NYDFS emite orientações de cibersegurança em resposta a ambiente de ameaças elevadas

O Departamento de Serviços Financeiros de Nova York (NYDFS) publicou, em 21 de maio de 2026, orientações dirigidas a entidades licenciadas sobre medidas de segurança cibernética recomendadas em um contexto de ameaças elevadas. O documento define "ambiente de ameaças elevadas" como aquele em que os riscos cibernéticos estão significativamente ampliados, com alta probabilidade de impacto sobre sistemas de informação, dados não públicos e operações. O NYDFS identificou dois exemplos principais de contextos que caracterizam esse ambiente: eventos geopolíticos que aumentam o risco de ataques cibernéticos e desenvolvimentos tecnológicos como modelos de inteligência artificial de fronteira, capazes de identificar vulnerabilidades de forma autônoma. A orientação foi publicada em conjunto com uma carta setorial que destaca especificamente os riscos associados a modelos de IA avançados, como o Mythos, da Anthropic, que ampliam a velocidade e escala de exploração de vulnerabilidades em sistemas de informação. As medidas recomendadas foram agrupadas em três categorias: redução da superfície de ataque, melhoria da detecção de ameaças e da prontidão, e fortalecimento da resiliência e capacidade de resposta a incidentes. O NYDFS enfatizou que as práticas listadas não representam novos requisitos regulatórios, mas sim um conjunto não exaustivo de melhores práticas que podem ir além dos controles mínimos exigidos pelo regulamento 23 NYCRR Parte 500. Organizações do setor de seguros merecem atenção especial, pois concentram dados altamente sensíveis — como informações de saúde, financeiras e de identidade — em um único registro de cliente, tornando-se alvos prioritários para agentes de ameaças sofisticados. O documento recomenda que as entidades realizem uma avaliação de lacunas imediatamente, sem aguardar o próximo ciclo anual de revisão, dado que o atraso em si representa uma decisão de gestão de risco em um ambiente de ameaças ativo. A governança em nível de conselho administrativo é destacada como essencial, sendo recomendado que os conselhos sejam informados sobre as orientações e as medidas adotadas ou em consideração pela gestão executiva. Além das medidas técnicas, o documento ressalta a importância da documentação das decisões sobre quais práticas adotar e por quê, uma vez que decisões não documentadas de não implementar controles recomendados são muito mais difíceis de justificar perante reguladores.