Evidencias de Part 500 que su CEO y su CISO pueden firmar el 15 de abril

La norma se aplica aunque otras agencias regulen también a la entidad. Si la licencia está en una filial estadounidense, el programa cubre los sistemas que comparte con la matriz.

La exención limitada de 500.19

Las entidades con menos de 20 empleados y contratistas independientes (contando afiliadas), o por debajo de los umbrales de ingresos o activos de 500.19(a), quedan exentas de las secciones 500.4, 500.5, 500.6, 500.8, 500.10, partes de 500.14, 500.15 y 500.16. Se mantienen la evaluación de riesgos, las políticas, una MFA más reducida, los avisos y la presentación anual, y se presenta un Notice of Exemption en 30 días.

Las obligaciones que revisamos primero:

• Evaluación de riesgos (500.9): escrita, revisada al menos cada año y tras cambios materiales.
• CISO (500.4): informa por escrito al máximo órgano de gobierno al menos una vez al año.
• Gestión de vulnerabilidades (500.5): prueba de penetración interna y externa al menos anual por una parte cualificada, y escaneos automáticos con frecuencia según el riesgo.
• Accesos (500.7): mínimo privilegio y revisión anual de cada cuenta.
• MFA (500.12): para cualquier persona que acceda a cualquier sistema de información.
• Inventario de activos (500.13): responsable, ubicación, clasificación, fin de soporte y objetivo de tiempo de recuperación de cada activo.
• Formación (500.14): anual, con ingeniería social incluida.
• Cifrado (500.15): en tránsito por redes externas y en reposo.

La prueba de penetración la realiza una parte cualificada independiente, disponible a petición.

La certificación debe apoyarse en datos y documentación suficientes para demostrar el cumplimiento material (500.17(b)(1)), y los registros de soporte se conservan cinco años para el examen del DFS.

Elegir entre las dos presentaciones

Si el año pasado quedó sin cumplir una parte de la norma, la presentación exacta es el reconocimiento. Lo decidimos con evidencias, sección por sección.

El expediente incluye la configuración de MFA, el inventario de activos, el informe del CISO, actas de simulación, pruebas de restauración, formación, escaneos, pruebas de penetración y evaluaciones de terceros.

La sección 500.16 exige planes escritos de respuesta a incidentes y de continuidad y recuperación (BCDR), probados al menos una vez al año con el personal crítico, junto con la restauración de datos críticos desde las copias.

El plazo de 72 horas corre también cuando el incidente ocurre en un proveedor, así que los contratos necesitan cláusulas de aviso rápido. Si el mismo incidente afecta a datos de clientes de la UE o de Canadá, los avisos se suman; lo explicamos en nuestra página de respuesta a incidentes.

El DFS espera evaluación previa, cláusulas de seguridad y cifrado, revisiones periódicas y retirada de accesos al terminar. En un grupo donde nube, KYC y soporte se comparten entre jurisdicciones, construimos un solo registro de proveedores y marcamos los que tocan la licencia de Nueva York. Esos mismos proveedores suelen aparecer en el cuestionario de seguridad de sus bancos.