NYDFS ตัวแทนความปลอดภัยของนิวยอร์ก

เข้าใจ เข้าถึง รักษา ตามหลักข้อกำหนด 23 NYCRR Part 500

At a Glance:

ข้อกำหนดด้านความปลอดภัยบนระบบเครือข่ายของ NYDFS ซึ่งถูกกำหนดให้บริษัทประกันภัย ธนาคาร และสถาบันการเงินใน New York ประเทศสหรัฐอเมริกา ซึ่งจะรวมไปถึงหน่วยงานที่เกี่ยวข้องกับสถาบันการเงิน สาขาต่างๆ ที่ไม่ใช่หน่วยงานของภาครัฐ ปฏิบัติตามเพื่อประเมินด้านความเสี่ยงบนโลกไซเบอร์ โดยระเบียบการปฏิบัติ “NYDFS Cybersecurity” ได้รับการออกแบบมาเพื่อปกป้องผู้บริโภคและเพื่อ "รักษาความปลอดภัยและความถูกต้องของตัวสถาบันเอง" ด้วยเช่นเดียวกัน ซึ่งระเบียบดังกล่าวได้มีผลบังคับใช้เมื่อวันที่ 1 มีนาคม 2017 และจะต้องมีผลดำเนินงานภายใน 180 วัน (28 สิงหาคม 2017) ภายใต้การควบคุมของ New York Department of Financial Services (NYDFS) องค์กรที่ได้รับรอง ในการวางโปรแกรมระบบรักษาความปลอดภัยในโลกไซเบอร์ที่จะครอบคลุมและสอดคล้องกับระยะเวลาการปฏิบัติตามข้อกำหนดที่มีการเจาะจงเอาไว้

What Is the NYDFS Cybersecurity Regulation?

NYDFS ได้ออกกฎระเบียน NYDFS ได้ออกกฎระเบียบ Cybersecurity (23 NYCRR Part 500) เพื่อตลอดสนองความต้องการที่แสนซับซ้อนด้านความปลอดภัย เนื่องจากเหล่า “อาชญากรไซเบอร์” ในรูปแบบการโจมตีหลากหลาย และมักจะเลือกโจมตี “สถาบันการเงินของสหรัฐฯ” เป็นหลัก ซึ่งระเบียบข้อกำหนดนี้จะต้องให้องค์กรจากภายนอก (องค์กรที่ได้รับการรับรองในการทำหน้าที่ตรวจสอบ) ประเมินระดับความเสี่ยงด้านความปลอดภัย และวางแผนเพื่อให้ครอบคลุมความเสี่ยงจากภัยคุมคามหลากหลายรูปแบบอีกด้วย ซึ่งมาตรฐานด้านกฎระเบียบเหล่านี้จะรวมไปถึง :

มาตรฐานขั้นต่ำสำหรับระบบด้านสารสนเทศ ที่สามารถป้องกันข้อมูลและการเจาะรหัสในการเข้าถึง ระบบควมคุม
ข้อกำหนดด้านความปลอดภัยจากการใช้ระบบอินเตอร์เน็ต ซึ่งควบคุมความปลอดภัยจากการใช้อินเตอร์เน็ต ที่จะต้องมีประสิทธิภาพสูงด้านความปลอดภัยของระบบ
แผนการตอบสนองต่อเหตุการณ์ฉุกเฉิน ด้านภัยคุกคามบนโลกไซเบอร์ขององค์กรอย่างมีประสิทธิภาพ อีกทั้งจะต้องมีการหาจุดบกพร่องและวางแผนการพัฒนาฟื้นฟูตามกฏระเบียบในทุกปีอีกด้วย

Changes to the Final Regulation

Audit trails : ข้อกำหนดในการเก็บรักษาของมูลตามกฎระเบียบจะต้องมีข้อมูลจาก 5-3 ปี
Notice : ตามนโยบายและขั้นตอนเกี่ยวกับการประกาศแจ้งให้ผู้มีส่วนเกี่ยวข้องทราบ ซึ่งหากจัดทำโดยผู้ให้บริการจากภายนอกซึ่งจะต้องไม่ได้รับการเปิดเผยต่อองค์กรอื่นๆ ถึงแม้ว่าจะอยู่ภายใต้การควบคุมโดยผู้ให้บริการเดียวกันก็ตาม
Reporting : องค์กรที่ได้รับความคุ้มครองจะต้องชี้แจ้งถึงเหตุการณ์ด้านความปลอดภัยภายในองค์กรผ่านทางระบบอินเตอร์เน็ตให้กับ “NYDFS”
Exemptions : ในเรื่องของรายงานและระเบียบตาม NYDFS จะมีบ้างส่วนที่ได้รับการยกเว้นเช่น “รายได้ของพนักงาน จำนวนของพนักงานในองค์กรและบริษัทในเครือเป็นต้น”
Insurance : ระเบียบข้อการยกเว้นการปฏิบัติ “ซึ่งจะต้องมีการชี้แจ้งอย่างชัดเจนของบริษัที่อยู่ภายในกฎหมายประกันภัยของ นิวยอร์ก

Who Is Affected ?

ระเบียบข้อบังคับด้านความปลอดภัยของ NYDFS จะครอบคลุมในองค์กรเกี่ยวกับบริการด้านการเงินเป็นหลัก รวมไปถึงหน่วยงานอื่นๆ ดังนี้

บริษัทปล่อยสินเชื่อที่รับอนุญาตถูกต้องตามกฎหมาย
ธนาคารที่ได้รับใบอนุญาตจากภาครัฐ
บริษัทที่น่าเชื่อถือ
บริษัทผู้ให้บริการด้านสัญญาต่างๆ
ธนาคารเอกชน
บริษัทสินเชื่อสำหรับที่อยู่อาศัย
บริษัทประกันภัยที่ประกอบกิจการอยู่ภายใน นิวยอร์ก
ธนาคารนอกประเทศสหรัฐอเมริกา แต่มีการดำเนินธุรกิจอยู่ภายใน นิวยอร์ก

ซึ่งระเบียบนี้มีข้อยกเว้นสำหรับองค์กรดังนี้

องค์กรที่มีพนักงานน้อยกว่า 10 คน
องค์กรที่มีรายรับน้อยกว่า 5 ล้านดอลลาร์ต่อปี (ภายในระยะเวลา 3 ปี)
องค์กรที่มีสินทรัพย์รวมไม่ถึง 10 ล้านดอลลาร์

How Do Businesses Become Compliant? องค์กรจะต้องปฏิบัติอย่างไรถึงจะเป็นไปตามข้อกำหนด

ข้อกำหนด NYDFS Cybersecurity Regulation 23 NYCRR Part 500 จะมีผลตั้งแต่ “วันที่ 1 มีนาคม 2017” ซึ่งองค์กรแต่ละแห่งจะต้องใส่ใจและปรับเปลี่ยนให้สอดคล้องกับข้อกำหนดด้านความปลอดภัยนี้อย่างเคร่งครัด ซึ่งไม่ใช่เพียงแต่ในปีแรกเพียงอย่างเดียวเท่านั้น แต่หมายถึงจะต้องปฏิบัติติดต่อกันตามข้อกำหนดออย่างสม่ำเสมอ ซึ่งนับจากวันเริ่มต้นเป็นเวลา 180 วันหรือ ภายในวันที่ 28 สิงหาคม 2017 ทุกองค์กรต้องมีการปฏิบัติตามข้อบังคับเหล่านี้แล้วถึงแม้จะได้เป็นเพียงบางส่วนก็ตาม และแต่ละองค์กรจะต้องยื่นหนังสือรับรองการปฏิบัติตามข้อกำหนดของ NYDFS ครั้งแรกภายในวันที่ 15 กุมภาพันธ์ 2018 โดยขั้นตอนที่ระบุไว้นี้เป็นเพียงข้อมูลเบื้องต้นเท่านั้น รายละเอียดเชิงลึกของข้อบังคับและปฏิทินสามารถอ่านได้จาก “ที่นี่”

Important Dates

วันที่ 1 มีนาคม 2017 ไปจนถึง 28 สิงหาคม 2017 นับตั้งแต่วันที่เริ่มต้นบังคับใช้วันที่ “วันที่ 1 มีนาคม 2017” ไปจนถึง “28 สิงหาคม 2017” แต่ละองค์กรที่อยู่ภายใต้การควบคุมจะต้องปฏิบัติตามข้อกำหนด 23 ฉบับตามกฎของ NYCRR 500 เพื่อให้บรรลุตามข้อกำหนดแต่ละองค์กรจะต้อง

จัดติดตั้งโปรแกรม Cybersecurity ที่มีประสิทธิภายสูง และใช้งานได้จริง (มาตราที่ 02)
สร้างและรักษานโยบายด้าน Cybersecurity ที่เขียนขึ้นตาม (มาตราที่ 03)
มีการแต่งตั้ง Chief Information Security Officer (CISO) เพื่อรับผิดชอบดูแล (มาตราที่ 04)
มีการจัดจ้างบุคลากรด้านความปลอดภัยอย่างจริงจัง จะเป็นหน่วยงานภายในเองหรือเป็นการจ้างบุคคลที่สามก็ได้เช่นเดียวกัน (มาตราที่ 10)
มีการวางแผนในการรับมือเหตุการณ์ฉุกเฉินได้อย่างเป็นรูปธรรม (มาตราที่ 16)

15 กุมภาพันธ์ 2018 องค์กรที่ได้รับการคุ้มครองจะต้องส่งหนังสือรับรองการปฏิบัติตามข้อแรกภายใต้ 23 NYCRR 500.17 ในวันที่ 15 กุมภาพันธ์ 2018 หรือก่อนวันที่ 1 มีนาคม 2018 3 กันยายน 2018 ภายในวันนี้องค์กรที่ได้รับการคุ้มครองจะต้องพิสูจน์ว่า

สามารถรักษามาตรฐานและความสม่ำเสมอด้านความปลอดภัยตามมาตราที่ 06
มีการใช้ข้อกำหนดด้านความปลอดภัยกับแอปพลิเคชั่นได้อย่างมีประสิทธิภาพ ตามมาตราที่ 08

ถึงแม้ว่าการสร้างความปลอดภัยให้เกิดขึ้นบนโลกไซเบอร์จะมีกระบวนการที่ซับซ้อน แต่ก็ไม่ใช่เรื่องที่ต้องกังวลและเครียดกันมากเกินไป เพราะพวกเรามีเครื่องมือและแผนการที่พร้อมจะสร้างความปลอดภัยบนโลกไซเบอร์ได้อย่างมีประสิทธิภาพตามข้อบังคับต่างๆ ไม่เพียงแต่ NYDFS เท่านั้น แน่นอนว่าพวกเราจะสามารถช่วยปกป้องข้อมูลที่สำคัญของลูกค้าและมีค่าต่อธุรกิจของคุณได้เป็นอย่างดี

Reference : https://www.rapid7.com/fundamentals/gdpr/