Powinieneś rzucić okiem na Bezpieczne przesyłanie wiadomości za pomocą S / MIME i OWA na Exchange Server 2007 SP1 Jeśli chcesz zaszyfrować wiadomość. To rozwiązanie wymaga również dodatkowego kroku, ponieważ użytkownicy muszą wybrać przycisk szyfrowania (prawdopodobnie nie jest to również legalne, ponieważ trzeba w jakiś sposób założyć, że wszyscy użytkownicy nigdy nie popełnią błędu i nie zaszyfrują wiadomości e-mail, którą powinni mieć). W przeciwnym razie wszystkie musisz upewnić się, że miejsca docelowe, które chcesz wysłać Massachusetts PII, korzystają z TLS (musisz mieć te informacje, ponieważ musisz zweryfikować wszystkich, do których możesz wysłać Mass.PII zgodnie z CMR 17.04). Prawdopodobnie powinieneś także napisać regułę transportu, która używa wyrażenia regularnego do wyszukiwania Mass PII. Massachusetts PII definiuje się jako kombinację imienia i nazwiska rezydenta połączoną z jednym z następujących elementów: numer prawa jazdy, numer karty kredytowej lub numer ubezpieczenia społecznego.
Nie na temat, ale Germaine ...
Uwaga dla tych, którzy to czytają i myślą, że masz szczęście nie mieszkać w MA, niespodzianka! Jeśli przechowujesz dane osobowe rezydenta stanu Massachusetts, niezależnie od tego, czy jesteś obecny w Massachusetts, czy nie, podlegasz karom określonym w 201 CMR 17.00. co może kosztować utratę rekordu o wartości 100 USD, przy maksymalnie 50 000 USD na „zdarzenie”. MA General Law 93H stwierdza, że za „naruszenie” będzie nałożona grzywna w wysokości 5000 $. Co to dokładnie znaczy? Nie sądzę, żeby ktokolwiek wiedział i nie wiedział, dopóki ktoś nie zostanie nim trafiony.
Należy zauważyć, że nie jest to łatwy temat - oto treść dyskusji między mną a Zypherem na temat jego odpowiedzi:
ja: Korzystanie z jakiejkolwiek opcji użytkownika końcowego wiąże się z odpowiedzialnością, w przeciwieństwie do PCI prawo wymaga, abyś podchodził do wszelkich uzasadnionych problemów (np. Joe nie korzysta z technologii)
Zypher: używając pgp, jeśli użytkownik nie daje ci klucza, nie wysyłasz do niego. Zasadniczo są zmuszeni do korzystania z niego - w tym przypadku użycia - w przeciwnym razie albo A) nie otrzymają danych, albo B) nie będą w stanie odczytać danych.
ja: w jaki sposób możesz zagwarantować, że każdy użytkownik wysyłający dane zaszyfruje każdy e-mail? Podobnie jak rozwiązanie SMIME, musisz zaszyfrować swój e-mail, nie można go wymusić - czy coś mi brakuje?
Zypher: To dość proste, jeśli wysyłasz wiadomość e-mail zawierającą informacje, które muszą zostać zaszyfrowane bez szyfrowania, twój zwolniony z powodu (w stanie woli oznacza to brak bezrobocia). Nie wszystko musi być rozwiązaniem technicznym. Z pytania nie wynika to zbyt często, więc bardziej zaangażowane rozwiązanie prawdopodobnie nie jest warte kosztów / korzyści. Gdyby musieli to robić codziennie przez cały dzień, radziłbym w ogóle nie korzystać z poczty elektronicznej i przechodzić do formularzy online za pośrednictwem protokołu SSL.
ja: IANAL - ale utknąłem przy nich, prawo skutecznie stwierdza, że musi to być rozwiązanie techniczne - „ale miałem politykę” to de facto dowód na to, że jedną z tych „racjonalnie przewidywalnych” kwestii, które należy złagodzić nie zostało złagodzone. Dyscyplina naruszających prawo jest już częścią prawa. Spójrz na tę dyskusję informationweek.com/blog/main/archives/2009/02/...
Zypher: Właściwie, jeśli czytasz 17.03.2.b (tutaj: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ) Mam politykę i przeszkoliłem moich ludzi w tym zakresie, a środki dyscyplinarne są w rzeczywistości całkowicie obronne. W rzeczywistości jedyną wzmianką o rozwiązaniu technicznym jest uniemożliwienie zwolnionym pracownikom dostępu do akt. IAANAL (ja też nie jestem prawnikiem).
ja: - 1,2,3 to po prostu rzeczy, które należy uwzględnić, a nie ostateczne rozwiązania, 2b to konkretne sformułowanie, które ma zastosowanie (oszukałem i poprosiłem prawnika). Jeśli musisz powiedzieć „mogę to obronić”, sądy prawdopodobnie cię zmiażdżą. W przypadku problemów ze zgodnością musisz udowodnić, że przestrzegasz zasad. Regy wyraźnie mówią „przewidywalne”. Jeśli staniesz w sądzie i powiesz „dobrze, jeśli ktoś złamie polisę, zostanie zwolniony”, oskarżenie po prostu powie „Więc przyznajesz, że przewidziałeś sposób na złamanie tej polityki i nie podjąłeś żadnych rozsądnych kroków w celu usunięcia problem?"
Zypher: Niech cię szlag za oszustwo. Cóż, teraz musimy zdefiniować również rozsądny, rozsądny dla mojej firmy (duży międzynarodowy w / 100k + pracowników) to nie to samo, co dla mamy i sklepu pop. Ale z tego samego powodu wydaje mi się, że zbyt daleko nam się od mandatu Q&A strony ... co jest niefortunne, ponieważ ta dyskusja zapewniła dobry wgląd.
ja: jest „racjonalnie przewidywalny”, nie „racjonalnie bezpieczny” lub nawet rozsądny do wdrożenia. Pamiętaj, że zgodnie z prawem używanie rot13 na nazwiskach osób i nic więcej nie jest zgodne ze standardowym, ponieważ jest to forma szyfrowania. Ta dyskusja jest przydatna, więc zmienię swoją odpowiedź, aby ją uwzględnić, aby nie została zgubiona.