Règlement cybersécurité du NYDFS (Part 500)
Règlement de l'autorité financière de l'État de New York qui impose depuis 2017 un programme de cybersécurité aux banques et assureurs qu'elle supervise, renforcé en 2023 avec notamment la déclaration des rançons payées sous 24 heures.
Le règlement Part 500 du département des services financiers de l'État de New York, entré en vigueur le 1er mars 2017, a été l'un des premiers textes à imposer des exigences de cybersécurité détaillées au secteur financier, y compris aux assureurs agréés dans l'État, dont beaucoup de grands groupes internationaux. Il exige un programme et une politique de cybersécurité, un responsable de la sécurité désigné, des tests d'intrusion, l'authentification multifacteur, le chiffrement des données sensibles, un plan de réponse aux incidents et une certification annuelle de conformité signée par la direction. Sa révision de novembre 2023 a renforcé les obligations de gouvernance, en impliquant davantage le conseil d'administration, créé des exigences plus strictes pour les grandes entreprises, et imposé de notifier l'autorité dans les 72 heures d'un incident de cybersécurité et, en cas de paiement d'une rançon, dans les 24 heures, puis d'en justifier la nécessité dans les 30 jours. Pour l'assurance, le règlement a une double portée : il s'applique aux assureurs eux-mêmes, et il a servi de modèle à d'autres régulateurs, dont l'association américaine des commissaires aux assurances pour sa loi type sur la sécurité des données.
Cas d'école : un assureur agréé à New York paie une rançon après une attaque contre sa filiale de gestion de sinistres. Depuis l'amendement de novembre 2023, il doit en informer l'autorité dans les 24 heures, puis lui adresser sous 30 jours une explication des raisons qui ont rendu le paiement nécessaire, des alternatives envisagées et des vérifications effectuées au regard des sanctions.
NYDFS Part 500, 23 NYCRR 500, New York cybersecurity regulation
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.