NYDFS Cybersecurity Regulation (23 NYCRR 500) คืออะไร?
เป็น **กฎระเบียบความปลอดภัยทางไซเบอร์ของรัฐนิวยอร์ก** ที่ออกโดย **New York Department of Financial Services (NYDFS)** ใช้บังคับกับ **Covered Entities** (หน่วยงานทางการเงินที่ได้รับใบอนุญาตจาก NYDFS) และ **Third-Party Service Providers** มีผลบังคับใช้ **1 มีนาคม 2560 (March 1, 2017)**
ใครต้องปฏิบัติตาม (Covered Entities)?
- ธนาคาร (Banks, Trust Companies)
- บริษัทประกันชีวิต/ไม่ใช่ชีวิต (Insurance Companies)
- สหกรณ์เครดิต (Credit Unions)
- บริษัทจำนอง/ให้กู้ยืม (Mortgage Lenders/Servicers)
- ผู้ให้บริการบริการการเงินอื่นๆ ที่ได้รับ Charter/License/Registration จาก NYDFS
- **Third-Party Service Providers** ที่ให้บริการแก่ Covered Entities
ข้อยกเว้น (Exemptions) - ใคร "ไม่ต้อง" ปฏิบัติทั้งหมด?
องค์กรที่ตรงตาม **เกณฑ์ทั้ง 3 ข้อ** พร้อมกัน (Limited Exemption - ยกเว้นบางข้อกำหนด ไม่ใช่ทั้งหมด):
- จำนวนพนักงาน: น้อยกว่า **10 คน** (Fewer than 10 employees)
- รายได้: Gross Annual Revenue จากกิจการใน NY **น้อยกว่า $5 ล้าน** ต่อปี (เฉลี่ย 3 ปีล่าสุด)
- สินทรัพย์: Total Assets **น้อยกว่า $10 ล้าน** ณ สิ้นปีบัญชี
หมายเหตุ: แม้ได้รับการยกเว้นบางส่วน (เช่น CISO, Pen Test, Audit) **แต่ยังต้องปฏิบัติตามข้อกำหนดพื้นฐาน** เช่น Risk Assessment, Access Control, Incident Response Plan, Encryption, Training
ขั้นตอนการขอการยกเว้น (Filing for Exemption)
- ไม่ต้องยื่นคำร้อง (No Formal Filing): การยกเว้นเป็น **Self-Determination** (องค์กรประเมินตัวเองว่าตรงเกณฑ์หรือไม่)
- เก็บหลักฐาน (Documentation): ต้องมีเอกสารแสดงหลักฐานว่าตรงเกณฑ์ 3 ข้อ (Financial Statements, Payroll Records, Employee Count) พร้อมสำหรับการตรวจสอบ (Examination)
- Certification of Compliance: ทุกปี ต้องยื่น **Certification of Compliance** (DFS-500) ภายใน **30 เมษายน** ของปีถัดไป (ลงนามโดย Chair of Board หรือ Senior Officer)
- การรายงานเหตุการณ์ (72-Hour Notice): แม้ยกเว้น ก็ยังต้องแจ้ง Cybersecurity Event ที่มีผลกระทบร้ายแรง ภายใน 72 ชม.
ข้อกำหนดสำคัญที่ต้องปฏิบัติ (Key Requirements)
| Section | หัวข้อ | รายละเอียดสำคัญ |
|---|---|---|
| 500.02 | Cybersecurity Program | มีโปรแกรม Cybersecurity เป็นลายลักษณ์อักษร ปกป้อง CIA Triad |
| 500.03 | Cybersecurity Policy | มีนโยบายเขียนไว้ ครอบคลุม 14 หัวข้อ (Access, Data, IR, Training, Vendor, dll.) |
| 500.04 | CISO | แต่งตั้ง CISO (Chief Information Security Officer) - ยกเว้นได้ถ้า Limited Exemption |
| 500.05 | Penetration Testing & Vulnerability Assessment | Pentest ปีละ 1 ครั้ง + Vuln Scan 半年ละ 1 ครั้ง - ยกเว้นได้บางส่วน |
| 500.06 | Audit Trail | เก็บ Audit Log 6 ปี, ไม่สามารถแก้ไขได้ |
| 500.07 | Access Privileges | Least Privilege, MFA, Periodic Review, Termination Access |
| 500.08 | Application Security | SDLC Security, Testing, WAF |
| 500.09 | Risk Assessment | ประเมินความเสี่ยงเป็นระยะ (Annual + Material Changes) |
| 500.10 | Cybersecurity Personnel | มีบุคลากรที่เหมาะสม/เพียงพอ + Training |
| 500.11 | Third-Party Service Provider Security | Due Diligence, Contractual Requirements, Monitoring |
| 500.12 | Multi-Factor Authentication (MFA) | บังคับ MFA สำหรับ Remote Access, Privileged Access, Email |
| 500.13 | Data Protection & Encryption | Encryption At-rest & In-transit, Data Retention/Disposal |
| 500.14 | Training & Monitoring | **Training ทุกพนักงานประจำปี** + Monitoring สำหรับ Privileged Users |
| 500.15 | Encryption of Nonpublic Information | Encryption ใน Transit และ At-rest |
| 500.16 | Incident Response Plan | มี IR Plan, Test, Update, 72-hr Notification to NYDFS |
| 500.17 | Certification of Compliance | ยื่นทุกปี 30 เมษายน (DFS-500) |
Timeline สำคัญ
- March 1, 2017: Regulation Effective
- Aug 28, 2017 (180 days): Phase 1 Compliance (Policy, CISO, IR Plan, Access Control, Encryption)
- March 1, 2018 (1 year): Phase 2 (Pen Test, Vuln Mgmt, Audit Trail, Training, Third Party)
- Sept 3, 2018 (18 months): Phase 3 (MFA, App Security, Data Retention)
- Annually by April 30: Submit Certification of Compliance (DFS-500)
คำถามที่พบบ่อย (FAQ)
DFS ย่อมาจากอะไร?
Department of Financial Services** (กระทรวงการคลัง/การเงิน รัฐนิวยอร์ก)
Nydfs 500 / DFS 500 / dfs500 คืออะไร?
หมายถึง **23 NYCRR 500** (Title 23, Chapter 500) คือหมายเลขมาตรฐานของ Regulation นี้ ใช้เรียกกันทั่วไปในอุตสาหกรรม
บริษัทต่างประเทศที่ให้บริการ NY Financial Institutions ต้องปฏิบัติไหม?
**ได้** ถ้าเป็น Third-Party Service Provider ของ Covered Entity ต้องปฏิบัติตาม Section 500.11 (Contract, Due Diligence, Access Control)
Penalty ของการไม่ปฏิบัติตามคืออะไร?
NYDFS มีอำนาจปรับ, สั่งหยุดกิจการ, เพิกถอนใบอนุญาต, กระทำความผิดทางอาญา (Criminal) ตาม Financial Services Law
