Tháng 5 năm 2017, Bộ Tài chính Bang New York (NYDFS) phát hành 23 NYCRR Phần 500, một quy tắc an ninh mạng mới. Quy định này hiện đã có hiệu lực đầy đủ, nhưng chính xác nó là gì có thể không rõ ràng.
Kể từ khi công bố, bộ yêu cầu này đã trải qua một vài thay đổi, và ngôn ngữ pháp lý của nó có thể không rõ ràng. Quy định an ninh mạng NYDFS là gì, và nó ảnh hưởng đến bạn như thế nào? Hãy xem kỹ hơn.
Quy định an ninh mạng của NYDFS là gì?
Quy định an ninh mạng NYDFS liệt kê các yêu cầu bảo mật cho dịch vụ tài chính ở New York. Giống như Quy định Bảo vệ Dữ liệu Chung (GDPR) của Châu Âu, các quy tắc này nhằm bảo vệ dữ liệu công dân bằng cách bắt buộc các công ty tuân thủ tiêu chuẩn cụ thể. Trong trường hợp này, các tiêu chuẩn đó chủ yếu đến từ Khung an ninh mạng NIST.
Theo các quy định này, các công ty tài chính New York phải:
- Định kỳ xem xét bảo mật hệ thống CNTT và quyền riêng tư dữ liệu của họ.
- Ghi lại sự kiện an ninh mạng và lưu giữ hồ sơ này trong năm năm.
- Có chính sách và thủ tục để xóa an toàn thông tin cá nhân họ không còn cần.
- Hạn chế truy cập vào Thông tin Nhận dạng Cá nhân (PII) và thường xuyên xem xét các đặc quyền này.
- Có kế hoạch viết chi tiết về phát hiện, ứng phó và khôi phục từ sự cố an ninh mạng.
- Thông báo cho NYDFS trong vòng 72 giờ kể từ sự kiện an ninh mạng.
Khác với một số luật tương tự, quy định an ninh mạng NYDFS bao gồm hướng dẫn chi tiết về những gì các kế hoạch bảo mật và báo cáo nên bao gồm. Nó cũng yêu cầu các công ty đảm bảo bên thứ ba của họ an toàn, không chỉ hoạt động nội bộ.
Các yêu cầu này khiến quy định này trở thành một trong những quy định rộng rãi và nghiêm ngặt nhất của bất kỳ tiểu bang nào. Doanh nghiệp vi phạm chúng có thể đối mặt với phạt nặng, nhưng mức độ xử phạt đầy đủ vẫn chưa rõ ràng.
Ai là đối tượng áp dụng của quy định an ninh mạng NYDFS?
Quy định an ninh mạng NYDFS áp dụng cho bất kỳ cá nhân hoặc thực thể nào cần giấy phép từ NYDFS. Điều đó bao gồm các công ty tài chính và bảo hiểm ở New York, bao gồm:
- Ngân hàng.
- Hợp tác xã tín dụng.
- Công ty đầu tư.
- Người cho vay có giấy phép.
- Môi giới thế chấp.
- Nhà cung cấp bảo hiểm.
- Hiệp hội tiết kiệm và cho vay.
Các thực thể được bao gồm này bao gồm doanh nghiệp địa phương và công ty nước ngoài được cấp phép hoạt động ở New York. Ví dụ, dù Deutsche Bank là công ty Đức, nó phải tuân thủ 23 NYCRR Phần 500 vì nó hoạt động tại Thành phố New York.
Có một vài ngoại lệ cho danh sách này. Công ty có dưới 10 nhân viên, doanh thu hàng năm từ New York dưới 5 triệu USD trong ba năm gần đây, hoặc tổng tài sản cuối năm dưới 10 triệu USD được miễn trừ. Cũng như các doanh nghiệp không lưu trữ hoặc xử lý thông tin riêng tư, nhưng điều đó không太可能 xảy ra với công ty dịch vụ tài chính.
Quy định an ninh mạng có nghĩa là gì đối với bạn?
Nếu bạn sống hoặc ngân hàng ở tiểu bang New York, tổ chức của bạn có thể rơi dưới các quy định này. Ngay cả nếu bạn không, quy định an ninh mạng NYDFS vẫn có thể áp dụng cho ngân hàng của bạn. Nếu nó có chi nhánh hoạt động trong tiểu bang và đáp ứng yêu cầu tài chính, nó sẽ phải tuân thủ.
Là khách hàng của ngân hàng, bạn không phải thực hiện bất kỳ bước nào theo các yêu cầu này. Bạn có thể thấy một số thay đổi về cách tổ chức tài chính hoặc bảo hiểm của bạn hoạt động, tuy nhiên. Bạn có thể phải sử dụng các bước bảo mật bổ sung như xác thực đa yếu tố (MFA) hoặc điều chỉnh quyền hạn của bạn khi các công ty này cải thiện biện pháp an ninh mạng của họ.
Khung an ninh mạng NIST, truyền cảm hứng cho các quy tắc này, bao gồm chia sẻ thông tin kịp thời, điều này có thể ảnh hưởng đến bạn. Nếu có sự cố tại ngân hàng hoặc công ty bảo hiểm của bạn, họ có thể phải thông báo cho bạn. Bạn có thể không phải làm gì đáp lại, nhưng bạn có thể mong đợi nhận được các loại tin nhắn này.
Ngay cả khi bạn không có bất kỳ nghĩa vụ pháp lý nào theo 23 NYCRR Phần 500, tốt nhất là cẩn trọng với thông tin tài chính của bạn. Luôn dùng mật khẩu duy nhất, mạnh, bật MFA khi có thể, và không bao giờ đưa PII cho nguồn không xác định. Sự nghiêm ngặt của các quy định này nêu bật tầm quan trọng của các vấn đề này, vì vậy hãy thực hành thận trọng.
Chính phủ đang quan tâm an ninh mạng nhiều hơn
Quy định an ninh mạng NYDFS là một trong nhiều ví dụ gần đây về chính phủ địa phương ban hành luật an ninh mạng. Khi công cụ số ngày càng phổ biến trong đời sống hàng ngày, các quy tắc này chỉ sẽ tăng lên.
Người tiêu dùng và doanh nghiệp như nhau nên cập nhật về các quy định này để đảm bảo họ tuân thủ. Những thay đổi này có thể dường như làm phức tạp mọi thứ lúc đầu, nhưng chúng là bước cần thiết để đạt được an ninh tốt hơn.