home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

วิธีและเวลาในการขอข้อยกเว้น New York Cybersecurity Law (23 NYCRR 500)

Covered Entity ตาม 23 NYCRR 500 คือใคร?

องค์กรที่ได้รับใบอนุญาต/จดทะเบียนจาก NYDFS (New York Department of Financial Services) เช่น ธนาคาร บริษัทประกันชีวิต/ความเสียหาย บริษัทจำนอง/สินเชื่อ ผู้ให้บริการบริการทางการเงินอื่นๆ

ใครได้รับการยกเว้น (Exemption)?

องค์กรที่ตรงตามเกณฑ์ ทั้ง 3 ข้อ จะได้รับการยกเว้นบางส่วน (Limited Exemption):

  1. จ้างพนักงานไม่เกิน 10 คน
  2. รายได้รวมรายปีจากกิจการในนิวยอร์ก ต่ำกว่า $5 ล้าน (เฉลี่ย 3 ปีล่าสุด)
  3. สินทรัพย์รวมสิ้นปี ต่ำกว่า $10 ล้าน

แม้ได้ยกเว้นบางส่วน ยังต้องปฏิบัติตาม: กำหนด CISO, Incident Response Plan, Access Controls, Encryption, และแจ้งเหตุการณ์ภายใน 72 ชม.

ขั้นตอนและเวลาในการขอข้อยกเว้น

  1. กำหนดวันมีผลบังคับใช้: 1 มีนาคม 2560 (2017)
  2. ระยะเวลาปฏิบัติตาม (Compliance Period): 180 วัน (ถึง 28 สิงหาคม 2560)
  3. การยื่น Certification of Compliance: ทุกปีภายใน 15 เมษายน (สำหรับปีก่อนหน้า) ผ่านระบบ DFS Portal
  4. สำหรับ Exemption: ไม่ต้องยื่น Certification แบบเต็มรูปแบบ แต่ต้องเก็บเอกสารหลักฐานว่าเข้าข้อกำหนด Exemption ไว้พร้อมสำหรับการตรวจสอบ

ข้อกำหนดหลักของ NYDFS Cybersecurity Regulation (23 NYCRR 500)

  • Risk Assessment และ Cybersecurity Program ที่เป็นลายลักษณ์อักษร
  • แต่งตั้ง CISO (Chief Information Security Officer)
  • Access Controls (MFA, Privileged Access Management)
  • Data Encryption (In Transit & At Rest)
  • Incident Response Plan และแจ้งเหตุการณ์ภายใน 72 ชั่วโมง
  • Third Party Service Provider Security Policy
  • Training และ Monitoring (Section 500.14)
  • Audit Trail และ Application Security

DFS Certificate / Certification คืออะไร?

การรับรองการปฏิบัติตาม (Certification of Compliance) ที่ Covered Entity ต้องยื่นทุกปีผ่าน DFS Portal โดยผู้มีอำนาจลงนาม (Senior Officer)

สรุป: ถ้าองค์กรของคุณตรงเกณฑ์ Exemption

  1. ตรวจสอบว่าเข้าข้อกำหนด 3 ข้อครบหรือไม่
  2. จัดทำเอกสารหลักฐาน (Financial Statements, Employee Count, Revenue Report)
  3. ปฏิบัติตามข้อกำหนดพื้นฐานที่ยังบังคับ (CISO, IR Plan, Access Control, Encryption, 72-hr Notification)
  4. ไม่ต้องยื่น Certification ทุกปี แต่ต้องพร้อมแสดงหลักฐานหากถูก Audit

หมายเหตุ: กฎหมายนี้เป็นกฎหมายของรัฐนิวยอร์ก สหรัฐอเมริกา หากองค์กรไทยไม่ได้ดำเนินกิจการทางการเงินในนิวยอร์ก/ไม่ได้รับใบอนุญาตจาก NYDFS อาจไม่เข้าข่าย Covered Entity