Программа кибербезопасности по Part 500, под которой не страшно поставить подпись

DFS подчёркивает, что правило действует независимо от того, регулируют ли компанию другие ведомства. Для группы, которая получила лицензию в Нью-Йорке через американскую дочернюю компанию, это значит: программа кибербезопасности должна покрывать и системы, которыми дочерняя компания пользуется вместе с материнской.

Ограниченное исключение 500.19

Компании с менее чем 20 сотрудниками и подрядчиками (вместе с аффилированными лицами), либо ниже порогов по выручке или активам из 500.19(a), освобождаются от части секций: 500.4, 500.5, 500.6, 500.8, 500.10, отдельных пунктов 500.14, 500.15 и 500.16. Остальные обязанности сохраняются, включая оценку рисков, политики, MFA в сокращённом объёме, уведомления и годовую подачу. Об исключении компания уведомляет DFS в течение 30 дней после того, как установила своё право на него.

Ключевые обязанности, которые мы проверяем первыми:

• Оценка рисков (500.9): письменная, пересматривается не реже раза в год и при существенных изменениях.
• CISO (500.4): отчитывается письменно перед органом управления не реже раза в год.
• Управление уязвимостями (500.5): пентест изнутри и снаружи не реже раза в год силами квалифицированной стороны, автоматическое сканирование с частотой по оценке рисков.
• Доступы (500.7): минимальные права, ежегодный пересмотр всех учётных записей.
• MFA (500.12): для любого человека, который входит в любую информационную систему компании.
• Реестр активов (500.13): владелец, размещение, критичность, окончание поддержки и цель времени восстановления по каждому активу.
• Обучение (500.14): ежегодное, с темой социальной инженерии.
• Шифрование (500.15): данных при передаче по внешним сетям и при хранении.

Пентест входит в обязательный минимум, но выполняет его отдельная квалифицированная сторона; у нас он доступен по запросу.

Сертификация должна опираться на данные и документы, достаточные для подтверждения соответствия (500.17(b)(1)). Эти материалы компания хранит пять лет и показывает DFS по запросу.

Сертификация или признание несоответствия

Если в прошлом году часть требований не выполнялась, честный путь — признание несоответствия: какие секции, в чём именно и к какой дате всё будет исправлено. Мы принимаем это решение вместе с вами по каждой секции: прикладываем доказательство или фиксируем разрыв с планом.

Что попадает в папку доказательств

Выписки о включённой MFA, реестр активов, отчёт CISO органу управления, протокол учений по плану инцидентов, результаты проверки восстановления из резервных копий, записи об обучении, отчёты о сканировании и пентесте, оценки поставщиков.

Секция 500.16 требует письменных планов реагирования на инциденты и обеспечения непрерывности (BCDR). План должен покрывать роли и полномочия, внутренние и внешние коммуникации, восстановление из резервных копий и анализ первопричины. Не реже раза в год компания тестирует планы с ключевыми сотрудниками и проверяет восстановление критичных данных из резервных копий.

Отсчёт 72 часов идёт и тогда, когда инцидент случился у вашего поставщика. Поэтому договоры с поставщиками должны обязывать их сообщать вам быстро. Порядок уведомлений сразу по нескольким режимам, если инцидент затронул ещё и данные клиентов из ЕС или Канады, разбираем на странице реагирование на инциденты.

DFS ожидает оценку рисков поставщика до выбора, договорные условия о мерах защиты, включая шифрование, периодические проверки по уровню риска и отключение доступа при завершении отношений. Для компаний группы, где облачные сервисы, KYC-провайдер и поддержка часто общие для нескольких юрисдикций, мы собираем единый реестр поставщиков с отметкой, какие из них касаются нью-йоркской лицензии.

Те же поставщики, скорее всего, фигурируют в анкетах ваших банков-партнёров; подготовка к ним описана на странице анкета банка по безопасности.