Спробуйте ознайомитись із захищеними повідомленнями за допомогою S / MIME та OWA на Exchange Server 2007 SP1 Якщо ви хочете зашифрувати повідомлення. Це рішення також потребує додаткового кроку, оскільки користувачі повинні вибрати кнопку шифрування (це також, ймовірно, не є законним, оскільки ви хочете якось припустити, що всі ви користувачі ніколи не помилитесь і не зашифруйте електронний лист, який вони повинні мати.) Інакше всі що вам потрібно зробити, це переконатися, що пункти призначення, на які ви хочете відправити Массачусетський PII, використовують TLS (ви повинні мати цю інформацію, оскільки ви повинні ветеринувати всіх, кому ви можете надіслати Mass.PII відповідно до CMR 17.04). Напевно, ви також повинні написати транспортне правило, яке використовує регулярний вираз для пошуку Mass PII. Массачусетс PII визначається як комбінація імені та прізвища резидента, пов’язаного з одним із наступних: Номер посвідчення водія, номер кредитної картки або номер соціального страхування.
Поза темою, але герман ...
Зверніть увагу на тих, хто читає це і думає, що вам пощастило не жити в магістратурі, Супер! Якщо ви зберігаєте особисту інформацію резидента штату Массачусетс, незалежно від того, чи є у вас бізнес-присутність в штаті Массачусетс, ви накладаєте штрафні санкції, встановлені в 201 CMR 17.00. що може коштувати втрачених записів у 100 доларів США, максимум - 50 000 доларів США за “інцидент”. Загальний закон МА 93H зазначає, що за "порушення" буде накладено штраф у розмірі 5000 доларів США. Що саме це означає? Я не думаю, що ніхто не знає і не буде, поки хтось не вдариться з цим.
Важливо зазначити, що це непроста тема - ось наголос дискусії між собою та Зіфером щодо його відповіді:
Я: Використання будь-якого варіанта кінцевого користувача привертає вас до відповідальності, на відміну від PCI, закон вимагає, щоб ви були на гачку для будь-яких розумних питань (наприклад, користувач Джо, який не використовує технологію)
Zypher: використовуючи pgp, якщо користувач не надає вам ключ, ви не надсилаєте їм. В основному вони змушені використовувати його - у цьому випадку використання - інакше вони або A) Не отримують дані, або B) не можуть прочитати дані.
мені: як ви можете гарантувати, що кожен користувач, що надсилає дані, буде шифрувати кожен електронний лист? Подібно до рішення SMIME, ви повинні вибрати, щоб зашифрувати свою електронну пошту, її не можна примусово - чи я щось пропускаю?
Zypher: Це досить просто, якщо ви надсилаєте електронний лист, що містить інформацію, яку потрібно зашифрувати, не шифруючи її, вас звільняють з причини (за бажанням це означає, що безробіття). Не все має бути технічним рішенням. З питання це не буде робити занадто часто, тому більш задіяне рішення, ймовірно, не вартує витрат / вигод. Якщо їм потрібно робити це цілий день щодня, я б рекомендував взагалі не використовувати електронну пошту та переходити до онлайн-форм через SSL.
я: IANAL - але я застряг, слухаючи їх, закон дієво стверджує, що він повинен бути технічним рішенням - "але у мене була політика" - це фактично свідчення того, що одне з тих "розумно передбачуваних" питань, які ви повинні пом'якшити не було пом’якшено. Дисциплінація порушників також є частиною закону. Погляньте на цю дискусію informationweek.com/blog/main/archives/2009/02/…
Zypher: Насправді, якщо ви читаєте 17.03.2.b (тут: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ), я маю політику і навчив своїх людей щодо неї, а також наявність дисциплінарних заходів насправді ідеально захищає. Насправді єдине згадування про технічне рішення - це запобігання доступу звільнених працівників до записів. IAANAL (Я теж не юрист).
я: - 1,2,3 - це просто речі, які, як очікується, будуть включені не остаточні рішення, 2b - це конкретна редакція, яка застосовується (я обманув і запитав юриста). Якщо ви повинні сказати "я можу це захистити", суди, ймовірно, розчавлять вас. Що стосується питань відповідності, ви повинні довести, що ви дотримуєтесь реєстрації. У регіонах спеціально сказано "передбачувано". Якщо ви стоїте перед судом і скажете "добре, якщо хтось порушив політику, його звільнять", обвинувачення просто скаже "Отже, ви визнаєте, що ви передбачили спосіб порушення цієї політики, і не вживали жодних розумних заходів для усунення питання?"
Зіфер: Чорт за те, що обманював. Ну а тепер ми маємо визначити розумне, а розумне для моєї компанії (велика багатонаціональна з 100 к.с. + співробітників) не те саме, що для мами та поп-магазину. Але з цього ж питання я думаю, що ми занадто далеко відмовляємось від мандату питання щодо питань і відповідей ... що дуже прикро, оскільки ця дискусія дала хорошу думку.
я: це "розумно передбачувано", не "розумно безпечно" або навіть розумно реалізувати. Пам'ятайте, що юридично, використовуючи rot13 для імен осіб, і більше нічого не слід типовим чином, оскільки це форма шифрування. Ця дискусія корисна, тому я відредагую свою відповідь, щоб включити її, щоб вона не була втрачена.