NYS DFS เปิดตัวแนวทางด้านความปลอดภัยทางไซเบอร์ฉบับปรับปรุงสำหรับการประเมินความเสี่ยง

กรมบริการทางการเงินแห่งรัฐนิวยอร์ก (NYS DFS) ได้เผยแพร่แนวทางด้านความปลอดภัยทางไซเบอร์ฉบับใหม่ เพื่อสร้างความชัดเจนเกี่ยวกับสิ่งที่คาดหวังจากสถาบันการเงินที่อยู่ภายใต้การกำกับดูแล คำสั่งกำกับดูแลฉบับใหม่นี้มุ่งเน้นไปที่กรอบการทำงานด้านการประเมินความเสี่ยง โดยกำหนดให้องค์กรที่อยู่ภายใต้การกำกับดูแลต้องรักษาโปรแกรมการประเมินที่มีความคล่องตัว ครอบคลุม และได้รับการสนับสนุนจากผู้บริหารระดับสูง เพื่อป้องกันภัยคุกคามทางดิจิทัลในยุคปัจจุบัน

การเสริมสร้างธรรมาภิบาลและขอบเขตความเสี่ยง

แนวทางดังกล่าวเน้นย้ำว่าการปฏิบัติตาม Part 500 นั้น การประเมินความเสี่ยงจะต้องเป็นมากกว่าแค่รายการตรวจสอบประจำปีแบบคงที่ NYS DFS เน้นย้ำว่าการประเมินความเสี่ยงจะต้องเป็นข้อมูลที่สะท้อนกลยุทธ์ด้านความปลอดภัยทางไซเบอร์ในภาพรวมได้อย่างแม่นยำ เพื่อใช้กำหนดการจัดสรรทรัพยากร การเสริมความแข็งแกร่งด้านสถาปัตยกรรม และการปรับใช้ระบบควบคุม จุดเน้นที่สำคัญรวมถึงการขยายขอบเขตการดำเนินงานให้ครอบคลุมถึงความสัมพันธ์กับบุคคลที่สาม (third-party dependencies) การเชื่อมต่อ API สภาพแวดล้อมบนคลาวด์ และข้อมูลภัยคุกคามที่เกิดขึ้นใหม่ (emerging threat intelligence)

นอกจากนี้ การกำกับดูแลโดยฝ่ายบริหารยังถือเป็นประเด็นสำคัญที่ถูกหยิบยกขึ้นมา โดยหน่วยงานกำกับดูแลคาดหวังให้ผู้นำระดับสูงและคณะกรรมการบริษัทได้รับข้อมูลผลการประเมินที่ละเอียด เพื่อให้แน่ใจว่าแผนงานด้านความปลอดภัยจะสะท้อนถึงความเสี่ยงในการดำเนินงานจริง องค์กรต่างๆ ได้รับคำแนะนำให้ทำการประเมินซ้ำทุกครั้งที่มีการเปลี่ยนแปลงสภาพแวดล้อมอย่างมีนัยสำคัญ รวมถึงการทำ digital transformation การควบรวมกิจการขนาดใหญ่ หรือการปรับปรุงโครงสร้างพื้นฐาน

ขั้นตอนสำหรับองค์กรการเงินในการปฏิบัติตามแนวทางของ NYS DFS

องค์กรการเงินที่อยู่ภายใต้เขตอำนาจของ NYS DFS หรือองค์กรที่มุ่งมั่นจะปฏิบัติตามมาตรฐานระดับสากลควรดำเนินการตามขั้นตอนเชิงกลยุทธ์ดังต่อไปนี้:

• ดำเนินการจัดทำบัญชีทรัพย์สินที่ครอบคลุม: รักษาบัญชีรายการฮาร์ดแวร์ ซอฟต์แวร์ บริการจากบุคคลที่สาม และการไหลของข้อมูลให้เป็นปัจจุบันอยู่เสมอ เพื่อให้แน่ใจว่าไม่มีจุดบอดในระหว่างการทำ threat modeling
• กำหนดเงื่อนไขในการทบทวนความเสี่ยงเชิงรุก: นำนโยบายที่กำหนดให้ต้องมีการประเมินความเสี่ยงในการดำเนินงานซ้ำภายหลังจากการเปลี่ยนแปลงทางสถาปัตยกรรมครั้งใหญ่มาใช้ แทนที่จะพึ่งพาเพียงรอบการตรวจสอบประจำปีเท่านั้น
• ทำให้การจัดการความเสี่ยงจากบุคคลที่สาม (TPRM) เป็นทางการ: รวมโปรโตคอลการประเมินผู้ให้บริการที่เข้มงวดเพื่อประเมินความเสี่ยงด้านความปลอดภัยในห่วงโซ่อุปทานและการเปิดเผยข้อมูลรับรองร่วมกัน (shared credential exposures)
• บูรณาการการประเมินเข้ากับการรายงานต่อฝ่ายบริหาร: นำเสนอตัวชี้วัดความเสี่ยงด้านความปลอดภัยทางไซเบอร์ที่ชัดเจนและวัดผลได้ต่อฝ่ายบริหารและคณะกรรมการตรวจสอบ เพื่อจัดสรรงบประมาณเชิงกลยุทธ์ให้สอดคล้องกับช่องโหว่ด้านการป้องกันที่ตรวจพบ

---

แหล่งที่มา: DataBreaches.net เผยแพร่ครั้งแรก: Sat, 12 Sep 2026 22:15:40 +0000 บทความต้นฉบับ: อ่านต้นฉบับ