Des preuves Part 500 que votre dirigeant et votre CISO peuvent signer le 15 avril

La règle s'applique même si d'autres autorités régulent l'entité. Si la licence est détenue par une filiale américaine, le programme couvre aussi les systèmes partagés avec la maison mère.

L'exemption limitée de la section 500.19

Les entités de moins de 20 salariés et prestataires indépendants (affiliés compris), ou sous les seuils de chiffre d'affaires ou d'actifs de la 500.19(a), sont dispensées des sections 500.4, 500.5, 500.6, 500.8, 500.10, d'une partie de la 500.14, de la 500.15 et de la 500.16. Le reste demeure, et un avis d'exemption est déposé auprès du DFS dans les 30 jours suivant le constat d'éligibilité.

Les obligations que nous testons en premier :

• Évaluation des risques (500.9) : écrite, revue au moins chaque année et après tout changement important.
• CISO (500.4) : rend compte par écrit à l'organe de direction au moins une fois par an.
• Gestion des vulnérabilités (500.5) : test d'intrusion interne et externe au moins annuel par une partie qualifiée, et scans automatisés à une fréquence fondée sur le risque.
• Accès (500.7) : moindre privilège et revue annuelle de chaque compte.
• MFA (500.12) : pour toute personne accédant à tout système d'information.
• Inventaire des actifs (500.13) : propriétaire, emplacement, classification, fin de support et objectif de délai de reprise pour chaque actif.
• Formation (500.14) : annuelle, ingénierie sociale comprise.
• Chiffrement (500.15) : en transit sur les réseaux externes et au repos.

Le test d'intrusion est réalisé par une partie qualifiée distincte, proposée sur demande.

La certification doit reposer sur des données et documents suffisants pour démontrer la conformité substantielle (500.17(b)(1)), et les pièces justificatives sont conservées cinq ans pour les examens du DFS.

Choisir entre les deux dépôts

Si une partie de la règle n'a pas été respectée l'an passé, la reconnaissance est le dépôt exact. Nous tranchons sur preuves, section par section, en joignant la preuve ou en consignant l'écart avec un plan.

Le contenu du dossier de preuves

Exports de configuration MFA, inventaire des actifs, rapport du CISO, comptes rendus d'exercices, tests de restauration, formations, rapports de scans et d'intrusion, évaluations des fournisseurs.

La section 500.16 impose des plans écrits de réponse aux incidents et de continuité et reprise (BCDR) : rôles, décision, communications, restauration, analyse des causes. L'entité les teste chaque année et vérifie la restauration des données critiques.

Le délai de 72 heures court aussi quand l'incident survient chez un fournisseur : les contrats doivent prévoir une notification rapide. Quand le même incident touche des données de clients européens ou canadiens, les notifications se cumulent ; voir notre page réponse aux incidents.

Le DFS attend une évaluation avant la sélection, des clauses de sécurité, des réévaluations selon le risque et le retrait des accès en fin de relation. Dans un groupe où cloud, KYC et support sont partagés entre juridictions, nous tenons un seul registre des fournisseurs et signalons ceux qui touchent la licence new-yorkaise.

Ces fournisseurs figurent aussi dans les questionnaires de vos banques partenaires ; voir notre service questionnaire de sécurité.