Em 13 de setembro de 2016, o governador de Nova York, Andrew M. Cuomo, anunciou uma nova proposta de regulamento que exigiria que bancos, cooperativas de crédito, companhias de seguros e outras instituições de serviços financeiros regulamentadas pelo Departamento de Serviços Financeiros (DFS) de Nova York implementassem e mantivessem um programa de segurança cibernética. Esta proposta pode ser um indicador para requisitos semelhantes em outros estados.
O regulamento proposto exige que as instituições de serviços financeiros regulamentadas pelo DFS, incluindo, entre outros, bancos, companhias de seguros, empresas de serviços monetários (tais como transmissores de dinheiro e caixas de cheques) e operadores regulamentados de moeda virtual, façam o seguinte:
- Estabelecer um programa de segurança cibernética que desempenhe cinco funções:
- Identificação de riscos cibernéticos
- Implementação de políticas e procedimentos para proteção contra acesso ou uso não autorizado, ou outras ameaças maliciosas;
- Detecção de eventos de cibersegurança;
- Capacidade de resposta a eventos de cibersegurança identificados para mitigar eventos negativos; e
- Recuperação de eventos de cibersegurança e restauração de eventos e serviços normais.
- Adotar uma política escrita de segurança cibernética que estabeleça políticas e procedimentos para a proteção de sistemas de informação e informações não públicas;
- Exigir uma revisão da política de cibersegurança pelo menos anualmente pelo conselho de administração;
- designar um indivíduo qualificado para atuar como Diretor de Segurança da Informação (CISO) responsável por supervisionar, implementar o programa de segurança cibernética da instituição e fazer cumprir a política de segurança cibernética da instituição;
- implementar políticas e procedimentos concebidos para garantir a segurança dos sistemas de informação e das informações não públicas acessíveis a terceiros ou detidas por terceiros; e
- cumprir uma série de requisitos adicionais, incluindo testes anuais de penetração e avaliações de vulnerabilidade, criptografia de todas as informações não públicas (em repouso ou em trânsito), uso de autenticação multifatorial, treinamento de funcionários e a obrigação de notificar o DFS dentro 72 horas “após tomar conhecimento de um evento de segurança cibernética”.
O DFS de Nova Iorque publicou orientações que descrevem os requisitos do regulamento proposto.
No seu comunicado de imprensa, o Governador Cuomo disse que “este regulamento ajuda a garantir que a indústria de serviços financeiros cumpra a sua obrigação de proteger os consumidores e garantir que os seus sistemas sejam suficientemente construídos para prevenir ataques cibernéticos em toda a extensão possível”.
O regulamento proposto está sujeito a um aviso prévio de 45 dias e a um período de comentários públicos. É digno de nota que vários de seus requisitos entram em vigor em algum momento após a data de entrada em vigor do regulamento. Por exemplo, o requisito de que as informações não públicas sejam encriptadas em trânsito entra em vigor um ano a partir da data de entrada em vigor do Regulamento Proposto.
Embora organizações como o Conselho Federal de Exame de Instituições Financeiras (FFIEC) tenham continuado a atualizar as orientações para as instituições financeiras relativamente aos componentes de um programa de segurança da informação apropriado, o regulamento proposto pelo DFS imporia muitos mais requisitos às instituições financeiras.
Outros reguladores federais e estaduais podem seguir o exemplo.