NYDFS Cybersecurity Regulation (23 NYCRR 500): প্রয়োজ্য সংস্থা, শর্তাবলী ও কমপ্লায়েন্স রোডম্যাপ
NYDFS Cybersecurity Regulation কী?
23 NYCRR 500 হলো নিউ ইয়র্ক স্টেট ডিপার্টমেন্ট অফ ফাইনান্সিয়াল সার্ভিসেস (NYDFS) প্রুলগেট করা সাইবারসিকিউরিটি রेгуলেশন যা ফাইনান্সিয়াল সার্ভিসেস কোম্পানিগুলোকে সাইবার রিস্ক ম্যানেজমেন্ট প্রোগ্রাম স্থাপন করতে বাধ্য করে। ১ মার্চ ২০১৭ তে কার্যকর, চূড়ান্ত কমপ্লায়েন্স ডেডলাইন: ২৮ ফেব্রুয়ারি ২০১৮ (ফেজড)।
কাদের প্রযোজ্য (Covered Entities)?
- NYDFS লাইসেন্স/রেজিস্ট্রেশন/চার্টার প্রাপ্ত এন্টিটি
- ব্যাংক, ট্রাস্ট কোম্পানি, সেভিংস ব্যাংк, ক্রেডিট יূনিয়ন
- বিমা কোম্পানি (Life, Property/Casualty, Health)
- মর্টগেজ ব্রোকার, চেক ক্যাশার, مনি ট্রান্সমিটার
- ইনভেস্টমেন্ট কোম্পানি, ভেন্চার ক্যাপিটাল
- ফেডারালি চার্টার্ড ইনস্টিটিউশন যারা NY-এ অপারেট করে
- তৃতীয় পক্ষ সার্ভিস প্রোভাইডার (Unregulated Third Parties) - এক্সটেনশন দ্বারা
ছোট কোম্পানিগুলোর ছাড় (Limited Exemption)
নিচের ৩টি শর্ত পূরণ করলে কিছু শর্তে ছাড় পাওয়া যায়:
- কর্মচারী < ১০ জন
- গত ৩ বছরে NY-এ অপারেশন থেকে গ্রস রেভিনিউ < $5 Million
- বর্ষान्तে টোটাল এসেট < $10 Million
NYDFS 23 NYCRR 500 - ২২টি মূল শর্তাবলী (Key Sections)
| সেকশন | প্রধান শর্তাবলী | ডেডলাইন (ফেজড) |
|---|---|---|
| 500.02 | Cybersecurity Program লিখিত নীতি ও প্রসিডিউয়ার | Aug 2017 |
| 500.03 | CISO (Chief Information Security Officer) নিয়োগ - বাধ্যতামূলক | Aug 2017 |
| 500.04 | Cybersecurity Policy (লিখিত, বোর্ড অনুমোদিত) | Aug 2017 |
| 500.05 | Penetration Testing (সালে ২ বার) + Vulnerability Assessment (সালে ১ বার) | Feb 2018 |
| 500.06 | Audit Trail / Logging (৬ বছরে রাখা, Immutable) | Feb 2018 |
| 500.07 | Access Privileges: Least Privilege, MFA, Periodic Review | Feb 2018 |
| 500.08 | Application Security: SDLC, Secure Coding, Testing | Feb 2018 |
| 500.09 | Risk Assessment (লিখিত, আপডেটেড, রিস্ক-ভিত্তিক) | Feb 2018 |
| 500.10 | Cybersecurity Personnel & Intelligence (Qualified Staff, Threat Intel) | Feb 2018 |
| 500.11 | Third Party Service Provider Security Policy (Due Diligence, Contractual) | Feb 2018 |
| 500.12 | Multi-Factor Authentication (MFA) - রিমোট এক্সেস, অ্যাডমিন, প্রিভিলেজড | Feb 2018 |
| 500.13 | Data Retention & Disposal (Limited Retention, Secure Disposal) | Feb 2018 |
| 500.14 | Training & Monitoring (Security Awareness, Risk-based, All Personnel) | Feb 2018 |
| 500.15 | Encryption: Nonpublic Info - In Transit (TLS 1.2+) & At Rest (AES-256) | Feb 2018 |
| 500.16 | Incident Response Plan (Written, Tested, 72-hr Notice to NYDFS) | Feb 2018 |
| 500.17 | Annual Certification (Board Chair/Senior Officer সাইন করে NYDFS-এ জমা) | Feb 2018 (Annual) |
| 500.18 | Confidentiality of Nonpublic Information | Feb 2018 |
DFS Certificate of Compliance (সার্টিফিকেশন)
- প্রতিবছর ১৫ ফেব্রুয়ারি entro_submit করতে হয়
- Board Chair বা Senior Officer সাইন করে
- Certify করে যে এন্টিটি কমপ্লায়েন্ট
- Non-compliance হলে Written Statement of Non-Compliance জমা দিতে হয়
Section 500.14: Training & Monitoring (বিস্তারিত)
- সকল কর্মচারির জন্য Security Awareness Training (সালে একবার ন্যূনতম)
- Training রিস্ক অसेসমেন্ট-এ অবলম্বন করবে
- Privileged Users-এর জন্য এডভান্সড ট্রেনিং
- Monitoring: User Activity Monitoring, Anomaly Detection, SIEM
NYDFS কমপ্লায়েন্স রোডম্যাপ (যদি এখন শুরু করেন)
- Gap Analysis: Current State vs 23 NYCRR 500 Requirements
- CISO Appoint: Dedicated বা Virtual CISO (vCISO)
- Policy Development: Cybersecurity Policy, IR Plan, Vendor Policy, Training Policy
- Technical Controls: MFA, Encryption, Logging, Vuln Mgmt, Pen Testing
- Third Party Risk: Vendor Inventory, BAA/Contract Review, Due Diligence
- Training Program: LMS, Phishing Sim, Role-based Training
- Documentation: Evidence Collection, Artifact Repository
- Annual Certification Prep: Board Presentation, Attestation Package
NYDFS vs অন্যান্য ফ্রেমওয়ার্ক
| ফ্রেমওয়ার্ক | স্কোপ | বাধ্যতামূলক? | কียার ফোকাস |
|---|---|---|---|
| NYDFS 500 | NY-Licensed Financial Services | Yes (Regulatory) | CISO, MFA, 72-hr Notice, Annual Cert |
| NIST CSF | Voluntary (All Sectors) | No (Unless Contractual) | Identify, Protect, Detect, Respond, Recover, Govern |
| ISO 27001 | International Standard | Certification-based | ISMS, Risk Treatment, Annex A Controls |
| PCI-DSS | Payment Card Data Handlers | Contractual (Card Brands) | Cardholder Data Protection, 12 Requirements |
Non-Compliance Penalty
- Financial Penalties (Per Violation, Per Day)
- License Revocation / Suspension
- Consent Orders, Enforcement Actions
- Reputational Damage, Loss of Business
- Class Action Lawsuits (Private Right of Action in some cases)
