BPI fordert Schutzmaßnahmen für die Weitergabe von Finanzdaten an Aufsichtsbehörden

In einer risikobasierten Praxis Rahmen In der am Donnerstag (23. Juli) veröffentlichten Studie forderte BPI eine stärkere Abhängigkeit von Systemen, die es den Regulierungsbehörden ermöglichen, smart Informationen zu überprüfen, während Finanzinstitute die Kontrolle über die zugrunde liegenden Daten behalten. Zu den Empfehlungen gehören firmeneigene Anwendungen, Bildschirmfreigabe, Vor-Ort-Überprüfungen und bei besonders sensiblen Informationen mündliche Briefings oder Zusammenfassungen anstelle der Übertragung vollständiger Dateien.

Das Framework kommt nach aufgedeckten Cybersicherheitsvorfällen Amt des Währungsprüfers im Februar 2025 und die Finanzministerium im Dezember 2024. Diese Vorfälle trugen dazu bei, dass Bundesaufsichtsbehörden und Finanzinstitute neu überlegten, wie vertrauliche Aufsichtsinformationen ausgetauscht werden.

Die Empfehlungen des BPI basieren auf a gemeinsame Erklärung diesen Monat von der Federal Reserve, Federal Deposit Insurance coverage Corp. und das OCC etabliert einen koordinierten Ansatz für hochsensible Informationen bei Bankprüfungen. Bei diesem Ansatz identifizieren beaufsichtigte Institute die angeforderten Informationen, die sie als hochsensibel erachten, während die Regulierungsbehörden Alternativen in Betracht ziehen, die die Erhebung und Speicherung minimieren.

Die zentrale Sorge besteht darin, dass durch die direkte Übertragung zusätzliche Kopien sensibler Informationen außerhalb der Sicherheitsumgebung eines Finanzinstituts erstellt werden. Nach der Übertragung hat die Establishment weniger Einblick darüber, wer auf die Informationen zugreift, ob sie kopiert oder weitergegeben werden, wie lange sie aufbewahrt werden und wie sie letztendlich vernichtet werden.

BPI empfahl, dieses Risiko zu minimieren, indem Anfragen und Einreichungen von Informationsmaterial auf die Verantwortung der Aufsichtsbehörden für Sicherheit und Solidität, Anlegerschutz, Marktintegrität oder Risikomanagement beschränkt werden. Wo eine direkte Übertragung weiterhin erforderlich ist, sollten Institutionen und Regulierungsbehörden schriftlich Vereinbarungen über Speicherorte, autorisierte Benutzer, Sicherheitsvorkehrungen, Aufbewahrungsfristen, weitere Weitergabe und eventuelle Entsorgung treffen.

Besonderes Augenmerk wurde auf Finanzinformationen gelegt. Das Rahmenwerk identifizierte strategische Pläne, Kapitalpläne, wesentliche nicht öffentliche Informationen, Fusions- und Übernahmedaten, Finanzberichte, Investitionsstrategien und Umsatzanalysen als smart „Strategie-, Planungs- und Finanzdaten“.

Für die meisten dieser Materialien sollten die Regulierungsbehörden Institutionen gestatten, den Zugriff über firmengehostete Anwendungen, Bildschirmfreigabe oder Vor-Ort-Überprüfung bereitzustellen, anstatt die Übertragung von Dateien zu verlangen. Informationen zu M&A-Transaktionen vor der Transaktion erfordern noch strengere Schutzmaßnahmen, da ihre Offenlegung Auswirkungen auf den Markt oder den Wettbewerb haben könnte. BPI empfahl, solche Informationen durch mündliche Diskussionen zu behandeln oder den Kreis der Aufsichtsbehörden einzuschränken und Zusammenfassungen bereitzustellen, bis die Transaktion öffentlich wird.

Das Rahmenwerk schlug außerdem mehrschichtige Schutzmaßnahmen vor, die die Menge und Nutzbarkeit der offengelegten Daten verringern können. Institutionen könnten aggregierte Informationen, Zusammenfassungen, Stichproben oder Auszüge anstelle vollständiger Datensätze bereitstellen; Persönlich identifizierbare oder wirtschaftlich smart Informationen schwärzen; und verwenden Sie Screenshots oder andere eingeschränkte Formate anstelle bearbeitbarer Phrase- oder Excel-Dateien. Der Zugriff sollte auf Prüfer mit nachweisbarem Wissensbedarf beschränkt sein, wobei von der Firma gehostete Systeme das Herunterladen, Kopieren, Drucken und Teilen kontrollieren oder verfolgen.

Diese Grundsätze erstrecken sich auf Handels- und Kundenkontoinformationen, die BPI als vertrauliche interne Geschäftsdaten einstuft, sowie auf PII von Kunden und Anlegern, Materialien zur Betrugsüberwachung und Modelle, Datenquellen und Validierungsaufzeichnungen im Zusammenhang mit künstlicher Intelligenz. Die personenbezogenen Daten von Kunden und Mitarbeitern sollten durch Schwärzung, Aggregation oder Auszüge sowie einen streng eingeschränkten Zugriff durch die Aufsichtsbehörden zusätzlich geschützt werden.

Cybersicherheitsdaten erfordern einige der strengsten Einschränkungen des Frameworks. Netzwerkdiagramme, Konfigurationseinstellungen, Schwachstellen, Penetrationstests und Pink-Group-Ergebnisse könnten Angreifern einen Weg in Finanzinstitute bieten. BPI sagte, dass die sensibelsten Technologieinformationen, einschließlich detaillierter Netzwerkdiagramme, IP-Adressen, Kontrollgespräche und Rechenzentrumsstandorte, überhaupt nicht extern weitergegeben werden sollten.

Die Empfehlungen umfassen auch Informationen zur internen Revision, zur Bekämpfung der Geldwäsche und Bankgeheimnisgesetz Materialien zur Meldung verdächtiger Aktivitäten, Ermittlungen und vertrauliche Rechtsdokumente. Laut BPI sollten die vertraulichen Informationen zwischen Anwalt und Mandant und Arbeitsproduktmaterialien im Allgemeinen zurückgehalten werden, da die Aufsichtsbehörde die Geheimhaltung nicht außer Kraft setzt.

Insgesamt zielt das Rahmenwerk darauf ab, den aufsichtsrechtlichen Datenaustausch von einem Modell, das sich auf die Übertragung und Vervielfältigung von Dateien konzentriert, auf ein Modell zu verlagern, das auf kontrolliertem Zugriff und Datenminimierung basiert. Laut BPI kann das legitime Bedürfnis der Regulierungsbehörden, Institutionen zu überprüfen, gewahrt bleiben und gleichzeitig die wachsende Angriffsfläche verringert werden, die entsteht, wenn hochsensible Finanzdaten in mehrere externe Systeme kopiert werden.