Le département des services financiers de New York annonce une mise à jour de la réglementation sur la cybersécurité

Le 9 novembre 2022, le Département des services financiers de New York (DFS) a proposé des modifications à ses règles de cybersécurité Part 500 en réponse aux technologies de plus en plus sophistiquées et aux menaces pesant sur les institutions financières. S’appuyant sur les projets d’amendements publiés en juillet, les mises à jour officiellement annoncées commencent une période de commentaires de 60 jours se terminant le 23 janvier 2023.

Initialement publié en 2017, le règlement sur la cybersécurité DFS a établi un modèle réglementaire pour les régulateurs financiers étatiques et fédéraux. Pour protéger les données sensibles des clients et promouvoir l’intégrité des systèmes de technologie de l’information, les entités couvertes doivent évaluer leurs profils de risque de cybersécurité et déployer un plan complet qui identifie et atténue ce risque.

Le FinCEN signalant des incidents liés aux rançongiciels augmentant de plus de 50 % par rapport à 2020, DFS a proposé ces modifications pour garantir que les entités réglementées protègent les consommateurs et les entreprises en s’attaquant aux nouvelles menaces avec les meilleures pratiques et les contrôles les plus efficaces. Selon la surintendante des services financiers Adrienne A. Harris, il est essentiel que […] la réglementation suit le rythme des nouvelles menaces et technologies spécialement conçues pour voler des données ou infliger des dommages.

Modifications proposées au règlement sur la cybersécurité

Les mises à jour visent à renforcer l’approche basée sur les risques des départements, en veillant à ce que le risque de cybersécurité soit intégré dans la prise de décision, la planification des activités et la gestion continue des risques. Les modifications proposées comprennent ce qui suit :

• Exiger que les entités couvertes contactent DFS dans les 72 heures suivant un événement de cybersécurité d’un fournisseur de services tiers et répondent dans les 90 jours à toute demande de DFS liée à son enquête sur l’événement
• Exigences de gouvernance renforcées pour accroître la responsabilité en matière de cybersécurité au niveau du conseil d’administration et de la suite C
• Contrôles supplémentaires pour empêcher l’accès non autorisé aux systèmes technologiques et atténuer la propagation d’une attaque
• Augmenter le seuil de taille des petites entreprises qui sont actuellement exemptées de nombreuses parties du règlement
• Exiger des évaluations des risques plus régulières et une planification plus solide de la reprise après sinistre

• Inviter les entreprises à investir dans des programmes réguliers de sensibilisation et de formation à la cybersécurité adaptés à leur personnel et à leur modèle d’entreprise

Défenses de cybersécurité

Alors que les ransomwares restent un cyber-risque majeur pour les organisations du monde entier, les escroqueries par compromission des e-mails professionnels (BEC) augmentent également à la lumière du passage au travail à distance, de la numérisation croissante et de la technologie sophistiquée de contrefaçon profonde. Parmi les cas récents de ce type de fraude, citons trois ressortissants nigérians qui auraient participé à des stratagèmes de fraude BEC de plusieurs millions de dollars et l’influenceur Instagram Hushpuppi condamné à plus de 11 ans de prison fédérale pour cyber-braquages ​​bancaires, stratagèmes BEC et autres fraudes en ligne.

Le renforcement des défenses de la cybersécurité contre la montée des cyberactivités malveillantes a été souligné comme une priorité de l’administration Biden dans ses orientations stratégiques provisoires sur la sécurité nationale publiées en mars 2021. Depuis lors, le gouvernement a contribué au financement de l’initiative Sheilds Up, dirigée par la Cyber ​​Infrastructure Security. Agence (CISA). À la base, l’initiative recommande :

• Prendre des mesures pour détecter rapidement une intrusion potentielle
• S’assurer que l’organisation est prête à réagir en cas d’intrusion
• Maximiser la résilience des organisations face à un cyberincident destructeur

Points clés à retenir

FinCEN a précédemment publié des directives pour les institutions financières concernant leurs obligations de déclaration des événements cybernétiques en vertu de la loi sur le secret bancaire (BSA). Si une organisation sait, soupçonne ou a des raisons de soupçonner qu’un événement cybernétique était intentionnel, il doit être considéré comme faisant partie d’une tentative d’effectuer une transaction suspecte.

Lors du dépôt d’un rapport d’activité suspecte (SAR), le FinCEN rappelle également aux entreprises de sélectionner le champ SAR 42 (Cyber ​​événement) comme type d’activité suspecte associée. En outre, les entreprises doivent inclure tous les cyber-indicateurs techniques pertinents liés à l’activité et aux transactions associées dans les champs SAR 44(a)-(j), (z) de l’indicateur d’événement cybernétique structuré disponible.

Le personnel chargé de la conformité doit également prendre note des avis et alertes conjoints sur la cybersécurité émis par le FBI, la CIA et le Département du Trésor au début de 2022. En plus de mettre en évidence les tactiques, techniques et procédures (TTP) observées et les indicateurs de compromission (IOC) , les avis recommandent de mettre en œuvre les mesures de cybersécurité suivantes :

• Mettre en œuvre un plan de récupération pour maintenir et conserver plusieurs copies de données et de serveurs sensibles ou propriétaires dans un emplacement physiquement séparé, segmenté et sécurisé (c’est-à-dire, disque dur, périphérique de stockage, cloud)
• Donner la priorité à la correction des vulnérabilités exploitées connues
• Offrir régulièrement aux employés une formation sur les principes et les techniques de sécurité de l’information ainsi que sur les risques et vulnérabilités émergents en matière de cybersécurité (c.-à-d. rançongiciels et escroqueries par hameçonnage)
• Sauvegardez régulièrement les données et protégez les copies de sauvegarde par mot de passe hors ligne
• Activer et appliquer l’authentification multifacteur (MFA)

Publié initialement le 18 novembre 2022, mis à jour le 18 novembre 2022