ในเดือนพฤษภาคม 2017 กรมบริการทางการเงินของรัฐนิวยอร์ก (NYDFS) ออก 23 NYCRR Part 500 กฎระเบียบความปลอดภไซเบอร์ใหม่ กฎระเบียบนี้มีผลบังคับใช้เต็มที่แล้ว แต่อย่างไรก็ตาม สิ่งที่มันคืออะไรจริงๆ อาจไม่ชัดเจน
นับตั้งแต่ประกาศ ชุดข้อกำหนดนี้ผ่านการเปลี่ยนแปลงบ้าง และภาษาทางกฎหมายอาจไม่ชัดเจน NYDFS Cybersecurity Regulation คืออะไร และมันส่งผลต่อคุณอย่างไร? มาดูรายละเอียดกัน
กฎระเบียบความปลอดภไซเบอร์ของ NYDFS คืออะไร?
กฎระเบียบความปลอดภไซเบอร์ของ NYDFS รายการข้อกำหนดความปลอดภสำหรับบริการทางการเงินในนิวยอร์ก คล้ายกับ General Data Protection Regulation (GDPR) ของยุโรป กฎเหล่านี้มุ่งปกป้องข้อมูลพลเมืองโดยทำให้บริษัทต้องปฏิบัติตามมาตรฐานเฉพาะ ในกรณีนี้ มาตรฐานเหล่านี้ส่วนใหญ่มาจาก NIST Cybersecurity Framework
ภายใต้กฎระเบียบเหล่านี้ บริษัททางการเงินในนิวยอร์กต้อง:
- ตรวจสอบความปลอดภและความเป็นส่วนตัวของระบบ IT ของพวกเขาเป็นระยะ
- บันทึกเหตุการณ์ไซเบอร์ความปลอดภและเก็บบันทึกเหล่านี้ไว้ 5 ปี
- มีนโยบายและขั้นตอนสำหรับการลบข้อมูลส่วนตัวที่ไม่จำเป็นแล้วอย่างปลอดภ
- จำกัดการเข้าถึง Personally Identifiable Information (PII) และตรวจสอบสิทธิ์เหล่านี้เป็นระยะ
- มีแผนโดยכתובโดยละเอียดเกี่ยวกับการค้นพบ การตอบสนอง และการกู้คืนจากเหตุการณ์ไซเบอร์ความปลอดภ
- แจ้งเตือน NYDFS ภายใน 72 ชั่วโมงของเหตุการณ์ไซเบอร์ความปลอดภ
ไม่เหมือนกฎหมายบางอย่างที่คล้ายกัน กฎระเบียบความปลอดภไซเบอร์ของ NYDFS รวมทิศทางโดยละเอียดเกี่ยวกับว่าแผนความปลอดภและการรายงานเหล่านี้ควรประกอบด้วยอะไร มันยังต้องการให้บริษัทรับรองว่าบุคคลที่สามของพวกเขาปลอดภ ไม่ใช่แค่การดำเนินงานภายใน
ข้อกำหนดเหล่านี้ทำให้กฎระเบียบนี้เป็นหนึ่งในกฎระเบียบที่กว้างและเข้มงวดที่สุดของรัฐใดรัฐหนึ่ง ธุรกิจที่ละเมิดอาจเผชิญค่าปรับหนัก แต่วัดจังหวะเต็มของโทษยังไม่ชัดเจน
กฎระเบียบความปลอดภไซเบอร์ NYDFS ใช้กับใคร?
กฎระเบียบความปลอดภไซเบอร์ของ NYDFS ใช้กับบุคคลหรือเอนทิตี้ใดๆ ที่ต้องการใบอนุญาตจาก NYDFS นั่นครอบคลุมบริษัททางการเงินและประกันภัยในนิวยอร์ก รวมถึง:
- ธนาคาร
- สหกรณ์เครดิต
- บริษัทลงทุน
- ผู้ให้กู้ยืมที่ได้รับอนุญาต
- โบรกเกอร์จำนอง
- ผู้ให้บริการประกันภัย
- สมาคมออมทรัพย์และสินเชื่อ
เอนทิตี้ที่ได้รับการคุ้มครองเหล่านี้รวมถึงธุรกิจท้องถิ่นและบริษัทต่างชาติที่ได้รับอนุญาตให้ทำงานในนิวยอร์ก ตัวอย่างเช่น แม้ Deutsche Bank จะเป็นบริษัทเยอรมนี มันต้องปฏิบัติตาม 23 NYCRR Part 500 เนื่องจากมันดำเนินงานในนิวยอร์กซิตี
มีข้อยกเว้นบางอย่างจากรายการนี้ บริษัทที่มีพนักงานน้อยกว่า 10 คน รายได้ต่อปีจากนิวยอร์กน้อยกว่า 5 ล้านดอลลาร์ใน 3 ปีล่าสุด หรือสินทุนสิ้นปีน้อยกว่า 10 ล้านดอลลาร์ ได้รับการยกเว้น บริษัทที่ไม่จัดเก็บหรือประมวลผลข้อมูลส่วนตัวก็ได้รับการยกเว้นเช่นกัน แต่สิ่งนั้นไม่น่าจะเป็นไปได้สำหรับบริษัทบริการทางการเงิน
กฎระเบียบความปลอดภไซเบอร์หมายความว่าอะไรต่อคุณ?
หากคุณอาศัยอยู่หรือทำธุรกรรมธนาคารในรัฐนิวยอร์ก สถาบันของคุณน่าจะอยู่ภายใต้กฎระเบียบเหล่านี้ แม้คุณจะไม่ได้อยู่ที่นั่น กฎระเบียบความปลอดภไซเบอร์ของ NYDFS ยังอาจใช้กับธนาคารของคุณได้ หากมีสาขาทำงานในรัฐและตรงตามข้อกำหนดทางการเงิน มันจะต้องปฏิบัติตาม
ในฐานะลูกค้าของธนาคาร คุณไม่ต้องทำขั้นตอนใดๆ ภายใต้ข้อกำหนดเหล่านี้ คุณอาจเห็นการเปลี่ยนแปลงบางอย่างในวิธีที่สถาบันการเงินหรือผู้ให้ประกันของคุณดำเนินงาน อย่างไรก็ตาม คุณอาจต้องใช้ขั้นตอนความปลอดภเพิ่มเติมอย่างการยืนยันตัวตนหลายปัจจัย (MFA) หรือปรับสิทธิ์ของคุณเมื่อบริษัทเหล่านี้ปรับปรุงมาตรการไซเบอร์ความปลอดภ
NIST Cybersecurity Framework ซึ่งเป็นแรงบันดาลใจให้กฎเหล่านี้ รวมถึงการแชร์ข้อมูลอย่างทันเวลา ซึ่งอาจส่งผลต่อคุณ หากมีเหตุการณ์ที่ธนาคารหรือผู้ให้ประกันของคุณ พวกเขาอาจต้องแจ้งเตือนคุณ คุณน่าจะไม่ต้องทำอะไรตอบสนอง แต่คุณคาดหวังได้ว่าจะได้รับข้อความประเภทนี้
แม้คุณจะไม่มีหน้าที่ทางกฎหมายภายใต้ 23 NYCRR Part 500 แต่มันดีที่สุดที่จะระมัดระวังกับข้อมูลการเงินของคุณ เสมอใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน เปิดใช้งาน MFA เมื่อเป็นไปได้ และไม่เคยมอบ PII ให้แหล่งที่ไม่รู้จัก ความเข้มงวดของกฎระเบียบเหล่านี้เน้นย้ำว่าปัญหาเหล่านี้สำคัญแค่ไหน ดังนั้นจงปฏิบัติด้วยความระมัดระวัง
รัฐบาลกำลังนำไซเบอร์ความปลอดภไปอย่างจริงจังมากขึ้น
กฎระเบียบความปลอดภไซเบอร์ของ NYDFS เป็นหนึ่งในหลายตัวอย่างล่าสุดของรัฐบาลท้องถิ่นที่ออกกฎหมายไซเบอร์ความปลอดภ เนื่องจากเครื่องมือดิจิทัลกลายเป็นที่พบได้ทั่วไปในชีวิตประจำวัน กฎเหล่านี้จะเพิ่มขึ้นไปเรื่อยๆ
ผู้บริโภคและธุรกิจเหมือนกันควรอัปเดตเกี่ยวกับกฎระเบียบเหล่านี้เพื่อให้แน่ใจว่าพวกเขาปฏิบัติตาม การเปลี่ยนแปลงเหล่านี้อาจดูทำให้ซับซ้อนในตอนแรก แต่มันเป็นขั้นตอนที่จำเป็นสู่ความปลอดภที่ดีขึ้น
