

• 对混合 IT 上的结构化和非结构化数据进行数据活动监控。

• 生成所有系统的所有访问事件的审计跟踪和报告，将日志流式传输到 SIEM。

• 解决方案：

• 应用程序安全

• Web 应用程序防火墙

• DDoS 保护

• 机器人保护

• API 保护

• 数据安全

• 数据活动监控

• 身份和访问管理

• 员工访问管理

D.2.k | 以任何格式处理非公开信息

• Thales 如何提供帮助：

• 在混合 IT 中查找结构化和非结构化受监管数据并确定补救的优先级。

• 从 CipherTrust Manager 中删除密钥可以确保安全删除，以数字方式粉碎数据的所有实例。

• 解决方案：

• 数据安全

• 数据发现和分类

• 透明加密

作为Thales的合作伙伴，揽阁信息与您一同解决合规性要求的各类问题，欢迎联系揽阁信息获取更多信息。

揽阁信息 · 值得您信赖的信息安全顾问！

相关文章：

• Thales在Frost Radar™数据安全平台报告中被评为增长指数领导者
• 2026年密钥安全的新挑战和应对
• 泰国：在金融服务业合规方面应对前所未有的数字化增长
• 人工智能是新的内部威胁：重新思考数字时代的企业安全
• 哪些国家和地区的合规性可以使用Luna HSM进行满足？
• 审计加密资产清单的首要原因