美国纽约州金融服务局《关于如何开展与使用〈DFS 网络安全法规〉所要求风险评估的指南》（行业函件 IL20260910，2026年9月10日）

【文件信息】 标题：Guidance on How to Conduct and Use Risk Assessments Required by the DFS Cybersecurity Regulation 类型：Industry Letter（行业函件） 发布机关：纽约州金融服务局（New York State Department of Financial Services, DFS） 发布日期：2026年9月10日 收件对象：所有受 DFS 监管的实体（All entities regulated by DFS） 法规依据：纽约州《网络安全法规》（Cybersecurity Regulation，23 NYCRR Part 500） 性质说明：函件载明“本指南不创设新义务”（This Guidance does not create new obligations），旨在澄清既有要求并说明 DFS 认为有效的做法。 官方链接：https://www.dfs.ny.gov/industry_guidance/industry_letters/il20260910-cyber-risk-assessment 【一、所解释的条款】 Part 500 要求受监管实体的网络安全计划“基于”其风险评估，但条例本身未描述何为充分的风险评估。在第二次修正立法（Second Amendment rulemaking）中，DFS 曾删除要求风险评估考虑实体具体情形的拟议条文。本函件涉及的条款包括： - 第500.1条（定义：Covered Entity、Information Systems、NPI、CISO、Risk Assessment、Class A Company、Third-Party Service Provider、Senior Officer、Senior Governing Body 等）； - 第500.2条（网络安全计划须以风险评估为基础，旨在保护信息系统的保密性、完整性与可用性）； - 第500.4(b)(3)条（CISO 须向高级治理机构报告重大网络安全风险）； - 第500.4(d)条（高级治理机构对网络安全计划的监督，含确认已分配充足资源）； - 第500.9(a)条（风险评估须“足以指导”计划设计；至少每年审查更新，并在业务或技术发生重大变化时更新）； - 第500.9(b)条（风险评估书面政策与程序的三项必备内容）； - 第500.13(a)条（须维护准确、最新的资产清单）。 【二、五类常见缺陷（DFS 在检查、调查与访谈中发现）】 1. 资产范围与可见性不完整：资产清单过时或不完整；未识别非公开信息（NPI）的存放位置与流转路径；遗漏关键业务流程、第三方服务提供商、云环境或其他外部依赖。 2. 方法薄弱或不一致：未能一致地识别、分析、排序与记录风险；未评估现有控制措施的有效性；未区分固有风险（inherent risk）与剩余风险（residual risk）。 3. 未考虑不断演变和相互关联的风险：包括新兴技术、威胁态势变化、相互依赖性、集中度风险，以及可能重大影响运营的单点故障。 4. 治理与风险处置不足：未指定责任人；未记录风险应对决策；未把风险评估结果纳入企业治理；或在业务、技术、威胁环境发生重大变化后未更新评估。 5. 未纳入或未指导网络安全计划：导致政策、控制措施与资源决策无法证明是基于实体已识别的网络风险。 与之相对，DFS 认为稳健的计划采用动态、数据驱动的风险评估，纳入企业治理，基于既定且可重复的方法，范围界定适当，记录完善并定期审查。 【三、人工智能／前沿AI模型的定位（本函件最值得关注之处）】 （1）在“范围与覆盖”部分，函件把“人工智能的采用或使用”列为风险评估应当考虑的新兴风险示例，与量子计算进展、软件供应链攻击、勒索软件技术演变、地缘政治冲突引发的国家级网络活动并列。 （2）在“整合与更新”部分，函件明确指出：重大系统迁移、并购、重大外包安排，或网络安全技术的重大发展（例如前沿AI模型），威胁行为者能力的变化，或新兴技术的采用，均可能构成实体网络风险的“重大变化”，从而触发风险评估的更新义务。原文表述为：significant developments in cybersecurity technologies (e.g., frontier AI models)。脚注援引 DFS 另一份函件《与前沿AI模型相关的高度网络安全风险》（2026年5月21日）。 （3）结合 Part 500 第500.17(b)条由首席执行官与 CISO 出具的年度认证要求，在未将AI风险纳入风险评估、第三方管理与培训体系的情况下签署认证，将构成难以抗辩的合规风险。 【四、对受监管实体的五项期望】 1. 治理与监督：维持书面政策与程序，并至少每年经高级管理人员或高级治理机构批准；酌情指定 CISO 或高级管理人员监督风险评估流程；鼓励业务、运营、合规、法律等部门跨职能参与；确保结果传达至高级管理层及（适当时）高级治理机构。 2. 明确且可重复的方法：采用清晰、可重复的方法识别、分析与排序风险；纳入威胁情报、事件趋势分析、漏洞扫描、渗透测试、审计发现等输入；定义可能性与影响的合理估计并采用一致评级标准，使结果可衡量、可跨期比较；同时评估外部与内部威胁，漏洞识别不限于技术弱点，还包括管理控制缺陷、自然灾害、人为因素与第三方依赖。DFS 不强制特定方法论，但许多实体对标 NIST CSF 2.0、Cyber Risk Institute Profile v2.2、ISO 27005:2022 等框架，并须针对自身业务模式调整；第三方风险管理、IT 运营、业务连续性与灾难恢复之间应采用协调一致的风险标准。 3. 范围与覆盖：与实体规模、复杂性、业务活动和技术环境相称并定期审查；覆盖全部资产（硬件、软件、基础设施、人力资本、流程、NPI 等数据），以准确最新的资产清单为基础输入；覆盖新兴风险（AI、量子计算、供应链攻击、勒索软件、地缘政治等）；覆盖第三方与供应链风险（云服务商、托管安全服务商、软件供应商、支付处理商、关联方）；覆盖网络相互依赖与集中度风险，识别单点故障并评估连锁影响。 4. 文档与可追溯性：保存足以证明风险如何被识别、评估与处置的文档，包括方法、所依据数据与结论理由；将每一项已识别风险关联到具体控制或补偿措施，并记录风险接受及其理由与剩余风险考量；风险须在评估、排序、缓解、转移或接受之前被清晰识别与记录；维护风险登记册或类似跟踪机制，记录评估结果、监控整改并跟踪剩余风险变化。 5. 整合与更新：风险评估须融入更广泛的网络安全计划而非独立活动，其结果须用于指导政策、程序、控制措施与测试计划的设计与更新；须“按合理需要”审查更新，至少每年一次，并在业务或技术变化导致网络风险重大变化时更新；鼓励建立持续或定期刷新的评估流程以提升适应性与韧性。 【五、版本信息】 本函件以 HTML 形式发布，页面内并无本函件自身的 PDF 下载链接（页内出现的 PDF 链接为 NIST SP 800-221 等外部参考文献）。因此本记录 pdf_url 填官方函件页地址，localurl 留空。