El Departamento de Servicios Financieros de Nueva York (NYDFS) elevó el listón para la ciberseguridad con su histórica regulación, 23 NYCRR 500. Está incluida en el Título 23 de los Códigos, Normas y Regulaciones de Nueva York, Parte 500, y se aplica a las "entidades cubiertas" reguladas por el NYDFS, como bancos, aseguradoras, compañías hipotecarias y otras instituciones financieras autorizadas, así como a ciertos proveedores externos que las apoyan.
¿Cuál es el objetivo de 23 NYCRR 500? La seguridad efectiva y obligatoria de extremo a extremo durante todo el ciclo de vida de los datos está en el núcleo de esta regulación.
Un requisito fundamental se encuentra en la Sección 500.03, que exige que la entidad cubierta (normalmente el CISO) cree y mantenga un programa integral de ciberseguridad con procedimientos asociados "diseñados para proteger la confidencialidad, integridad y disponibilidad de los sistemas de información de la entidad cubierta y de la información no pública almacenada en esos sistemas de información."
Actividades clave de cumplimiento para cumplir con la 23 NYCRR 500
Nombra a un CISO (si no existe ya uno)
Documentar todas las políticas y procedimientos de ciberseguridad de la organización
Realizar evaluaciones de riesgos (que deben mantenerse actualizadas de forma continua)
Pruebas de penetración y evaluaciones de vulnerabilidades
Formar a todo el personal de forma regular
Supervisa tus activos y crea pruebas de auditoría
Limitar el privilegio del usuario
Evalúa a los proveedores de servicios externos y sus políticas de seguridad
Destruir de forma segura los datos innecesarios
Soluciones Fortra para navegar 23 NYCRR 500
Fortra Data Loss Prevention y Fortra Data Classification pueden ayudar a tu organización a cumplir con los requisitos de la 23 NYCRR 500.