Réglementation du DFS de New York en matière de cybersécurité (23 NYCRR 500) : ce que les entreprises de services financiers et leurs prestataires de services gérés (MSP) doivent savoir

La plupart des programmes de conformité au NYDFS actuellement en vigueur ont été élaborés sur la base de la version originale de 2017 du titre 23 du NYCRR, partie 500. Les modifications apportées en novembre 2023 ont considérablement modifié les exigences, et un programme qui n’a pas été mis à jour conformément à la réglementation actuelle fonctionne désormais selon des exigences qui n’existent plus.

Cela revêt une importance particulière car le Département des services financiers de New York (DFS) applique activement cette réglementation, en infligeant des sanctions d’un montant suffisamment élevé pour retenir l’attention des équipes financières. Robinhood a versé 30 millions de dollars en 2022. EyeMed Vision Care a versé 4,5 millions de dollars. OneMain Financial a versé 4,25 millions de dollars en 2023. Il ne s’agissait pas de risques théoriques, mais bien de sanctions infligées à des entités qui, selon l’évaluation du DFS, n’avaient pas mis en place les contrôles requis par la réglementation.

Ce guide explique ce qu’exige réellement la règle 23 NYCRR 500 dans sa version modifiée, qui est tenu de s’y conformer, comment fonctionnent concrètement les délais de notification de 72 heures et de 24 heures, quelles obligations la réglementation impose aux prestataires de services tiers (c’est-à-dire les MSP), et comment mettre en place une stratégie de conformité défendable en cas de contrôle. Consultez le rapport 2026 de Kaseya sur l’état des MSP pour avoir une vue d’ensemble du contexte de la cybersécurité.

Prenez les devants face à l'application de la réglementation 23 NYCRR 500.

Compliance Manager GRCLe module NY DFS de […] permet de suivre l'état de conformité par rapport à la réglementation modifiée, de gérer la collecte des pièces justificatives et de générer la documentation attendue par le DFS lors d'un contrôle.

Découvrir Compliance Manager GRC

Qu'est-ce que le 23 NYCRR 500 ?

La partie 500 du 23 NYCRR est le règlement sur la cybersécurité du Département des services financiers de l'État de New York (DFS), entré en vigueur le 1er mars 2017 et ayant fait l'objet d'une modification substantielle en novembre 2023. Ce règlement impose aux entreprises de services financiers concernées de mettre en place un programme de cybersécurité documenté, de nommer un responsable de la sécurité des systèmes d'information (RSSI), de maintenir un ensemble défini de contrôles de sécurité et de signaler au DFS certains incidents de cybersécurité dans des délais très courts.

Les modifications de novembre 2023 (deuxième amendement à la partie 500) ont introduit de nouvelles exigences qui tiennent compte de l’évolution du paysage des menaces depuis l’adoption de la réglementation initiale. Renforcement des exigences en matière de chiffrement. Renforcement des obligations relatives à l’authentification multifactorielle (MFA), notamment en favorisant, dans la mesure du possible, une MFA résistante au phishing. Renforcement des exigences en matière de surveillance continue. Mise en place d’un nouveau délai de notification de 24 heures pour les paiements de rançon. Et mise en place d’un ensemble de contrôles plus rigoureux applicables aux grandes entités concernées (sociétés de classe A).

Pour les organisations dont les programmes ont fait l'objet d'une dernière évaluation exhaustive avant novembre 2023, cela signifie concrètement que l'analyse des écarts doit être refaite. Plusieurs exigences ont en effet considérablement évolué, et la formulation de la déclaration de conformité utilisée chaque année par les cadres supérieurs confère à l'exactitude de cette déclaration des conséquences personnelles importantes.

Qui doit s'y conformer ?

L'article 23 NYCRR 500 s'applique à toute personne exerçant son activité au titre d'une licence, d'un enregistrement, d'une charte, d'un certificat, d'un permis, d'une accréditation ou de toute autre autorisation similaire en vertu de la loi bancaire, de la loi sur les assurances ou de la loi sur les services financiers de l'État de New York. Dans la pratique, cela englobe les banques agréées par l'État, les compagnies d'assurance, les gestionnaires de prêts hypothécaires, les prestataires de services de transfert d'argent, les établissements d'encaissement de chèques, les agences de financement de primes, les prêteurs agréés, ainsi que l'ensemble des entités réglementées par le DFS.

Les petites entités peuvent bénéficier d’exemptions limitées à certaines exigences normatives. Le seuil d’exemption limitée prévu à l’article 500.19 combine trois conditions : moins de 20 salariés et prestataires indépendants, un chiffre d’affaires annuel brut inférieur à 7,5 millions de dollars provenant des activités menées à New York, et un total des actifs en fin d’exercice inférieur à 15 millions de dollars. Les entités qui remplissent ces trois critères bénéficient de l’exemption limitée, mais restent soumises à l’exigence relative au programme de cybersécurité de base.

Les modifications de novembre 2023 ont également introduit une catégorie « Classe A » destinée aux plus grandes entités concernées, définie par des seuils en matière d’effectifs, de chiffre d’affaires et d’actifs. Les entreprises de la Classe A sont soumises à des exigences supplémentaires par rapport à la réglementation de base, notamment des contrôles plus rigoureux en matière de surveillance et de gestion des identités. Les entreprises de taille moyenne et les grandes sociétés de services financiers opérant à New York devraient vérifier si elles relèvent de la définition de la Classe A, car les obligations supplémentaires sont importantes.

Les prestataires de services tiers, notamment les MSP (Managed Service Providers) et les prestataires de services de sécurité gérés, ne sont pas directement agréés par le DFS, mais relèvent du champ d'application de la réglementation en vertu de l'article 500.11, qui impose aux entités concernées de gérer les pratiques en matière de cybersécurité des prestataires ayant accès à leurs systèmes ou à des informations non publiques.

Principales exigences prévues par le règlement modifié

La règle modifiée couvre un ensemble défini de domaines de contrôle. Parmi les exigences les plus importantes sur le plan opérationnel, on peut citer les suivantes.

Un programme de cybersécurité documenté, fondé sur une évaluation des risques, couvrant la confidentialité, l'intégrité et la disponibilité des systèmes d'information de l'entité concernée. Ce programme doit faire l'objet d'un réexamen au moins une fois par an et être mis à jour lorsque le profil de risque évolue.

Un RSSI qualifié, qu'il soit interne ou externe, chargé du programme et tenu de rendre compte chaque année au conseil d'administration (ou à l'organe de gouvernance équivalent) de l'efficacité du programme, des risques significatifs et des incidents. Le rapport annuel a gagné en substance à la suite des modifications apportées en novembre 2023.

Authentification multifactorielle pour tous les accès à distance aux systèmes d'information de l'entité concernée, tous les accès aux informations non publiques et tous les comptes privilégiés. L'amendement a introduit une préférence pour une authentification multifactorielle résistante au phishing (généralement une authentification basée sur WebAuthn ou FIDO2) lorsque cela est possible, reconnaissant que les mots de passe à usage unique (OTP) envoyés par SMS ou via une application peuvent être contournés par les kits de phishing modernes.

Chiffrement des informations non publiques lors de leur transit sur des réseaux externes et lorsqu'elles sont stockées. Des mesures de contrôle compensatoires alternatives ne sont autorisées qu'avec l'accord écrit du RSSI et à condition qu'une raison valable justifiant cette exception soit fournie.

Gestion des actifs et contrôles d'accès. Un inventaire à jour de tous les systèmes d'information, des politiques documentées relatives au traitement des informations non publiques, un principe de « privilège minimal » pour tous les comptes utilisateurs, une gestion des accès privilégiés pour les autorisations étendues, ainsi que des contrôles annuels des accès.

Une surveillance continue des systèmes d'information, des tests d'intrusion au moins une fois par an et des évaluations de vulnérabilité au moins tous les six mois. C'est précisément cette exigence de surveillance continue qui rend le délai de 72 heures pour le signalement réalisable sur le plan opérationnel, plutôt que purement théorique.

Un plan de réponse aux incidents documenté, couvrant la détection, la réponse, la reprise des activités, la communication et l'analyse post-incident, testé au moins une fois par an. La documentation relative à ces tests fait elle-même partie des éléments de preuve attendus par le DFS lors d'un contrôle.

Une formation annuelle à la cybersécurité pour l'ensemble du personnel, assortie d'une formation spécifique aux fonctions pour le personnel technique sur les menaces actuelles. Les modifications ont relevé le niveau d'exigence quant à ce qui est considéré comme une formation adéquate.

L'obligation de signaler les incidents dans un délai de 72 heures

Les entités concernées doivent informer le DFS dans les 72 heures suivant la constatation d'un incident de cybersécurité atteignant le seuil de déclaration. Ce seuil est atteint lorsqu'un incident présente un risque raisonnable de nuire de manière significative au fonctionnement normal de l'entité, ou lorsqu'il porte atteinte à des informations non publiques.

Les modifications apportées en novembre 2023 ont introduit une obligation de notification dans les 24 heures en cas de paiement d'une rançon. Les entités concernées qui versent une rançon doivent en informer le DFS dans les 24 heures suivant le paiement et fournir, dans un délai de 30 jours, une description écrite de l'incident ainsi que les motifs justifiant ce paiement.

Une attestation annuelle de conformité doit être fournie par un cadre supérieur ou un administrateur, et le libellé de cette attestation engage la responsabilité personnelle de son auteur quant à l'exactitude de la déclaration de conformité. Le dépôt d'une attestation donnant une image fausse de l'état du programme est le type d'acte susceptible d'entraîner non seulement une responsabilité civile, mais aussi une responsabilité individuelle.

Le défi opérationnel lié au délai de 72 heures ne réside pas dans la durée elle-même, mais dans la nécessité de détecter les événements suffisamment rapidement pour savoir qu’ils se sont produits. Un incident découvert mardi matin, mais qui a en réalité débuté le samedi précédent, a déjà épuisé la majeure partie du délai de 72 heures avant même que l’entité ne se rende compte qu’il est en cours. C’est grâce à une surveillance continue, qu’elle soit assurée en interne ou par un prestataire MDR, que l’obligation de signalement peut être respectée et non pas ignorée.

Exigences relatives aux prestataires de services tiers

L'article 500.11 impose aux entités concernées de mettre en œuvre des politiques et des procédures visant à garantir la sécurité des prestataires de services tiers. Ces exigences comprennent l'identification et l'évaluation des risques liés à l'ensemble des prestataires tiers ayant accès à des informations non publiques ou aux systèmes des entités concernées, les pratiques minimales en matière de cybersécurité exigées de ces prestataires (couvrant le chiffrement, les contrôles d'accès, l'authentification multifactorielle et la réponse aux incidents), l'évaluation périodique des pratiques de sécurité des prestataires, ainsi que l'intégration d'exigences de sécurité dans les contrats régissant la relation.

Pour les prestataires de services gérés (MSP) qui travaillent pour des clients du secteur des services financiers concernés à New York, les implications opérationnelles sont directes. Le MSP doit respecter les normes de cybersécurité que l’entité concernée est contractuellement tenue d’imposer. Cette obligation n’est facultative pour aucune des deux parties. L’entité concernée ne peut rester en conformité sans imposer ces exigences à son MSP. Le MSP ne peut rester un fournisseur viable pour l’entité concernée sans démontrer qu’il s’y conforme.

Prenons un cas de figure courant. Un prestataire de services gérés (MSP) est le principal fournisseur de services informatiques et de sécurité d’un prêteur hypothécaire new-yorkais de taille moyenne. Ce prêteur fait l’objet d’un contrôle du Département des services financiers (DFS). L’inspecteur demande des preuves de la mise en œuvre de l’authentification multifactorielle (MFA) pour tous les accès privilégiés aux systèmes d’information du prêteur, y compris ceux des techniciens du MSP. Les outils standard du MSP prennent en charge la MFA, mais la mise en œuvre de cette mesure n’a pas fait l’objet d’un audit depuis des mois, et trois comptes de techniciens ayant quitté l’entreprise au cours du dernier trimestre ont été désactivés avec du retard. Le MSP devient alors une faille dans la conformité du prêteur, et ce dernier devient une faille dans la position commerciale du MSP. Ces deux problèmes trouvent leur origine dans le fait que le MSP n’applique pas son propre programme conformément aux normes que la réglementation exige de son client.

Les principes fondamentaux à respecter par les MSP qui travaillent pour des clients du secteur des services financiers à New York sont clairs. Documenter le programme de cybersécurité. Imposer une authentification multifactorielle (MFA) résistante au phishing sur chaque compte ayant accès à l’environnement d’un client. Disposer d’un plan de réponse aux incidents testé. Assurer une surveillance continue. Et conserver les preuves attestant que toutes ces mesures sont bien mises en œuvre, sous une forme qui résiste à un audit client, car cet audit ne manquera pas d’avoir lieu.

Mesures coercitives : ce qu'a fait le DFS

Le bilan des mesures coercitives prises par le DFS montre qu'il ne s'agit pas d'une réglementation purement théorique. Les accords de règlement publiés révèlent une tendance constante : les lacunes en matière d'authentification multifactorielle (MFA), de contrôles d'accès, de gestion des tiers et de capacité de réponse aux incidents constituent les principales cibles des mesures coercitives.

First American Financial Corp a conclu en 2021 un accord à l'amiable de 500 000 dollars pour des infractions comprenant notamment l'absence d'évaluations adéquates des risques et le manquement à corriger des vulnérabilités connues. Robinhood Crypto a conclu en 2022 un accord à l'amiable de 30 millions de dollars concernant des lacunes dans son programme de cybersécurité. EyeMed Vision Care a conclu un accord à l'amiable de 4,5 millions de dollars en 2022 à la suite d'une violation de données touchant environ 2,1 millions de personnes ; l'accord mentionnait des défaillances dans la gestion des accès et l'authentification multifactorielle (MFA). OneMain Financial a conclu un accord à l'amiable de 4,25 millions de dollars en 2023 pour des lacunes identifiées dans ses programmes.

Chacun de ces accords met en évidence des défaillances spécifiques en matière de contrôle plutôt que de sanctionner un manquement générique à la conformité, ce qui donne une indication claire sur les domaines sur lesquels les mesures de contrôle sont susceptibles de se concentrer à l'avenir. Couverture MFA. Discipline en matière de gestion des accès. Correction des vulnérabilités. Surveillance des tiers. Capacité de réponse aux incidents.

Feuille de route en matière de conformité pour les entités concernées et leurs prestataires de services de gestion (MSP)

Le travail se décompose en cinq étapes.

Réalisez une nouvelle évaluation des écarts par rapport à la réglementation modifiée. Si la dernière évaluation exhaustive s'appuyait sur la version 2017 de la réglementation, refaites-la en tenant compte des modifications de novembre 2023. Plusieurs domaines de contrôle font l'objet d'exigences nouvelles ou renforcées, et les hypothèses sur lesquelles reposaient les programmes antérieurs à 2023 ne sont plus fiables.

Donnez la priorité à l'authentification multifactorielle (MFA) et aux contrôles d'accès. Il s'agit des lacunes les plus fréquemment citées dans les mesures coercitives rendues publiques. La mise en place d'une authentification multifactorielle résistante au phishing pour tous les accès privilégiés, tous les accès aux informations non publiques et tous les accès à distance constitue un point de départ incontournable. En complément, documentez la fréquence des contrôles d'accès ainsi que le processus de désaffiliation garantissant que les comptes révoqués le sont bel et bien.

Mettre en place, ou sous-traiter, une capacité de surveillance continue. Le délai de signalement de 72 heures exige une capacité de détection suffisamment rapide pour identifier sans délai les incidents devant faire l'objet d'un signalement. Une surveillance 24 heures sur 24, 7 jours sur 7, assurée par un centre d'opérations de sécurité (SOC) interne, un service SIEM géré ou un prestataire MDR, constitue la solution la plus pratique.

Examinez et testez le plan d'intervention en cas d'incident. Organisez cet exercice au moins une fois par an. Consignez par écrit les résultats des tests ainsi que les améliorations apportées à l'issue de l'exercice. Intégrez la procédure de notification au DFS sous la forme d'un guide opérationnel spécifique au sein du plan, en désignant clairement les responsables et en fournissant un modèle pré-rédigé du formulaire de notification précoce.

Évaluer et documenter la sécurité des tiers. Les entités concernées doivent dresser l'inventaire de leurs prestataires de services gérés (MSP) et des autres prestataires concernés, évaluer leurs pratiques de sécurité selon une fréquence définie et mettre à jour leurs contrats afin de se conformer aux exigences de l'article §500.11. Les MSP doivent préparer le dossier de preuves de manière proactive, car attendre l'audit du client revient à attendre trop longtemps.

Compliance Manager GRC prend en charge l'évaluation au titre de l'article 23 du NYCRR 500 au sein de sa bibliothèque de référentiels, permettant ainsi aux entités concernées et à leurs équipes informatiques de suivre l'état de conformité par rapport à la règle modifiée, de documenter les contrôles, de gérer les évaluations réalisées par des tiers et de générer les justificatifs attendus par le DFS lors d'un contrôle. Découvrez Compliance Manager GRC pour découvrir les aspects opérationnels de la gestion continue d'un programme NYDFS, plutôt que de devoir le reconstruire sous la pression d'un contrôle.

Les entreprises de services financiers et les MSP qui sortent indemnes des contrôles du DFS ne sont pas nécessairement celles qui disposent des solutions de sécurité les plus coûteuses. Ce sont celles dont la documentation relative au programme correspond à la réalité opérationnelle, dont les preuves sont à jour plutôt que reconstituées, et dont la certification annuelle peut être signée par le responsable de la certification sans qu’il soit nécessaire de mener au préalable une discussion approfondie avec un conseiller juridique. La version modifiée de la règle 23 NYCRR 500 est une réglementation pertinente, appliquée par une autorité de régulation active qui a fait ses preuves. Le point de départ de la mise en conformité consiste à considérer cette règle comme une discipline permanente, et non comme un projet ponctuel.

Points clés à retenir

• La réglementation 23 NYCRR 500 fait l'objet d'une application stricte. Le DFS a infligé plusieurs amendes de plusieurs millions de dollars en invoquant des défaillances spécifiques en matière de contrôle concernant l'authentification multifactorielle (MFA), la gestion des accès et la réponse aux incidents. Les programmes qui n'ont pas été mis à jour conformément aux modifications de novembre 2023 fonctionnent selon une réglementation obsolète.
• Le délai de 72 heures pour signaler un incident et le délai de 24 heures pour notifier le paiement d'une rançon exigent une capacité de détection continue. Une surveillance limitée aux heures de bureau ne permettra pas de respecter ces délais de manière fiable.
• Les obligations des prestataires de services tiers en vertu de l'article 500.11 sont clairement définies. Les entités concernées doivent imposer des exigences en matière de cybersécurité aux prestataires de services gérés (MSP) ayant accès à leurs systèmes, et ces derniers doivent être en mesure de prouver qu'ils respectent ces exigences. Les deux parties s'exposent à des risques si l'une d'entre elles ne respecte pas ces obligations.
• La certification annuelle par un cadre supérieur engage la responsabilité personnelle de ce dernier quant à l'exactitude de la déclaration de conformité. La combinaison de cette responsabilité personnelle et du bilan publié en matière d'application de la réglementation fait de la conformité une préoccupation au niveau de la direction, et non plus une préoccupation réservée au service informatique.