Regulamentação de segurança cibernética do DFS de Nova York (23 NYCRR 500): o que as empresas de serviços financeiros e seus MSPs precisam saber

A maioria dos programas de conformidade com o NYDFS em uso ativo atualmente foi desenvolvida com base na versão original de 2017 da Parte 500 do 23 NYCRR. As alterações de novembro de 2023 modificaram substancialmente os requisitos, e um programa que não tenha sido atualizado de acordo com a regulamentação vigente está agora operando com base em requisitos que já não existem.

Isso é importante porque o Departamento de Serviços Financeiros de Nova York (DFS) vem aplicando ativamente a regulamentação, com multas em uma magnitude que chama a atenção das equipes financeiras. A Robinhood pagou US$ 30 milhões em 2022. A EyeMed Vision Care pagou US$ 4,5 milhões. A OneMain Financial pagou US$ 4,25 milhões em 2023. Esses não eram riscos teóricos. Foram resultados de ações coercitivas contra entidades que, na avaliação do DFS, não haviam implementado os controles exigidos pela regulamentação.

Este guia aborda o que a norma 23 NYCRR 500 realmente exige de acordo com a regra alterada, quem deve cumprir essas exigências, como funcionam na prática os prazos de notificação de 72 e 24 horas, o que a regulamentação impõe aos prestadores de serviços terceirizados (ou seja, os MSPs) e como estabelecer uma postura de conformidade defensável em caso de fiscalização ativa. Leia o Relatório Kaseya sobre a Situação dos MSPs de 2026 para conhecer o contexto mais amplo da segurança cibernética.

Esteja a par das medidas de fiscalização da norma 23 NYCRR 500.

Compliance Manager GRCO módulo do DFS de Nova York da empresa monitora o status de conformidade com a regulamentação alterada, gerencia a coleta de provas e gera a documentação exigida pelo DFS durante as inspeções.

Explore Compliance Manager GRC

O que é o 23 NYCRR 500?

A Parte 500 do 23 NYCRR é a regulamentação de segurança cibernética do Departamento de Serviços Financeiros de Nova York (DFS), em vigor desde 1º de março de 2017 e alterada substancialmente em novembro de 2023. A regulamentação exige que as empresas de serviços financeiros abrangidas estabeleçam um programa documentado de segurança cibernética, nomeiem um CISO, mantenham um conjunto definido de controles de segurança e notifiquem o DFS sobre eventos específicos de segurança cibernética dentro de prazos rigorosos.

As alterações de novembro de 2023 (a Segunda Alteração à Parte 500) acrescentaram requisitos que refletem como o panorama de ameaças mudou desde a regra original. Requisitos ampliados de criptografia. Reforço das exigências de autenticação multifatorial (MFA), incluindo uma tendência para a adoção de MFA resistente a phishing, sempre que viável. Expectativas aprimoradas de monitoramento contínuo. Um novo prazo de notificação de 24 horas para pagamentos de resgate. E um conjunto mais rigoroso de controles aplicáveis a grandes entidades abrangidas (empresas da Classe A).

Para as organizações cujos programas foram avaliados de forma abrangente pela última vez antes de novembro de 2023, a implicação prática é que a análise de lacunas precisa ser repetida. Vários requisitos sofreram alterações significativas, e a redação da certificação utilizada anualmente pelos diretores executivos torna a precisão da declaração de conformidade uma questão de grande importância pessoal.

Quem deve cumprir

A norma 23 NYCRR 500 se aplica a qualquer pessoa que atue sob licença, registro, autorização, certificado, permissão, acreditação ou autorização semelhante nos termos da Lei Bancária, da Lei de Seguros ou da Lei de Serviços Financeiros de Nova York. Na prática, isso abrange bancos autorizados pelo estado, seguradoras, prestadores de serviços hipotecários, empresas de transferência de dinheiro, casas de desconto de cheques, agências de financiamento de prêmios, credores licenciados e o conjunto mais amplo de entidades reguladas pelo DFS.

Entidades de menor porte podem se qualificar para isenções limitadas de certos requisitos normativos. O limite para a isenção limitada previsto no §500.19 combina três condições: menos de 20 funcionários e prestadores de serviços independentes, receita bruta anual inferior a US$ 7,5 milhões proveniente de operações em Nova York e ativos totais no final do ano inferiores a US$ 15 milhões. As entidades que atendam a todos os três limites podem se valer da isenção limitada, mas continuam sujeitas ao requisito básico do programa de segurança cibernética.

As alterações de novembro de 2023 também introduziram uma categoria Classe A para as maiores entidades abrangidas, definida por limites relativos ao número de funcionários, receita e ativos. As empresas da Classe A enfrentam requisitos adicionais além da regra básica, incluindo controles mais rigorosos de monitoramento e gestão de identidade. As empresas de serviços financeiros de médio e grande porte que operam em Nova York devem verificar se se enquadram na definição da Classe A, pois as obrigações adicionais são significativas.

Prestadores de serviços terceirizados, incluindo MSPs e prestadores de serviços de segurança gerenciados, não são licenciados diretamente pelo DFS, mas são incluídos no escopo de conformidade por meio do §500.11, que exige que as entidades abrangidas gerenciem as práticas de segurança cibernética dos prestadores com acesso aos seus sistemas ou a informações não públicas.

Principais requisitos previstos no regulamento alterado

A norma alterada abrange um conjunto definido de áreas de controle. Os requisitos mais significativos do ponto de vista operacional incluem os seguintes.

Um programa de segurança cibernética documentado, baseado em uma avaliação de riscos, que abranja a confidencialidade, a integridade e a disponibilidade dos sistemas de informação da entidade abrangida. O programa deve ser revisado pelo menos uma vez por ano e atualizado sempre que o panorama de riscos se alterar.

Um CISO qualificado, seja interno ou terceirizado, responsável pelo programa e obrigado a apresentar um relatório anual ao conselho (ou órgão de governança equivalente) sobre a eficácia do programa, os riscos significativos e os incidentes. O relatório anual passou a ter um conteúdo mais substancial com as alterações de novembro de 2023.

Autenticação multifatorial em todos os acessos remotos aos sistemas de informação da entidade abrangida, em todos os acessos a informações não públicas e em todas as contas privilegiadas. A emenda introduziu uma preferência pela autenticação multifatorial (MFA) resistente a phishing (normalmente autenticação baseada em WebAuthn ou FIDO2), sempre que viável, reconhecendo que as senhas de uso único (OTP) baseadas em SMS e em aplicativos podem ser burladas por kits modernos de phishing.

Criptografia de informações não públicas em trânsito por redes externas e em repouso. Controles compensatórios alternativos são permitidos somente mediante aprovação documentada do CISO e justificativa válida para a exceção.

Gerenciamento de ativos e controles de acesso. Um inventário atualizado de todos os sistemas de informação, políticas documentadas para o tratamento de informações não públicas, princípio do privilégio mínimo para todas as contas de usuário, gerenciamento de acesso privilegiado para permissões elevadas e revisões anuais de acesso.

Monitoramento contínuo dos sistemas de informação, testes de penetração pelo menos uma vez por ano e avaliações de vulnerabilidade pelo menos a cada seis meses. É justamente essa exigência de monitoramento contínuo que torna o prazo de 72 horas para a apresentação de relatórios operacionalmente viável, em vez de ser apenas uma meta ambiciosa.

Um plano documentado de resposta a incidentes que abranja a detecção, a resposta, a recuperação, a comunicação e a análise pós-incidente, testado pelo menos uma vez por ano. A documentação dos testes constitui, por si só, parte das evidências que o DFS espera encontrar durante a inspeção.

Treinamento anual em segurança cibernética para todo o pessoal, com treinamento específico para cada função destinado à equipe técnica sobre as ameaças atuais. As alterações elevaram o padrão do que é considerado treinamento adequado.

A exigência de notificação de incidentes em até 72 horas

As entidades abrangidas devem notificar o DFS no prazo de 72 horas após constatarem que ocorreu um incidente de segurança cibernética que atinge o limite de notificação. O limite é atingido quando um incidente apresenta uma probabilidade razoável de prejudicar significativamente qualquer operação normal da entidade ou quando o incidente afeta informações não públicas.

As alterações de novembro de 2023 introduziram a exigência de notificação em até 24 horas para pagamentos de resgate. As entidades abrangidas que efetuarem um pagamento de resgate devem notificar o DFS no prazo de 24 horas após o pagamento e fornecer uma descrição por escrito do ocorrido e dos motivos do pagamento no prazo de 30 dias.

É exigida uma certificação anual de conformidade por parte de um diretor sênior ou membro do conselho, e o texto da certificação estabelece a responsabilidade pessoal pela exatidão da declaração de conformidade. Apresentar uma certificação que distorça a situação do programa é o tipo de ação que acarreta não apenas responsabilidade civil, mas também possível responsabilidade individual.

O desafio operacional relacionado ao prazo de 72 horas não é o próprio prazo em si. É a exigência de detectar eventos com rapidez suficiente para saber que um deles ocorreu. Um incidente descoberto na terça-feira de manhã, que na verdade teve início no sábado anterior, já consumiu a maior parte do prazo de 72 horas antes que a entidade perceba que ele está em andamento. O monitoramento contínuo, seja interno ou prestado por um provedor de MDR, é o que torna a exigência de notificação algo que pode ser cumprida, em vez de ser descumprida.

Requisitos para prestadores de serviços terceirizados

A Seção 500.11 exige que as entidades abrangidas implementem políticas e procedimentos para a segurança de prestadores de serviços terceirizados. Os requisitos incluem a identificação e a avaliação de riscos de todos os prestadores terceirizados com acesso a informações não públicas ou aos sistemas das entidades abrangidas, práticas mínimas de segurança cibernética exigidas desses prestadores (abrangendo criptografia, controles de acesso, autenticação multifatorial e resposta a incidentes), avaliação periódica das práticas de segurança dos prestadores e a inclusão de requisitos de segurança nos contratos que regem a relação.

Para os MSPs que atendem clientes do setor de serviços financeiros abrangidos em Nova York, a implicação operacional é direta. O MSP deve cumprir os padrões de segurança cibernética que a entidade abrangida é contratualmente obrigada a impor. Isso não é opcional para nenhuma das partes. A entidade abrangida não pode permanecer em conformidade sem impor esses requisitos ao seu MSP. O MSP não pode continuar sendo um fornecedor viável para a entidade abrangida sem demonstrar que cumpre tais requisitos.

Considere um cenário operacional comum. Um MSP presta serviços a uma instituição financeira de médio porte especializada em empréstimos hipotecários em Nova York como principal provedor de TI e segurança. A instituição passa por uma inspeção do DFS. O inspetor solicita comprovação da aplicação da autenticação multifatorial (MFA) em todos os acessos privilegiados aos sistemas de informação da instituição, incluindo o acesso por técnicos do MSP. As ferramentas padrão do MSP têm a MFA habilitada, mas a aplicação dessa medida não é auditada há meses, e três contas de técnicos que deixaram a empresa no último trimestre foram desativadas com atraso. O MSP passa a ser uma lacuna na postura de conformidade da instituição financeira, e a instituição financeira passa a ser uma lacuna na posição comercial do MSP. Ambos os problemas têm origem no fato de o MSP não executar seu próprio programa de acordo com o padrão que a regulamentação exige de seu cliente.

A base prática para os MSPs que atendem clientes do setor de serviços financeiros de Nova York é bem simples. Documentar o programa de segurança cibernética. Implementar a autenticação multifatorial (MFA) resistente a phishing em todas as contas que tenham contato com o ambiente do cliente. Manter um plano de resposta a incidentes testado. Realizar monitoramento contínuo. E manter as evidências de que tudo isso está sendo feito, em um formato que resista a uma auditoria do cliente, pois essa auditoria está por vir.

Fiscalização: o que o DFS tem feito

O histórico de fiscalização do DFS demonstra que não se trata de uma regulamentação meramente teórica. O padrão observado nos acordos publicados é consistente: deficiências em MFA, controles de acesso, gestão de terceiros e capacidade de resposta a incidentes são os principais alvos da fiscalização.

A First American Financial Corp chegou a um acordo em 2021 no valor de US$ 500.000 por violações que incluíram a falha em realizar avaliações de risco adequadas e a falha em corrigir vulnerabilidades conhecidas. A Robinhood Crypto chegou a um acordo de US$ 30 milhões em 2022 devido a deficiências no programa de segurança cibernética. A EyeMed Vision Care chegou a um acordo de US$ 4,5 milhões em 2022 após uma violação que afetou aproximadamente 2,1 milhões de pessoas, com o acordo citando falhas no gerenciamento de acesso e na autenticação multifatorial (MFA). A OneMain Financial chegou a um acordo de US$ 4,25 milhões em 2023 por lacunas identificadas em seus programas.

Cada um desses acordos aponta falhas específicas de controle, em vez de penalizar uma deficiência genérica de conformidade, o que dá um sinal claro sobre onde provavelmente se concentrarão as futuras medidas de fiscalização. Cobertura de MFA. Disciplina na gestão de acesso. Correção de vulnerabilidades. Supervisão de terceiros. Capacidade de resposta a incidentes.

Roteiro de conformidade para entidades abrangidas e seus MSPs

O trabalho se divide em cinco etapas.

Realize uma nova avaliação de lacunas com base na regulamentação alterada. Se a última avaliação abrangente tiver sido feita com base na versão de 2017 da norma, repita-a considerando as alterações de novembro de 2023. Várias áreas de controle apresentam requisitos novos ou reforçados, e os pressupostos incorporados aos programas anteriores a 2023 não são mais confiáveis.

Priorize a autenticação multifatorial (MFA) e os controles de acesso. Essas são as deficiências mais frequentemente citadas nas ações de fiscalização publicadas. A autenticação multifatorial resistente a phishing em todos os acessos privilegiados, em todos os acessos a informações não públicas e em todos os acessos remotos é o ponto de partida inegociável. Além disso, documente a periodicidade da revisão de acessos e o fluxo de trabalho de desligamento que garanta que as contas revogadas sejam efetivamente revogadas.

Implemente ou contrate um sistema de monitoramento contínuo. O prazo de 72 horas para notificação exige um sistema de detecção rápido o suficiente para identificar prontamente os eventos que devem ser comunicados. O monitoramento 24 horas por dia, 7 dias por semana, por meio de um SOC interno, um serviço SIEM gerenciado ou um provedor de MDR, é a solução prática.

Revise e teste o plano de resposta a incidentes. Realize o exercício pelo menos uma vez por ano. Documente os testes e as melhorias implementadas após o exercício. Inclua o fluxo de trabalho de notificação ao DFS como um manual de procedimentos específico dentro do plano, indicando os responsáveis e com o formulário de notificação antecipada pré-elaborado.

Avaliar e documentar a segurança de terceiros. As entidades abrangidas devem fazer um inventário de seus MSPs e outros prestadores de serviços incluídos no escopo, avaliar suas práticas de segurança em intervalos definidos e atualizar os contratos para refletir os requisitos da seção §500.11. Os MSPs devem preparar o pacote de evidências de forma proativa, pois esperar pela auditoria do cliente é esperar demais.

Compliance Manager GRC oferece suporte à avaliação da norma 23 NYCRR 500 em sua biblioteca de estruturas, permitindo que as entidades abrangidas e suas equipes de TI acompanhem o status de conformidade com a norma alterada, documentem controles, gerenciem avaliações de terceiros e gerem as evidências exigidas pelo DFS durante uma inspeção. Acesse Compliance Manager GRC para conhecer os aspectos operacionais da gestão contínua de um programa do NYDFS, em vez de ter que reconstruí-lo sob a pressão de uma inspeção.

As empresas de serviços financeiros e os MSPs que são aprovados sem problemas nas inspeções do DFS não são necessariamente aqueles com as infraestruturas de segurança mais caras. São aqueles cuja documentação do programa corresponde à realidade operacional, cujas evidências são atuais — e não reconstruídas — e cuja certificação anual é algo que o responsável pela certificação pode assinar sem precisar primeiro de uma conversa detalhada com o consultor jurídico. A versão alterada da norma 23 NYCRR 500 é uma regulamentação significativa, aplicada por um órgão regulador ativo e com histórico comprovado. O ponto de partida para a conformidade é tratar a norma como uma disciplina contínua, e não como um projeto que tem fim.

Pontos principais

• A norma 23 NYCRR 500 é aplicada de forma rigorosa. O DFS já aplicou várias multas na casa dos milhões de dólares, citando falhas específicas de controle relacionadas à MFA, ao gerenciamento de acesso e à resposta a incidentes. Os programas que ainda não foram atualizados de acordo com as alterações de novembro de 2023 estão operando com base em uma norma desatualizada.
• O prazo de 72 horas para notificação de incidentes e o prazo de 24 horas para notificação de pagamento de resgate exigem capacidade de detecção contínua. O monitoramento restrito ao horário comercial não atenderá a nenhum desses prazos de forma confiável.
• As obrigações dos prestadores de serviços terceirizados previstas no §500.11 são explícitas. As entidades abrangidas devem impor requisitos de segurança cibernética aos MSPs com acesso aos seus sistemas, e os MSPs devem ser capazes de comprovar o cumprimento desses requisitos. Ambas as partes ficam expostas caso uma delas não cumpra suas obrigações.
• A certificação anual por um diretor sênior estabelece a responsabilidade pessoal pela precisão da declaração de conformidade. A combinação da responsabilidade pessoal com o histórico de fiscalização divulgado torna a conformidade uma questão de interesse da alta administração, e não apenas do departamento de TI.