मई 2017 में, न्यूयॉर्क स्टेट डिपार्टमेंट ऑफ फाइनेंशियल सर्विसेज (NYDFS) ने 23 NYCRR पार्ट 500 जारी किया, एक नया साइबर सुरक्षा नियम। यह विनियमन अब पूरी तरह से प्रभावी है, लेकिन वास्तव में यह क्या है यह स्पष्ट नहीं हो सकता है।
अपनी घोषणा के बाद से, आवश्यकताओं के इस सेट में कुछ बदलाव हुए हैं, और इसकी कानूनी भाषा अस्पष्ट हो सकती है। NYDFS साइबर सुरक्षा विनियमन क्या है, और यह आपको कैसे प्रभावित करता है? आइए करीब से देखें।
NYDFS का साइबर सुरक्षा विनियमन क्या है?
NYDFS साइबर सुरक्षा विनियमन न्यूयॉर्क में वित्तीय सेवाओं के लिए सुरक्षा आवश्यकताओं को सूचीबद्ध करता है। यूरोप के जनरल डेटा प्रोटेक्शन रेगुलेशन (GDPR) की तरह, ये नियम कंपनियों को एक विशिष्ट मानक पर रखकर नागरिकों के डेटा की रक्षा करने का लक्ष्य रखते हैं। इस मामले में, ये मानक ज्यादातर NIST साइबर सुरक्षा फ्रेमवर्क से आते हैं।
इन विनियमों के तहत, न्यूयॉर्क की वित्तीय कंपनियों को:
- समय-समय पर अपने IT सिस्टम की सुरक्षा और डेटा गोपनीयता की समीक्षा करनी होगी।
- साइबर सुरक्षा घटनाओं को रिकॉर्ड करना होगा और इन रिकॉर्ड को पांच साल तक रखना होगा।
- व्यक्तिगत जानकारी को सुरक्षित रूप से हटाने के लिए नीतियां और प्रक्रियाएं होनी चाहिए जिनकी उन्हें अब आवश्यकता नहीं है।
- व्यक्तिगत पहचान योग्य जानकारी (PII) तक पहुंच सीमित करनी होगी और नियमित रूप से इन विशेषाधिकारों की समीक्षा करनी होगी।
- साइबर सुरक्षा घटनाओं की खोज, प्रतिक्रिया, और पुनर्प्राप्ति के बारे में एक विस्तृत लिखित योजना होनी चाहिए।
- साइबर सुरक्षा घटना के 72 घंटे के भीतर NYDFS को सूचित करना होगा।
कुछ समान कानूनों के विपरीत, NYDFS साइबर सुरक्षा विनियमन में इस बारे में विस्तृत निर्देश शामिल हैं कि इन सुरक्षा और रिपोर्टिंग योजनाओं में क्या शामिल होना चाहिए। यह कंपनियों को यह सुनिश्चित करने की भी आवश्यकता है कि उनके थर्ड पार्टी सुरक्षित हैं, न कि केवल उनके आंतरिक संचालन।
ये आवश्यकताएं इस विनियमन को किसी भी राज्य के सबसे व्यापक और सख्त में से एक बनाती हैं। व्यवसाय जो इनका उल्लंघन करते हैं, उन्हें भारी जुर्माना का सामना करना पड़ सकता है, लेकिन दंड की पूरी सीमा अभी भी स्पष्ट नहीं है।
NYDFS साइबर सुरक्षा विनियमन किस पर लागू होता है?
NYDFS साइबर सुरक्षा विनियमन किसी भी व्यक्ति या इकाई पर लागू होता है जिसे NYDFS से लाइसेंस की आवश्यकता होती है। इसमें न्यूयॉर्क में वित्तीय और बीमा कंपनियां शामिल हैं, जिनमें शामिल हैं:
- बैंक।
- क्रेडिट यूनियन।
- निवेश कंपनियां।
- लाइसेंस प्राप्त ऋणदाता।
- बंधक दलाल।
- बीमा प्रदाता।
- बचत और ऋण संघ।
ये कवर्ड एंटिटीज स्थानीय व्यवसाय और विदेशी कंपनियां शामिल हैं जो न्यूयॉर्क में काम करने के लिए लाइसेंस प्राप्त हैं। उदाहरण के लिए, भले ही डॉयचे बैंक एक जर्मन कंपनी है, इसे 23 NYCRR पार्ट 500 का पालन करना होगा क्योंकि यह न्यूयॉर्क शहर में संचालित होता है।
इस सूची में कुछ अपवाद हैं। 10 से कम कर्मचारियों वाली कंपनियां, पिछले तीन वर्षों में न्यूयॉर्क से $5 मिलियन से कम वार्षिक राजस्व, या साल के अंत में $10 मिलियन से कम कुल संपत्ति वाली कंपनियां छूट प्राप्त हैं। ऐसे व्यवसाय भी हैं जो निजी जानकारी स्टोर या प्रोसेस नहीं करते, लेकिन यह वित्तीय सेवा कंपनी के लिए असंभव है।
साइबर सुरक्षा विनियमन आपके लिए क्या मायने रखता है?
यदि आप न्यूयॉर्क राज्य में रहते हैं या बैंकिंग करते हैं, तो आपका संस्थान शायद इन विनियमों के अंतर्गत आता है। भले ही आप न हों, NYDFS साइबर सुरक्षा विनियमन अभी भी आपके बैंक पर लागू हो सकता है। यदि इसकी राज्य में एक शाखा संचालित होती है और वित्तीय आवश्यकताओं को पूरा करती है, तो इसका पालन करना होगा।
बैंक के ग्राहक के रूप में, आपको इन आवश्यकताओं के तहत कोई कदम उठाने की आवश्यकता नहीं है। आप अपने वित्तीय संस्थान या बीमाकर्ता के संचालन के तरीके में कुछ बदलाव देख सकते हैं, हालांकि। आपको मल्टी-फैक्टर ऑथेंटिकेशन (MFA) जैसे अतिरिक्त सुरक्षा चरणों का उपयोग करना पड़ सकता है या इन कंपनियों द्वारा अपने साइबर सुरक्षा उपायों में सुधार के रूप में अपनी अनुमतियों को एडजस्ट करना पड़ सकता है।
NIST साइबर सुरक्षा फ्रेमवर्क, जिसने इन नियमों को प्रेरित किया, में समय पर सूचना साझाकरण शामिल है, जो आपको प्रभावित कर सकता है। यदि आपके बैंक या बीमाकर्ता में कोई घटना होती है, तो उन्हें आपको सूचित करना पड़ सकता है। आपको संभवतः प्रतिक्रिया में कुछ भी करने की आवश्यकता नहीं होगी, लेकिन आप इस प्रकार के संदेश प्राप्त करने की उम्मीद कर सकते हैं।
भले ही 23 NYCRR पार्ट 500 के तहत आपका कोई कानूनी दायित्व न हो, अपनी वित्तीय जानकारी के साथ सावधान रहना सबसे अच्छा है। हमेशा अद्वितीय, मजबूत पासवर्ड का उपयोग करें, जब संभव हो MFA सक्षम करें, और कभी भी PII को अज्ञात स्रोत को न दें। इन विनियमों की सख्ती इस बात पर प्रकाश डालती है कि ये मुद्दे कितने महत्वपूर्ण हैं, इसलिए सावधानी बरतें।
सरकारें साइबर सुरक्षा को अधिक गंभीरता से ले रही हैं
NYDFS साइबर सुरक्षा विनियमन स्थानीय सरकारों द्वारा साइबर सुरक्षा कानून जारी करने के कई हालिया उदाहरणों में से एक है। जैसे-जैसे डिजिटल उपकरण रोजमर्रा की जिंदगी में तेजी से आम होते जा रहे हैं, ये नियम केवल बढ़ेंगे।
उपभोक्ताओं और व्यवसायों को समान रूप से इन विनियमों के बारे में अपडेट रहना चाहिए ताकि यह सुनिश्चित हो सके कि वे अनुपालन कर रहे हैं। ये परिवर्तन पहले चीजों को जटिल लग सकते हैं, लेकिन वे बेहतर सुरक्षा की दिशा में एक आवश्यक कदम हैं।
