NYDFS 23 NYCRR 500 : Comment satisfaire aux exigences en matière de gestion des risques liés aux tiers ?

Début 2017, le Département des services financiers de l'État de New York (DFS) a institué une réglementation visant à établir des exigences en matière de cybersécurité pour les sociétés de services financiers. Cette législation, connue sous le nom de 23 NYCRR 500, a été adoptée en réponse aux violations de données et aux menaces cyber qui augmentaient à un rythme alarmant, exposant des données sensibles et coûtant des millions de dollars aux organisations. La loi a été modifiée en novembre 2022 pour tenir compte des risques les plus récents pour les systèmes d'information et les données, les mises à jour devant entrer en vigueur en 2023.

Ce billet examine quelles organisations doivent se conformer à la loi, les principales dispositions relatives à la gestion des risques liés aux tiers dans le 23 NYCRR 500, et les meilleures pratiques pour satisfaire aux exigences.

Quelles sont les organisations qui doivent se conformer à 23 NY CRR 500 ?

Selon le règlement, "toute personne opérant ou devant opérer en vertu d'une licence, d'un enregistrement, d'une charte, d'un certificat, d'un permis, d'une accréditation ou d'une autorisation similaire en vertu de la loi bancaire, de la loi sur les assurances ou de la loi sur les services financiers, indépendamment du fait que l'entité couverte soit également réglementée par d'autres agences gouvernementales" est considérée comme une "entité couverte" et doit s'y conformer - même les organisations qui n'ont pas leur siège social à New York.

Cependant, il existe quelques exemptions à la loi. L'amendement de novembre 2022 a mis à jour les critères d'exemption pour exclure les entités couvertes avec :

• moins de 20 salariés (y compris les entrepreneurs indépendants) ou
• moins de 15 millions de dollars d'actifs totaux en fin d'année.

En outre, les modifications apportées au règlement en novembre 2022 désignent les entreprises de "classe A" afin d'imposer des exigences plus strictes aux organisations de services financiers de plus grande taille. Les entreprises de classe A sont celles dont le revenu annuel brut s'élève à au moins 20 millions de dollars pour chacune des deux dernières années fiscales, provenant des opérations commerciales de l'entité couverte et de ses affiliés dans l'État de New York et de l'État de New York :

• plus de 2 000 employés en moyenne sur les deux derniers exercices, y compris ceux de l'entité couverte et de toutes ses filiales, quel que soit leur lieu d'implantation ; ou
• plus d'un milliard de dollars de recettes annuelles brutes au cours de chacun des deux derniers exercices, provenant de l'ensemble des activités commerciales de l'entité couverte et de toutes ses sociétés affiliées.

Les entreprises de catégorie A doivent satisfaire à des exigences supplémentaires par rapport à toutes les entités couvertes, notamment

• Réaliser des audits indépendants (en faisant appel à des auditeurs externes) du programme de cybersécurité au moins une fois par an, et faire appel à des experts externes pour réaliser une évaluation des risques au moins tous les trois ans.
• Mise en place d'une gestion des accès privilégiés et d'une méthode automatisée de blocage des mots de passe les plus utilisés
• Mise en œuvre d'un système de détection et de réponse des points d'accès pour surveiller les activités anormales (y compris les mouvements latéraux), et d'une solution centralisant la journalisation et l'alerte sur les événements de sécurité.

Avec les récentes pénalités du NYCRR 500 s'élevant à 4,5 millions de dollars, il est essentiel que les organisations comprennent l'impact de ce règlement sur elles.

Quelles sont les exigences du 23 NY CRR 500 ?

Conçue pour protéger la confidentialité, l'intégrité et la disponibilité des informations relatives aux clients ainsi que des systèmes informatiques, cette réglementation sur la cybersécurité impose aux entités concernées de prendre les mesures suivantes :

• Maintenir un programme de cybersécurité comprenant des évaluations des risques, des audits indépendants et des documents d'appui (section 500.2).
• mettre en œuvre et maintenir des politiques de sécurité de l'information fondées sur des évaluations des risques - y compris pour la gestion des fournisseurs et des prestataires de services tiers (section 500.3)
• Nommer un responsable de la sécurité de l'information (CISO) qui doit être responsable du programme de cybersécurité de l'organisation, l'examiner et en rendre compte (article 500.4).
• Inclure des technologies et des pratiques spécifiques en matière de cybersécurité (sections 500.5-500.10 ; 500.12-500.17)
• Créer un programme de gestion des risques pour les tiers (section 500.11)
• Déposer un certificat annuel confirmant la conformité avec ces règlements (Section 500.17b)

Comment satisfaire aux exigences de la norme 23 NYCRR 500 relative à la gestion des risques liés aux tiers ?

La gestion des contrôles de sécurité informatique et des politiques de confidentialité des données de vos fournisseurs est un élément clé de la conformité au 23 NYCRR 500. La section 500.11(a) traite directement de la politique de sécurité des fournisseurs de services tiers. Elle exige des entités couvertes qu'elles disposent d'une politique écrite qui traite de la sécurité des systèmes d'information des tiers sur la base d'une évaluation des risques, et elle exige que la politique couvre :

• Identification et évaluation des risques de chaque tiers
• Pratiques minimales de cybersécurité
• Diligence raisonnable utilisée pour évaluer l'adéquation de leurs pratiques en matière de cybersécurité
• Évaluation périodique du fournisseur en fonction du risque et de l'adéquation continue de ses pratiques de cybersécurité

L'article 500.11(b) décrit ensuite les politiques et procédures spécifiques sur lesquelles les entités couvertes doivent faire preuve de diligence raisonnable, telles que les contrôles d'accès, l'authentification multifactorielle (MFA), le cryptage et les rapports de réponse aux incidents. Les autres sections du règlement applicables à la gestion des risques des tiers sont les sections 500.16 (continuité des activités) et 500.17 (réponse aux incidents des tiers).