Dovresti dare un'occhiata a Secure Messaging con S / MIME e OWA su Exchange Server 2007 SP1 Se si desidera crittografare il messaggio. Questa soluzione richiede anche un ulteriore passaggio in quanto gli utenti devono selezionare il pulsante di crittografia (probabilmente non è legale in quanto in qualche modo devi presumere che tutti gli utenti non commetterebbero mai un errore e non crittografere un'e-mail che dovrebbero avere). Altrimenti tutti è necessario assicurarsi che le destinazioni che si desidera inviare le informazioni personali del Massachusetts utilizzino TLS (è necessario disporre di tali informazioni poiché è necessario controllare tutti gli utenti a cui è possibile inviare Mass.PII come da CMR 17.04). Probabilmente dovresti anche scrivere una regola di trasporto che utilizza una regex per cercare PII di massa. Le informazioni personali del Massachusetts sono definite come una combinazione del nome e del cognome di un residente collegato a uno dei seguenti: un numero di patente di guida, un numero di carta di credito o un numero di previdenza sociale.
Fuori tema ma germaine ...
Nota per coloro che leggono questo e pensano che sei fortunato a non vivere in MA, Suprise! Se memorizzi le informazioni personali di un residente del Massachusetts, indipendentemente dal fatto che tu abbia o meno una presenza commerciale nel Massachusetts, sei soggetto alle penalità stabilite in 201 CMR 17.00. che potrebbe costare $ 100 da perdere, con un massimo di $ 50K per "incidente". La MA General Law 93H stabilisce che ci sarà una multa di $ 5.000 per "violazione". Cosa significa esattamente? Non credo che nessuno lo sappia e non lo farà fino a quando qualcuno non ne sarà colpito.
È importante notare che questo non è un argomento facile: ecco il concetto di una discussione tra me e Zypher sulla sua risposta:
io: l'utilizzo di qualsiasi tipo di opzione per l'utente finale ti apre alla responsabilità, a differenza del PCI la legge richiede che tu sia agganciato per eventuali problemi ragionevoli (come l'utente di joe che non utilizza la tecnologia)
Zypher: usando pgp se l'utente non ti fornisce una chiave, non le invii. Fondamentalmente sono costretti a usarlo - in questo caso d'uso - altrimenti A) Non ottengono i dati o B) non possono leggere i dati.
io: come puoi garantire che ogni utente che invia i dati crittograferà ogni email? Proprio come una soluzione SMIME, devi scegliere di crittografare la tua e-mail che non può essere forzata - o mi sto perdendo qualcosa?
Zypher: È abbastanza semplice, se invii un'email contenente informazioni che devono essere crittografate senza crittografarle, il tuo licenziato per causa (secondo la volontà indica che non c'è disoccupazione). Non tutto deve essere una soluzione tecnica. Dalla domanda questo non verrà fatto troppo spesso, quindi una soluzione più coinvolta probabilmente non vale il costo / beneficio. Se avessero bisogno di farlo tutto il giorno ogni giorno, raccomanderei di non usare affatto la posta elettronica e di passare a moduli online su SSL.
io: IANAL - ma sono bloccato ad ascoltarli, la legge afferma efficacemente che deve essere una soluzione tecnica- "ma avevo una politica" è di fatto la prova che uno di quei problemi "ragionevolmente prevedibili" che dovresti mitigare non è stato mitigato. Anche disciplinare i trasgressori fa già parte della legge. Dai un'occhiata a questa discussione informationweek.com/blog/main/archives/2009/02/…
Zypher: In realtà se leggi il 17.03.2.b (qui: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ) Ho una politica e ho formato il mio personale su di essa, oltre ad avere misure disciplinari è in realtà perfettamente difendibile. In effetti, l'unica menzione di una soluzione tecnica è impedire ai dipendenti licenziati di accedere ai record. IAANAL (Anche io non sono un avvocato).
io: - 1,2,3 sono semplicemente cose che dovrebbero essere incluse non soluzioni definitive, 2b è la formulazione specifica che si applica (ho imbrogliato e chiesto a un avvocato). Se devi dire "Posso difenderlo", probabilmente i tribunali ti schiacceranno. Con problemi di conformità devi dimostrare di seguire i regs. I registi dicono specificamente "prevedibile". Se ti alzi in tribunale e dici "bene se qualcuno infrangesse la politica verrebbero licenziati", l'accusa dirà semplicemente "Quindi ammetti di aver previsto un modo per violare questa politica e non hai adottato misure ragionevoli per rimuovere il problema?"
Zypher: Accidenti a te per barare. Bene, ora dobbiamo anche definire ragionevole, ragionevole per la mia azienda (grandi multinazionali con 100.000 dipendenti) non è lo stesso di una mamma e di un negozio pop. Ma su quello stesso punto penso che ci stiamo allontanando troppo dal mandato di domande e risposte del sito ... il che è sfortunato perché questa discussione ha fornito alcune buone intuizioni.
io: è "ragionevolmente prevedibile" non "ragionevolmente sicuro" o addirittura ragionevole da implementare. Ricorda che legalmente, usando rot13 sui nomi delle persone e nient'altro segue lo standard perché è una forma di crittografia. Questa discussione è utile, quindi modificherò la mia risposta per includerla in modo che non sia persa.