ニューヨークのサイバーセキュリティ規制（23 NYCRR 500）とは？NYDFS規制の要点を解説

ニューヨークのサイバーセキュリティ規制（23 NYCRR 500）とは

ニューヨーク州金融サービス局（NYDFS）が定めたサイバーセキュリティ規制（23 NYCRR Part 500）は、金融機関に対してサイバーセキュリティ対策を義務付ける、米国で初めての州レベルの包括的な規制です。本記事では、この規制の適用対象、主な要件、免除条件などをQ&A形式でわかりやすく解説します。

NYDFS規制は誰に適用されるのか？

ニューヨーク州金融サービス局（NYDFS）は、ニューヨーク州で認可を受けた銀行、信託会社、貯蓄銀行、信用組合、投資会社などのリストを管理しています。これには、ニューヨーク州で事業を行ったことのある連邦政府認可の金融機関の大半も含まれます。

NYDFSにおける「対象エンティティ（Covered Entity）」とは？

NYDFSの管轄下にあるのは、銀行、保険会社、証券会社といった金融企業です。特に信用組合は同局による直接の監督を受けています。また、多数の生命保険会社や住宅ローンブローカーも対象となります。

コンプライアンス遵守の確認日はいつか？

新規制は2017年3月1日に施行されました。その後180日間の移行期間が設けられ、最初の期限は同年8月末に到来しました。そして、すべての義務への完全な遵守は2017年10月28日までに行う必要があります。

ニューヨークのサイバーセキュリティ規制とは？

NYDFSサイバーセキュリティ規制（23 NYCRR Part 500）は、ニューヨーク州金融サービス局（NYDFS）の監督下にある金融機関向けに制定された一連の新規制です。

23 NYCRR 500における「対象エンティティ」とは？

23 NYCRR 500のセクション500.01では、「上級幹部（Senior Officer）」を「対象エンティティの運営、セキュリティ、情報システム、コンプライアンスおよび／またはリスクの管理を担当する個人または個人の集団（共同で活動する場合も委員会として活動する場合も含む）」と定義しています。

DFS認証（DFS Certification）とは？

DFSの規制対象となるすべての事業者は、サイバーセキュリティプログラムを維持するために、DFSのコンプライアンス認証を取得しなければなりません。この認証書は毎年提出が義務付けられており、組織の最高位の役員とCISOによって署名されます。

誰がNYDFS規制に準拠する必要があるのか？

以下のいずれかに該当する企業は「小型企業（Small Company）」として扱われ、一部の要件が免除されます：従業員が10人未満である、過去3年間の各年度においてニューヨーク州での総収入が500万ドル未満である、または年末時点の資産が1,000万ドル未満である。

DFS 500とは？

DFS 500規制は州レベルで制定されたもので、顧客情報の保護と情報技術システムの適合性を確保することを目的としています。ニューヨーク州では、この規制により顧客情報の保護と、規制対象事業者のITシステムの完全性・安全性が促進されています。

NYDFS規制の適用範囲は？

NYDFSサイバーセキュリティ規制の対象となるのは、DFSからライセンス、登録、認可を受けている事業者、またはその他の形で特定のサイバー関連業務の実施が認められている事業者です。さらに、規制対象事業者にサービスを提供する非規制のサードパーティプロバイダーも、間接的にこの規制の影響を受けます。

NYDFSコンプライアンスとは？

この新規制は、NYDFSが金融機関に課した新しいサイバーセキュリティ要件の一つです。正式名称は「NYDFSサイバーセキュリティ規制（23 NYCRR Part 500）」で、ニューヨーク州金融サービス局の規制体系の一部として位置づけられています。規制対象事業者と非規制の第三者サービスプロバイダーとの間の取り決めも含まれています。

ニューヨーク・サイバーセキュリティ規制の内容は？

NYDFSサイバーセキュリティ規制では、対象組織に対して以下のことが義務付けられています：
・詳細なサイバーセキュリティ計画の策定
・最高情報セキュリティ責任者（CISO）の任命
・包括的なサイバーセキュリティポリシーの制定
・情報セキュリティプログラムの開始と継続的な維持

NYDFSサイバーセキュリティ規制の対象者は？

以下のいずれかに該当する企業は「小型企業」として一部の要件が免除されます：
・従業員数が10人未満
・過去3年間の各年度の年間総収入が500万ドル未満
・年末時点の資産が1,000万ドル未満

研修と監視に関する規定はどの部分にある？

研修と監視の要件はセクション500.14に定められています。組織は、すべての従業員に対してセキュリティ意識向上研修を実施することが義務付けられています。また、研修内容には、規制の一環として実施されたリスク評価の結果を反映させなければなりません。

NYSサイバーセキュリティとは？

ニューヨーク州の情報技術サービス部門（ITS）は、州のサイバーセキュリティインフラの保護を担当するとともに、全州レベルのサイバーセキュリティ政策、基準、プログラムの調整を行っています。