23 NYCRR 500サイバーセキュリティコンプライアンス認証フォームに必要なものとは？

はじめに

ニューヨーク州金融サービス局（NYDFS）が定めるサイバーセキュリティ規制「23 NYCRR 500」は、金融セクターにおける情報保護の中核を担う重要な法令です。本記事では、同規制のコンプライアンス認証に関してよく寄せられる質問をQ&A形式で整理し、カバー対象エンティティの定義から免除基準、研修要件までをわかりやすく解説します。

23 NYCRR 500における「カバー対象エンティティ」とは？

23 NYCRR 500におけるカバー対象エンティティ（Covered Entity）とは、NYDFSのライセンス、登録、認可、またはこれらに類する許可の下で事業を運営している、あるいは運営が義務付けられている個人・法人を指します。

また、規制では各社が上級情報セキュリティ責任者（CISO）を任命することが求められています。CISOは、カバー対象エンティティの情報システムの管理・運用・保護を担当し、サイバーセキュリティリスクの監督を行う個人またはチームです。

DFS認証（DFS Certificate）とは？

DFSの管轄下にある規制対象事業者は、DFSサイバーセキュリティ・コンプライアンス認証を取得しなければなりません。この認証は、自社のサイバーセキュリティ体制が23 NYCRR 500の要件を満たしていることを最高経営責任者（CEO）などが自己宣言するものであり、毎年提出が求められます。

NYDFS規制の適用対象は？

NYDFSサイバーセキュリティ規制の適用対象となるのは、以下の事業者です。

• DFSのライセンス、登録、認可の下で運営すべき事業者
• その他DFSによって規制されている事業者
• 規制対象事業者にサービスを提供する第三者サービスプロバイダー

NYDFSコンプライアンスとは？

NYDFSは「ニューヨーク州金融サービス局サイバーセキュリティ規制（23 NYCRR 500）」において、金融セクター向けの新たなサイバーセキュリティ要件を確立しました。この規制は、規制対象の金融機関だけでなく、規制に準拠しないサービス提供者にも影響を及ぼします。コンプライアンスを維持するためには、リスク評価、アクセス管理、暗号化、インシデント対応計画などの要件を継続的に満たす必要があります。

NYDFSが監督する主なエンティティ

NYDFSは、金融サービス会社、銀行、保険会社など幅広い事業者を監督しています。具体的には以下が含まれます。

• 銀行・信用組合
• 生命保険会社をはじめとする保険事業者
• 住宅ローン（モーゲージ）関連事業者
• その他の金融サービス会社

研修と監視を定めた規制の重要部分

研修と監視に関する要件は、セクション500 Part Bに規定されています。特にセクション500.14では、すべての従業員に対して定期的なサイバーセキュリティ研修を実施することが義務付けられています。さらに、研修内容はリスク評価で特定されたリスクを反映したものでなければならず、IT担当者にはより高度な専門研修が求められます。

23 NYCRR 500とは何か？

23 NYCRR 500とは、NYDFSが策定した「ニューヨーク州金融サービス局サイバーセキュリティ規制」のことです。金融セクターを対象に、サイバーセキュリティ対策のための新たな要件を定めており、米国でも最も厳格な金融サイバーセキュリティ規制の一つとされています。

コンプライアンス認証の期日

この規制は2017年3月1日に発効しました。対象事業者は発効から180日以内にコンプライアンス対応を完了し、最初の認証を提出する必要がありました。以降も毎年、認証の提出が継続的に求められます。

DFS 500とは？

NY DFS 500は、顧客情報および情報技術（IT）システムを保護するために規制当局が依拠する規制枠組みです。規制対象事業者は、この規制に従うことで、顧客データとITシステムをサイバー攻撃から守ることが求められます。

DFS規制の位置づけ

23 NYCRR 500は、NYDFSが約20年ぶりに発行した包括的なサイバーセキュリティ規制であり、米国初の州レベルの金融サイバーセキュリティ規制としても知られています。

NYDFSサイバーセキュリティ規制の対象者と免除基準

原則として、DFSの認可を受けるすべての金融事業者が規制の対象となります。ただし、以下の基準を満たす小規模事業者は、一部の要件が免除される場合があります。

• 従業員数が10人未満
• 直近3会計年度の年間総収入がそれぞれ500万ドル未満
• 年度末時点の総資産が1,000万ドル未満

免除対象であっても、アクセス特権の制限や多要素認証といった基本要件への準拠は引き続き求められる点に注意が必要です。

DFSサイバー（DFS Cyber）とは？

DFSサイバーセキュリティ規制は、金融組織に対するサイバー犯罪の脅威が高まる中、顧客情報を攻撃者から効果的に保護することを目的として設けられました。金融機関には、脅威の検知から対応、復旧に至るまでの一貫した管理体制の構築が求められます。

ニューヨーク州のサイバーセキュリティ（NYS Cyber Security）とは？

ニューヨーク州では、情報技術サービス局（ITS）の最高情報セキュリティ責任者室（CISO）が、州全体のサイバーセキュリティに関する政策、標準、プログラムを統括しています。その役割は、州の情報インフラを保護し、安全なデジタル環境を維持することです。

まとめ

23 NYCRR 500のコンプライアンス認証は、単なる書類提出ではなく、組類提出ではなく、組織全体のサイバーセキュリティ体制を点検・強化する仕組みです。カバー対象エンティティに該当するかどうかの確認、免除基準の把握、CISOの任命、従業員研修の実施など、要件を一つひとつ整備することが、認証取得への確実な第一歩となります。