Аудит соответствия LADMF и сертификация ACAB

Получите сертификат аудитора DMF для доступа к файлу Limited Access Death Master File (LADMF).

В 2016 году Администрация социального обеспечения начала требовать сертификацию безопасности для компаний, получающих доступ к файлу SSA Death Master File. В ответ на это, Альянс Лазаря начал предлагать компаниям оценки сертификации аудита ACAB DMF. Сегодня мы остаемся одной из самых опытных фирм по сертификации аудита LADMF DMF в стране.

Альянс Лазаря В качестве руководящих принципов для выполнения требований правила в первую очередь используются Рамки NIST по улучшению кибербезопасности критической инфраструктуры и Публикация 100 Программы сертификации NTIS Limited Access Death Master File (LADMF).

В качестве альтернативы мы также рассмотрим существующие FedRAMP, StateRAMP, СОЦ 1, СОЦ 2 или стандартами качества ISO 27001 сертификации и аттестации в соответствии с основным файлом данных о смерти с ограниченным доступом NTIS Публикация программы сертификации 100, Альянс Лазаря Служба безопасности и рисков оценивает критерии, включающие:

Безопасное хранение информации
Ограничение доступа к информации LADMF
Утилизация информации DMF с ограниченным доступом
Руководство по информационной безопасности в соответствии с требованиями аудита ACAB DMF

Кроме того, мы проводим первоначальный анализ среды, в ходе которого, исходя из того, как и где обрабатывается LADMF, мы определим, в какой степени мы можем использовать результаты тестирования из любых предыдущих оценок. После завершения аудита DMF и успешного завершения всех связанных с ним корректирующих мероприятий, Альянс Лазаря представляет заполненную форму подтверждения соблюдения мер безопасности систем LADMF ACAB (форма NTIS FM100A) в соответствии с процедурами NTIS в NTIS от имени нашего клиента.

Мастер-файл смерти с ограниченным доступом – Программа NTIS/SSA

Программа LADMF — это обязательная сертификация на основе аудита, требуемая NTIS с 2016 года для любой организации, которой необходим постоянный законный доступ к записям о смерти в системе социального обеспечения. Без действующей сертификации доступ аннулируется, а штрафы могут достигать 250 000 долларов США в год.

Хронология базовой сертификации LADMF

(Для типичной организации среднего размера, работающей с опытным ACAB, таким как Lazarus Alliance)

Фаза	Хронология (с момента начала)	Ключевые мероприятия и вехи
Фаза 0 – Решение и подготовка	от –4 до –2 недель	• Примите решение о продолжении сертификации • Выберите ACAB (Lazarus Alliance) • Подпишите письмо-обязательство и соглашение о неразглашении
Этап 1 – Начало и определение объема работ	Неделя 0–1	• Стартовый звонок • Определение области аудита и систем • Назначение членов команды клиента + Lazarus Alliance • Получение списка запрашиваемых документов
Этап 2 – Сбор и подготовка документов	Неделя 1–4	• Загружайте политики, процедуры, системные схемы, журналы доступа, записи об обучении и т. д. на защищенный портал (Continuum GRC) • Заполняйте анкету самооценки • Дополнительно: Lazarus Alliance оказывает помощь в устранении пробелов и исправлении ошибок
Этап 3 – Полевые работы на месте/дистанционно	Неделя 4–7	• Интервью с ключевыми сотрудниками • Демонстрации системы и демонстрации экрана • Выборка журналов доступа, записей обучения, отчетов об испытаниях на проникновение и т. д. • Проверка доказательств и контрольное тестирование
Этап 4 – Отчетность и аттестация	Неделя 7–10	• Проект отчета отправляется на рассмотрение (обычно <5 выводов для подготовленных клиентов) • Клиент отвечает на все выводы • Выдается письмо о заключительном подтверждении • Отправка подтверждения в NTIS (клиент или Lazarus Alliance)
Сертификация вступает в силу немедленно
Пост-сертификация	Неделя 10+	• Начинается 3-летний период сертификации • Ежегодная самооценка должна проводиться каждый промежуточный год • Многие клиенты планируют ежегодную проверку готовности, чтобы снизить усилия к следующему трехлетнему периоду

Часто задаваемые вопросы (FAQ)

Что такое LADMF и зачем организациям необходим аудит ACAB?

Мастер-файл смерти с ограниченным доступом (LADMF) — это ограниченная версия Главного файла данных о смерти (DMF) Администрации социального обеспечения, доступная через NTIS. Доступ к нему получают только организации, прошедшие строгий независимый аудит аккредитованного органа по оценке соответствия (ACAB). Без действующей сертификации ACAB доступ аннулируется, а организациям грозит штраф в размере до 250 000 долларов США в год.

Кому необходимо пройти сертификационный аудит LADMF (NTIS)?

Любое лицо или организация (включая финансовые учреждения, страховые компании, пенсионные фонды, следственные фирмы, кредитные бюро и группы по предотвращению мошенничества), которым необходим постоянный доступ к данным социального обеспечения о смерти в законных деловых целях, требуемых или разрешенных законом, должны каждые три года проходить сертификацию у утвержденного АКАБ.

Как часто требуется проводить аудит на соответствие требованиям LADMF?

NTIS требует проведения полной независимой аттестации каждые три года, а также ежегодной самооценки и системных проверок в промежуточные годы. Многие организации выбирают ежегодный сторонний аудит, чтобы быть готовыми к аудиту и сократить объём трёхгодичных аудитов.

Каковы основные различия между полным DMF и DMF с ограниченным доступом (LADMF)?

Полный доступ к DMF был прекращен в 2016 году. LADMF — единственная версия, доступная в настоящее время и ограниченная сертифицированными организациями. Она содержит те же записи о смерти, но доступ к ней строго контролируется строгими требованиями безопасности, регистрации доступа и ограничения целей, применяемыми через АКАБ процесс аудита.

Сколько времени обычно занимает процесс сертификации ACAB LADMF?

При работе с опытным ACAB, таким как Lazarus Alliance, большинство клиентов проходят полный аудит и получают сертификат в течение 6–10 недель. Организации, использующие наш Континуум GRC Методология платформы и критического пути обычно завершается на 40–50% быстрее, чем в среднем по отрасли.

Каковы санкции за доступ или использование файла мастера смерти без действующего сертификата?

NTIS может налагать гражданско-правовые денежные штрафы в размере 1,000 долларов США за каждое несанкционированное раскрытие информации, но не более 250 000 долларов США за календарный год. Уголовное наказание также может применяться за умышленные нарушения.

Можно ли сопоставить средства контроля соответствия LADMF с SOC 2, ISO 27001, NIST 800-53 или FedRAMP?

Да. Lazarus Alliance регулярно сопоставляет и тестирует требования LADMF вместе с SOC 2 Критерии доверительных услуг, ISO 27001 Приложение А контролирует, НИСТ 800-53 rev5, и FedRAMP Умеренные/высокие базовые показатели, позволяющие клиентам объединять аудиты и значительно сокращать затраты и усилия.

Сколько стоит аудит ACAB LADMF и есть ли способы снизить расходы?

Расходы различаются в зависимости от размера и сложности организации, но клиенты, которые проводят проактивные ежегодные оценки готовности с помощью Lazarus Alliance, обычно сокращают расходы на трехгодичный аудит на 40–60 % и избегают расходов на устранение неполадок в последнюю минуту.

Преимущества сертификации LA DMF

Сертификация LADMF — это не просто нормативная галочка. Она защищает ваш доступ к критически важным данным о смерти, устраняет шестизначные штрафы, сокращает долгосрочные расходы на аудит до 60% и позволяет вам использовать один аудит для удовлетворения SOC 2, стандартами качества ISO 27001, FedRAMPи многое другое — одновременно укрепляя предотвращение мошенничества и доверие к регулирующим органам.

Законный и постоянный доступ к данным о смерти SSA: Без действующей сертификации NTIS мгновенно аннулирует доступ. Сертификация — единственный способ продолжать использовать LADMF для предотвращения мошенничества, проверки бенефициаров или предоставления обязательной регулирующей отчетности.
Избегайте крупных штрафов: Гражданские санкции NTIS: 1,000 долларов США за несанкционированное раскрытие информации, но не более 250 000 долларов США за календарный год. Умышленные нарушения могут быть уголовно наказуемы. Сертификация устраняет этот риск.
Снижение затрат на аудит на 40–60% с течением времени: Организации, которые проводят ежегодные профилактические проверки готовности (вместо того, чтобы проводить их каждые три года), регулярно сокращают расходы на трехгодичный аудит и затраты на устранение недостатков почти вдвое.
Значительное сокращение времени аудита и сбоев: Клиенты, использующие платформу Lazarus Alliance + Continuum GRC, обычно завершают полный аудит ACAB за 6–10 недель и сокращают внутренние усилия на 40–50% по сравнению со средним показателем по отрасли.
Единый аудит удовлетворяет нескольким критериям: Элементы управления LADMF напрямую соответствуют стандартам SOC 2, ISO 27001, NIST 800-53, FedRAMP, HIPAA, PCI и т. д. Один объединенный аудит = соответствие 5–10 нормативным требованиям одновременно → существенная экономия средств и времени.
Более эффективная профилактика мошенничества и повышение точности данных: Немедленная идентификация умерших лиц, указанных в DMF, сокращает незаконные платежи, переплаты по пенсиям, потери от кражи личных данных и мошенничество со страховкой (многие клиенты сообщают о 6- и 7-значной годовой экономии).
Улучшение доверия клиентов и отношений с регулирующими органами: Возможность доказать, что вы являетесь сертифицированной и прошедшей аудит организацией, повышает вашу репутацию среди регулирующих органов, аудиторов, государственных страховых комиссаров и федеральных агентств (особенно для государственных подрядчиков).
Перспективная программа соответствия: Ежегодные или двухгодичные проверки третьей стороной позволяют постоянно совершенствовать политики, журналы, средства управления доступом и обучение, а не переделывать их каждый трехгодичный цикл.

Более подробная информация о программе

LADMF (Limited Access Death Master File) — файл с ограниченным доступом к сведениям о смерти — содержит конфиденциальную информацию, которая не может быть раскрыта в течение трех лет после смерти человека, в том числе:

Номер социального страхования
Имя
Дата рождения
Дата смерти

Начиная с 28 ноября 2016 года, организации сталкиваются с более строгим процессом сертификации для получения доступа к DMF. Чтобы получить доступ к DMF, физическое или юридическое лицо должно:

Иметь законный интерес в предотвращении мошенничества; или
Иметь законную деловую цель для закона, правительственного правила, постановления или фидуциарной обязанности

Основные изменения, к которым организациям необходимо быть готовыми:

Ежегодная повторная сертификация организацией, желающей получить доступ
Подтверждение соответствия третьей стороной каждые три года
Согласие на проведение плановых и внеплановых аудитов, проводимых Национальной службой технической информации (NTIS) или Аккредитованным органом по оценке соответствия (ACAB) по запросу NTIS
Штрафы до 250,000 XNUMX долларов в год за несоблюдение

Организация, желающая получить доступ к DMF, должна предоставить письменное подтверждение от ACAB, подтверждающее наличие соответствующих систем, объектов и процедур для защиты информации и поддержания конфиденциальности, безопасности и надлежащего использования информации.

Чтобы лучше понять требования, организации могут найти образцы форм сертификации здесь:

Форма сертификации подписчика – Образец
Форма подтверждения соответствия системных гарантий аккредитованного органа по оценке соответствия – Образец
Форма подтверждения гарантийных мер генерального аудитора или инспектора государственных или местных органов власти – Образец

Сертификация подписчика должна быть заполнена ежегодно. Форма подтверждения безопасности систем LADMF должна быть заполнена каждые три года.

Национальная служба технической информации (NTIS) Министерства торговли США, руководящий орган DMF, может проводить как плановые, так и внеплановые проверки соответствия требованиям и налагать на организации штрафы в размере до 250 000 долларов США за несоблюдение требований, а за умышленные нарушения — ещё более строгие. В связи с возможностью наложения значительных штрафов важно, чтобы организации имели возможность внедрять соответствующие системы, средства и процедуры для защиты информации.

Как Альянс Лазаря Может помочь

Lazarus Alliance — это ACAB, который может подтвердить действующие в организациях системы и процедуры. Альянс Лазаря использует различные опубликованные стандарты информационной безопасности, включая NIST 800-53, AICPA SOC 2, и стандартами качества ISO 27001, для удовлетворения требований аудита, установленных правилом.

Lazarus Alliance является ведущей фирмой ACAB уже более 8 лет. — Майкл Питерс, генеральный директор и основатель

С 2017 Альянс Лазаря Мы работаем над тем, чтобы помочь нашим клиентам выполнить требования аудита DMF, и успешно подали соответствующие формы подтверждения в NTIS, что привело к сертификации наших клиентов. Мы обладаем обширным опытом тестирования средств контроля, требуемых LADMF, и понимаем процесс и требования сертификации.

Услуги аудита соответствия LADMF: получите сертификацию ACAB с оценками, соответствующими стандартам NIST. Звоните +1 (888) 896-7580 прямо сейчас