Nova orientação do NY DFS sobre MFA: como fechar lacunas comuns antes da próxima auditoria

O Departamento de Serviços Financeiros de Nova York (NY DFS) atualizou suas exigências de autenticação multifator (MFA) sob a regulamentação 23 NYCRR Parte 500, com vigência a partir de novembro de 2025. As entidades cobertas devem implementar MFA para todos os indivíduos que acessam seus sistemas de informação, com exceções limitadas e bem documentadas. O NY DFS esclareceu que SSO isolado não é suficiente, que plataformas de nuvem estão no escopo e que controles compensatórios exigem aprovação escrita do CISO e revisão anual. A autenticação por push é permitida, mas o regulador alerta para riscos como fadiga de MFA e recomenda salvaguardas adicionais. As entidades cobertas têm até 15 de abril de 2026 para certificar sua conformidade junto ao NY DFS.