Le Département des services financiers de l'État de New York (NYDFS) a placé la barre très haut en matière de cybersécurité avec son règlement historique, le 23 NYCRR 500. Elle figure au titre 23 du New York Codes, Rules and Regulations, Part 500, et s'applique aux "entités couvertes" réglementées par le NYDFS, telles que les banques, les assureurs, les sociétés de crédit hypothécaire et autres institutions financières agréées, ainsi qu'à certains fournisseurs tiers qui les soutiennent.
Quel est l'objectif de 23 NYCRR 500 ? Une sécurité efficace et obligatoire de bout en bout tout au long du cycle de vie des données est au cœur de ce règlement.
L'article 500.03 contient une exigence essentielle, qui demande à l'entité couverte (généralement le RSSI) de créer et de maintenir un programme de cybersécurité complet avec des procédures associées "conçues pour protéger la confidentialité, l'intégrité et la disponibilité des systèmes d'information de l'entité couverte et des informations non publiques stockées sur ces systèmes d'information".
Principales activités de mise en conformité avec le 23 NYCRR 500
Nommer un RSSI (s'il n'y en a pas déjà un en place)
Documenter toutes les politiques et procédures de l'organisation en matière de cybersécurité
Effectuer des évaluations des risques (qui doivent être mises à jour en permanence)
Tests de pénétration et évaluation des vulnérabilités
Former régulièrement l'ensemble du personnel
Contrôlez vos actifs et créez des pistes d'audit
Limiter les privilèges des utilisateurs
Évaluer les fournisseurs de services tiers et leurs politiques de sécurité
Détruire en toute sécurité les données inutiles
Solutions Fortra pour naviguer dans le 23 NYCRR 500
Fortra Data Loss Prevention et Fortra Data Classification peuvent aider votre organisation à répondre aux exigences du 23 NYCRR 500.