قوانین جدید سایبر برای شرکتهای مالی نیویورک تغییرات در سراسر کشور

وزارت خدمات مالی نیویورک (NYDFS) ماه گذشته اصلاحات جدیدی را برای کمک به "افزایش" الزامات امنیت سایبری خود برای مؤسسات مالی که مقر آن در ایالت است ، ارائه داد و آیین نامه های بالقوه ای را برای همه بانک های ایالات متحده نشان داد.

نیویورک از لحاظ "رمزگشایی" امنیت سایبری و سایر قوانین نظارتی برای موسسات مالی یک بازیکن است. حتی بازگشت به سال 2015 ، ایالت نیویورک نقش اصلی را در تعیین مقررات امنیت سایبری و راهنمایی برای موسسات مالی ایفا کرده است. در سال 2017 ، NYDFS نقش "کاتالیزوری" در حل و فصل قوانین و راهنمایی های امنیت سایبری را به عهده گرفت.

براساس یک پست وبلاگ در وب سایت گیبسون دان ، گفت: "چشم انداز امنیت سایبری در پنج سال گذشته تکامل یافته است ، و پیش نویس اصلاحات نشان می دهد که DFS همچنان نقش متندی به جلو در تقویت شیوه های امنیت سایبری دارد."

پیشنهادات اخیر NYDFS انتظارات را برای رهبران ارشد ، افزایش نیازهای فناوری ، مجموعه ای از رویدادهای گسترده تحت الزامات اعلان 72 ساعته اجباری ، یک نیاز گزارش 24 ساعته جدید برای پرداخت باج و ارائه 30 روزه دفاع ، قابل توجه جدید افزایش داده است. الزامات برای تداوم مشاغل و بازیابی فاجعه و افزایش مجوز و ارزیابی سالانه و ارزیابی.

همچنین ، آیین نامه اصلاح شده کلاس جدیدی را که شامل اشخاص بزرگتر است ، پیشنهاد می کند ، که در معرض افزایش تعهدات برای برنامه های امنیت سایبری آنها قرار خواهد گرفت. حتی تعریف "برنامه امنیت سایبری" گسترش یافته است تا شامل پوشش اطلاعات غیر عمومی ذخیره شده در آن سیستم های اطلاعاتی باشد - افزایش قابل توجهی در اطلاعات تحت پوشش که اثرات پایین دست در گزارش های گزارش و صدور گواهینامه خواهد داشت.

در اینجا برخی از مقررات اصلی اصلاحات NYDFS آورده شده است:

تعهدات دقیق تر اطلاع رسانی

پیش نویس اصلاحات الزامات اضافی را در بالای الزامات اطلاع رسانی 72 ساعته موجود DFS ، از جمله:

نیاز به اطلاع رسانی به DFS در 72 ساعت از دسترسی غیرمجاز به حساب های ممتاز یا استقرار باج افزار در بخش مادی از سیستم های اطلاعاتی شرکت. اینها علاوه بر الزامات موجود برای اطلاع رسانی به DFS در طی 72 ساعت از هرگونه رویداد امنیت سایبری که نیاز به توجه به یک نهاد نظارتی دارند یا احتمال معقول آسیب رساندن به مادی به بخش مادی از عملکردهای عادی شرکت دارند. نکته قابل توجه ، این الزامات تازه پیشنهادی به طور قابل توجهی آستانه اعلان را کاهش می دهد ، زیرا می توانند قبل از هرگونه علامت سازش واقعی داده یا تبعید ایجاد شوند.

یک تعهد جدید اطلاع رسانی 24 ساعته در صورت پرداخت باج ، و یک الزام 30 روزه برای ارائه توضیحات کتبی در مورد اینکه چرا این پرداخت ضروری است ، گزینه های دیگری برای پرداخت در نظر گرفته شده و تمام تحریم ها انجام شده است.

نیازهای افزایش یافته برای شرکتهای بزرگتر "کلاس A"

پیروی از مانترا "با داده های عالی مسئولیت بزرگی به وجود می آید" ، پیش نویس اصلاحات همچنین تعهدات امنیت سایبری را برای یک طبقه تازه تعریف شده از نهادهای بزرگتر ، که تحت اقتدار DFS هستند ، افزایش می دهد. این شرکت های "کلاس A" به عنوان نهادهایی با بیش از 2،000 کارمند یا بیش از 1 میلیارد دلار میانگین درآمد ناخالص سالانه در طی سه سال گذشته از کلیه فعالیتهای تجاری شرکت و شرکت های وابسته تعریف می شوند. براساس پیش نویس اصلاحات ، شرکت های کلاس A موظفند نیازهای فنی افزایش یافته و همچنین ارزیابی ریسک و ممیزی را رعایت کنند. آنها باید:

• انجام اسکن های سیستماتیک هفتگی یا بررسی هایی که به طور منطقی برای شناسایی آسیب پذیری های امنیت سایبری شناخته شده عمومی طراحی شده است ، و مستند و گزارش هرگونه شکاف مادی در آزمایش به هیئت مدیره و مدیریت ارشد.
• اجرای یک راه حل تشخیص و پاسخ نقطه پایانی برای نظارت بر فعالیت غیر عادی و راه حلی که محوریت ورود به سیستم و هشدار رویداد امنیتی را متمرکز می کند.
• نظارت بر فعالیت دسترسی و اجرای یک راه حل طاق را برای حساب های ممتاز و یک روش خودکار برای مسدود کردن رمزهای عبور متداول.
• انجام یک ممیزی سالانه و مستقل از برنامه های امنیت سایبری آنها. وت
• از کارشناسان خارجی استفاده کنید تا حداقل هر سه سال یک بار ارزیابی ریسک را انجام دهید.

افزایش تعهدات مربوط به نهادهای حاکم شرکت

آیین نامه اصلی قسمت 500 تعدادی از تعهدات جدید را بر روی نهادهای حاکم بر شرکتها ، از جمله نیاز به یک مدیر ارشد امنیت اطلاعات (CISO) یا پرسنل معادل ، گزارش دقیق امنیت سایبری به هیئت مدیره ، و سیاست های کتبی تصویب شده توسط یک مأمور ارشد تحمیل کرد. پیش نویس اصلاحات به روشی بسیار معنی دار بسیاری از الزامات حاکمیتی قسمت 500 را افزایش می دهد ، و بیشتر نشان می دهد که چگونه DFS مهم در تلاش برای امنیت سایبری مؤثر است. پیش نویس اصلاحات شامل تعهدات است:

• برای اطمینان از هیئت های موجودات تحت پوشش ، تخصص و دانش کافی دارند ، یا توسط افراد دارای تخصص و دانش کافی توصیه می شوند تا نظارت مؤثر بر خطر سایبری را انجام دهند.
• فراهم کردن استقلال و اختیار کافی برای CISO برای مدیریت مناسب خطرات سایبری.
• اینکه CISO گزارش های سالانه مفصلی را در مورد برنامه های اصلاح مسائل و مسائل مربوط به امنیت سایبری مادی در اختیار هیئت مدیره قرار می دهد.
• این که CISO سالانه امکان رمزگذاری و اثربخشی هرگونه کنترل جبران کننده برای هرگونه اطلاعات غیر دولتی بدون رمزگذاری را مرور می کند.
• این سیاست های امنیت سایبری اشخاص را تحت پوشش قرار می دهد که باید سالانه توسط هیئت تصویب شود. وت
• این امر به طور قابل توجهی به الزامات صدور گواهینامه سالانه اضافه می کند ، و نهادهای تحت پوشش را ملزم می کنند که نه تنها به انطباق خود تأیید کنند یا هرگونه عدم رعایت را تصدیق کنند ، بلکه داده ها و مستندات کافی را برای تعیین دقیق و نشان دادن انطباق ارائه می دهند ، و چنین صدور گواهینامه یا تأیید عدم رعایت را توسط هر دو امضا می کنندمدیرعامل و CISO.

پیش نویس اصلاحات همچنین گزینه ای را برای اشخاص تحت پوشش فراهم می کند تا تصدیق کتبی را ارائه دهند که برای سال تقویم قبلی ، آنها به طور کامل از تعهدات امنیت سایبری خود پیروی نکردند. اشخاص تحت پوشش که این تأیید را ارائه می دهند ، لازم است تا کلیه مفاد قوانین مربوط به انطباق را که رعایت نشده اند ، شناسایی کنند ، ماهیت و وسعت عدم رعایت را توصیف کنند و تمام زمینه ها ، سیستم ها و فرآیندی را که نیاز به بهبود مواد ، به روزرسانی یا نیاز دارند ، شناسایی کنند. طراحی مجدد

این الزامات گزارش دهی اضافی قابل توجه است و باعث می شود بار مدیران عامل ، CISO ها و سایر پرسنل درگیر در تهیه این گواهینامه های سالانه یا تصدیق ها را به شدت افزایش دهد.

الزامات گسترده برای مقاومت عملیاتی و پاسخ به حادثه

پیش نویس اصلاحیه ها اقداماتی را در جهت «تاب آوری عملیاتی» فراتر از طرح های واکنش به حادثه گسترش می دهد و از نهادهای تحت پوشش می خواهد برنامه های مکتوب برای تداوم کسب وکار و بازیابی بلایا (BCDR) نیز داشته باشند. قابل ذکر است، مقررات اولیه امنیت سایبری قسمت 500 اولین مورد از نوع خود بود که الزامات دقیقی را برای برنامه های واکنش به حوادث امنیت سایبری تعیین کرد. مجدداً، DFS در حال شکستن زمین مشابه با برنامه های BCDR است و به اقدامات پیشگیرانه برای کاهش رویدادهای مخرب حداقل با موارد زیر نیاز دارد:

• شناسایی اجزای تجاری ضروری برای ادامه عملیات (اسناد، داده ها، امکانات، پرسنل و شایستگی ها) و پرسنل مسئول اجرای طرح های BCDR؛
• تهیه برنامه های ارتباطی برای اطمینان از تداوم ارتباطات با ذینفعان مختلف (رهبری، کارکنان، اشخاص ثالث، مقامات نظارتی، سایر موارد ضروری برای تداوم).
• حفظ رویه ها برای پشتیبان گیری از زیرساخت ها و داده ها؛و
• شناسایی اشخاص ثالث لازم برای ادامه عملیات.

علاوه بر این، DFS تجدید نظر قابل توجهی را برای الزامات خود برای طرح های واکنش به حادثه پیشنهاد کرده است، که مستلزم آن است که آن ها براساس نوع حادثه (مانند باج افزار) متمایز شوند، در حالی که همچنان به این الزام می پردازد که چنین طرح هایی به مناطقی که قبلاً برشمرده شده اند (مانند فرآیندهای واکنش داخلی؛ حادثه) رسیدگی کند. اهداف طرح پاسخ؛ تعاریف روشن نقش ها، مسئولیت ها و سطوح اختیارات تصمیم گیری؛ ارتباطات و اشتراک گذاری اطلاعات؛ شناسایی نیازمندی های اصلاح؛ مستندسازی و گزارش دهی و غیره) و همچنین الزامات جدید اضافه شده برای پرداختن به بازیابی از نسخه های پشتیبان.

بر اساس پیش نویس اصلاحات، پرسنل مربوطه باید نسخه هایی از طرح واکنش به حادثه و طرح BCDR دریافت کنند، نسخه ها باید خارج از محل نگهداری شوند، و همه پرسنل درگیر در اجرای طرح ها باید آموزش مناسب را ببینند. علاوه بر این، نهادهای تحت پوشش ملزم به انجام تمرینات واکنش به حادثه و BCDR هستند.

الزامات سیاست و فناوری پیشرفته

پیش نویس اصلاحات الزامات فنی و الزامات خط مشی مکتوب را برای نهادهای تحت پوشش تقویت می کند و بهترین شیوه های خاص را در حوزه های اصلی خطر سایبری تدوین می کند. پیش نویس اصلاحات به طور خاص:

• تعریف «حساب های ممتاز» را به عنوان پوشش هر حسابی که می توان برای انجام عملکردهای مرتبط با امنیت استفاده کرد که کاربران عادی مجاز به انجام آن ها نیستند، یا بر تغییرات اساسی در عملیات فنی یا تجاری تأثیر می گذارد، توضیح دهید. بر اساس این پیشنهادها، حساب های دارای امتیاز باید:
  • احراز هویت چند عاملی (به استثنائات برای حساب های خدمات خاص). وت
  • در هر دو توابع تعداد و دسترسی فقط به موارد لازم برای انجام کار کاربر محدود باشید.
  • فقط در هنگام انجام کارکردهایی که نیاز به استفاده از چنین دسترسی دارند ، محدود باشید.

  پیش نویس اصلاحات همچنین حاوی اقدامات جدیدی برای موجودی دارایی و مدیریت است که ممکن است شرکت ها و منابع قابل توجهی را برای اجرای آن هزینه کند. این اقدامات به همه موجودات تحت پوشش نیاز دارد:

  • سیاست ها و رویه های کتبی را برای اطمینان از موجودی دارایی کامل و مستند برای کلیه سیستم های اطلاعاتی و مؤلفه های آنها (به عنوان مثال ، سخت افزار ، سیستم های عامل ، برنامه ها ، دستگاه های زیرساختی ، API و خدمات ابری) پیاده سازی کنید. وت
  • موجودی دارایی را داشته باشید که حداقل باید اطلاعات اصلی هر دارایی را ردیابی کند (به عنوان مثال ، مالک ، مکان ، طبقه بندی یا حساسیت ، تاریخ انقضا پشتیبانی و الزامات زمان بازیابی).

  پیش نویس اصلاحات بیشتر به سیاستهای امنیت سایبری کتبی اضافی نیاز دارد تا رویه هایی را برای پایان مدیریت زندگی ، دسترسی از راه دور و آسیب پذیری و مدیریت پچ شامل شود. نکته قابل توجه ، با وجود برجستگی حملات اخیر زنجیره تأمین سایبری ، تغییرات اساسی در مورد نیازهای قسمت 500 مربوط به ارائه دهندگان خدمات شخص ثالث وجود ندارد.

  افزایش الزامات برای ارزیابی ریسک ، ارزیابی تأثیر

  پیش نویس اصلاحات بیشتر الزامات و تعریف "ارزیابی ریسک" را گسترش می دهد تا روشن شود که آنها باید باشند:

  • متناسب با در نظر گرفتن "شرایط خاص" نهاد تحت پوشش ، از جمله اندازه ، پرسنل ، مدیریت ، مشاغل ، خدمات ، محصولات ، عملیات ، مشتریان ، همتایان ، ارائه دهندگان خدمات ، فروشندگان ، سایر روابط و مکان های آنها و همچنین جغرافیا و مکان هاعملیات و روابط تجاری آن ؛وت
  • حداقل سالانه به روز می شود.

  در حالی که DFS عملکردهای اصلی امنیت سایبری را که باید تحت پوشش ارزیابی ریسک قرار بگیرد ، تغییر نداده است ، اما اشخاص تحت پوشش باید اطمینان حاصل کنند که دامنه گسترده "برنامه امنیت سایبری" را تحت پیش نویس اصلاحات پوشش می دهد (اطلاعات غیر عمومی ذخیره شده در اطلاعات موجود در مورد نهاد تحت پوششسیستم های). علاوه بر این ، یکی دیگر از پیشنهادات قابل توجه ، الزامی است که اشخاص تحت پوشش باید هر زمان که تغییر در تجارت یا فناوری ایجاد شود ، باعث تغییر مادی در معرض خطر سایبری موجودیت شود.

  ملاحظات اجرایی روشن

  سرانجام ، پیش نویس اصلاحات حاوی دو توضیح قابل توجه در مورد اجرای قوانین امنیت سایبری قسمت 500 است:

  • تخلف با ارتکاب هر قانونی که توسط آیین نامه ممنوع است یا عدم تحقق یک تعهد مورد نیاز رخ می دهد ، رخ می دهد. این شامل عدم رعایت بیش از 24 ساعت با هر بخشی از آیین نامه یا عدم جلوگیری از دسترسی غیرمجاز به اطلاعات غیر عمومی به دلیل عدم رعایت مقررات است.
  • DFS ممکن است هنگام ارزیابی شدت مجازات ها ، عوامل تشدید کننده و کاهش دهنده خاصی را در نظر بگیرد ، از جمله: همکاری ، حسن نیت ، عمد ، تخلفات قبلی ، تعداد یا الگوی تخلفات ، گرانش نقض ، تأمین اطلاعات دروغین یا گمراه کننده ، آسیب به مشتریان ، صحت ، صحت و صحتبه موقع بودن افشای مشتری ، مشارکت در مدیریت ارشد ، مجازات های سایر تنظیم کننده ها و اندازه تجارت.< Pan> سرانجام ، پیش نویس اصلاحات حاوی دو توضیح قابل توجه در مورد اجرای قوانین امنیت سایبری قسمت 500 است: