NYDFS Cybersecurity Regulation (23 NYCRR 500) là gì?
Quy định an ninh mạng của Sở Tài chính New York (NYDFS - New York Department of Financial Services), hiệu lực từ 1 tháng 3 năm 2017. Áp dụng cho các thực thể được NYDFS cấp phép/điều chỉnh: ngân hàng, bảo hiểm, công ty tài chính, nhà cung cấp dịch vụ thứ ba (Third-Party Service Providers - TPSP).
Ai phải tuân thủ (Covered Entities)?
- Ngân hàng, Credit Union, Trust Company
- Công ty bảo hiểm (đời, tài sản, trách nhiệm, tái bảo hiểm)
- Công ty tài chính tiêu dùng, cho vay, thanh toán
- Môi giới chứng khoán, cố vấn đầu tư đăng ký NYDFS
- Third-Party Service Providers (TPSP): Nhà cung cấp dịch vụ cho Covered Entity (cloud, SaaS, outsourcing IT, xử lý dữ liệu...) - phải tuân thủ theo hợp đồng
Miễn trừ (Exemption) - Ai KHÔNG cần tuân thủ đầy đủ?
Theo §500.19, thực thể được miễn trừ một số yêu cầu (không phải miễn trừ hoàn toàn) nếu đáp ứng TẤT CẢ 3 tiêu chí:
| Tiêu chí | Ngưỡng |
|---|
| Số nhân viên | Ít hơn 10 nhân viên (tính cả part-time, contractor thường xuyên) |
| Doanh thu năm từ hoạt động NY | Dưới $5 triệu (trung bình 3 năm gần nhất) |
| Tổng tài sản cuối năm | Dưới $10 triệu (year-end total assets) |
Lưu ý: Vẫn phải tuân thủ: §500.02 (Chương trình an ninh mạng), §500.03 (CISO), §500.07 (Báo cáo sự cố), §500.17 (Chứng nhận tuân thủ hàng năm).
Quy trình nộp đơn miễn trừ / Chứng nhận tuân thủ
1. Chứng nhận tuân thủ hàng năm (Annual Certification) - BẮT BUỘC
- Đến ngày 15 tháng 4 hàng năm (cho năm trước)
- Người ký: Chairman of the Board hoặc Senior Officer (CEO, President, CISO nếu được ủy quyền)
- Nộp qua: NYDFS Cybersecurity Portal (cybersecurity.dfs.ny.gov)
- Nội dung: Cam kết tuân thủ 23 NYCRR 500, hoặc khai báo miễn trừ theo §500.19
2. Thời gian triển khai (Implementation Timeline)
| Giai đoạn | Thời hạn | Yêu cầu chính |
|---|
| Phase 1 | 180 ngày (đến 28/8/2017) | Chương trình an ninh mạng, CISO, Pen test/Vuln scan, Access privileges, Cybersecurity personnel |
| Phase 2 | 1 năm (đến 1/3/2018) | Audit trail, Application security, Risk assessment, Multi-factor authentication, Encryption, Incident response plan |
| Phase 3 | 18 tháng (đến 1/9/2018) | TPSP security policy, Training, Monitoring, Encryption non-console, Data retention |
| Phase 4 | 2 năm (đến 1/3/2019) | Chương trình an ninh mạng TPSP, Audit trail TPSP, Application security TPSP |
Yêu cầu cốt lõi (Core Requirements) - Tóm tắt
- §500.02: Chương trình an ninh mạng bằng văn bản, phê duyệt bởi Ban giám đốc/Senior Officer
- §500.03: Chỉ định CISO (có thể outsourcing) - báo cáo Ban giám đốc hàng năm
- §500.04: Chương trình an ninh mạng TPSP (Third-Party Service Provider)
- §500.05: Đánh giá rủi ro (Risk Assessment) định kỳ, cập nhật
- §500.06: Bảo vệ thông tin phi công khai (Nonpublic Information - NPI)
- §500.07: Báo cáo sự cố an ninh mạng (Cybersecurity Events) → NYDFS trong 72h
- §500.08: Kiểm thử xâm nhập (Pen Test) hàng năm + Quét lỗ hổng (Vuln Scan) 6 tháng/lần
- §500.09: Kiểm toán bảo mật (Audit Trail) - 6 năm retention
- §500.10: Bảo mật ứng dụng (Application Security) - SDLC, testing
- §500.11: Xác thực đa yếu tố (MFA) - remote access, privileged access, third-party
- §500.12: Quản trị đặc quyền (Privileged Access Management)
- §500.13: Đào tạo nhận thức an ninh mạng (Cybersecurity Awareness Training) - TẤT CẢ nhân viên, hàng năm
- §500.14: Mã hóa (Encryption) - NPI in transit & at rest (hoặc bù trừ bằng kiểm soát khác)
- §500.15: Phân tích ứng dụng (Application Security) - 외부 vendor cũng áp dụng
- §500.16: Quy hoạch sự cố (Incident Response Plan) - test hàng năm
- §500.17: Chứng nhận tuân thủ hàng năm (Annual Certification) - 15/4 hàng năm
- §500.18: Giữ hồ sơ (Record Retention) - 5 năm
- §500.19: Miễn trừ (Exemption) - 3 tiêu chí nêu trên
Phần 500.14 - Đào tạo & Giám sát (Training & Monitoring)
Câu hỏi: "Which key part covers training and monitoring?" → §500.14 (Training) và §500.05/500.13 (Risk Assessment dựa trên đó thiết kế training + Monitoring).
- Đào tạo TẤT CẢ nhân viên hàng năm
- Nội dung phản ánh rủi ro từ Risk Assessment
- Giám sát (Monitoring) hệ thống, user activity, unauthorized access
DFS Certificate / DFS 500 Certification
Không có "chứng chỉ DFS" riêng. Chỉ có Annual Certification of Compliance (§500.17) - bản tuyên bố tuân thủ do Senior Officer ký, nộp qua portal NYDFS trước 15/4 hàng năm.
Liên hệ NYDFS
- Website: dfs.ny.gov
- Cybersecurity Portal: cybersecurity.dfs.ny.gov
- Email:
cybersecurity@dfs.ny.gov
- Địa chỉ: 1 State Street, New York, NY 10004 | One Commerce Plaza, Albany, NY 12257
Lời khuyên thực tế
- Xác định xem tổ chức có phải Covered Entity không
- Kiểm tra 3 tiêu chí miễn trừ §500.19
- Nếu không miễn trừ: Gap assessment theo 23 NYCRR 500
- Ưu tiên: CISO, Risk Assessment, MFA, Encryption, IR Plan, TPSP Program, Training
- Tự động hóa thu thập bằng chứng cho Annual Certification
- Hỗ trợ pháp lý/Compliance chuyên ngành tài chính NY
