近年、サイバーセキュリティを取り巻く環境は急速に進化しており、それに伴う規制も変化しています。特にニューヨーク州では、サイバー攻撃によるリスクの増大に対応して、金融サービス局（DFS）が2017年にサイバーセキュリティ規制を施行しました。2022年が近づくにつれ、ニューヨーク州DFSのサイバーセキュリティ規制とその更新内容を理解することは、すべての規制対象事業体にとって極めて重要な課題となっています。
ニューヨークDFSサイバーセキュリティ規制の概要
ニューヨーク州DFSサイバーセキュリティ規制は、ニューヨーク州の金融サービス業界の安全性と健全性を確保し、これらの機関が保有する機密性の高い顧客情報を保護し、業務に不可欠なITシステムを保護するために制定されました。この規制は、規模や業務の複雑さに関わらず、ニューヨーク州DFSから営業許可を受けたすべての金融サービス機関に適用されます。
ガイドラインには、サイバーセキュリティ プログラムの確立、資格のある最高情報セキュリティ責任者 (CISO) の雇用、主要なサイバーセキュリティ ポリシーの実装、サイバーセキュリティ防御の定期的なテスト、サードパーティ ベンダーも規制に準拠していることの確認、サイバーセキュリティ インシデントへの対応計画の策定など、いくつかの重要な領域が含まれています。
2022年のニューヨーク州DFSサイバーセキュリティ規制の更新
規制の範囲
当初の規則はDFS管轄下の事業体に適用されていましたが、2022年からはニューヨーク州の規制対象事業体のサードパーティサービスプロバイダーにも適用されます。これは、顧客のエンドツーエンドのデータ保護を確保するための取り組みです。
リスク評価の重要性の高まり
ニューヨーク州DFSのサイバーセキュリティ規制では、リスク評価の実施がより重視されるようになりました。金融機関は、自社の業務に固有のサイバーセキュリティリスクを特定・評価し、それに応じてサイバーセキュリティプログラムを設計する必要があります。
強化されたサイバーセキュリティポリシー
改正された規制では、強固なサイバーセキュリティポリシーの要件がさらに強化されました。企業は、取締役会または上級役員によって承認された一連のポリシーを策定することが義務付けられました。
サイバーセキュリティインシデント対応計画の要件
2022年の重要なアップデートとして、インシデント対応計画書の文書化が義務付けられました。この計画書には、サイバーセキュリティ侵害やインシデントが発生した場合に講じる対応策の概要が記載されることが期待されています。
ニューヨークDFSサイバーセキュリティ規制への準拠
ニューヨーク州DFSサイバーセキュリティ規制の導入は複雑なプロセスとなる可能性がありますが、規制対象企業にとっては必須です。コンプライアンス遵守を成功させるための具体的な戦術を以下に示します。
規制を明確に理解する
コンプライアンスへの第一歩は、規制の正確な要件を理解し、それをビジネス運営に適用する方法を理解することです。
現在のサイバーセキュリティ体制を評価する
現在のサイバーセキュリティの状況を徹底的に評価することで、脆弱性のある領域と、規制の基準を満たすために強化が必要な領域が明らかになります。
サイバーセキュリティプログラムの開発
ニューヨーク州DFSサイバーセキュリティ規制に準拠したサイバーセキュリティプログラムを作成してください。このプログラムには、堅牢なポリシー、リスク管理、トレーニング手順、インシデント対応計画を含める必要があります。
定期的な監査と報告
初期コンプライアンス遵守後、規制遵守を維持するためには定期的な監査が不可欠です。さらに、この規制では、サイバーセキュリティプログラムの状況と主要なサイバーイベントについて、DFS（国土安全保障省）への年次報告が義務付けられています。
結論は
結論として、ニューヨーク州DFSサイバーセキュリティ規制は、金融機関が自らの利益と顧客基盤の利益を守るための厳格でありながら不可欠な枠組みを提示しています。デジタル空間における脅威が増大する中、この規制を遵守することは、コンプライアンスにとどまらない広範なメリットをもたらします。したがって、すべての規制対象事業者は、定められた期限内に要件を理解し、遵守するための明確な措置を講じる必要があります。2022年の新たな改正では、特にリスク評価とインシデント対応計画に重点が置かれています。これらはいずれも、現代のサイバーセキュリティ基準において不可欠な要素です。したがって、コンプライアンスに時間とリソースを投資することは、金融機関のサイバー脅威への対策だけでなく、顧客や市場に対する全体的な運用能力と信頼性の向上にもつながります。