Вы должны взглянуть на Безопасный обмен сообщениями с S / MIME и OWA на Exchange Server 2007 SP1 Если вы хотите зашифровать сообщение. Это решение также требует дополнительного шага, так как пользователи должны выбрать кнопку шифрования (это также, вероятно, не законно, так как вы должны каким-то образом предполагать, что все вы, пользователи, никогда не совершите ошибку, и не шифровать электронную почту, которую они должны иметь.) В противном случае все вам нужно убедиться, что адресаты, которые вы хотите отправить из Массачусетса PII, используют TLS (вы должны иметь эту информацию, поскольку вы должны проверить всех, кому вы можете отправить Mass.PII, согласно CMR 17.04). Возможно, вам также следует написать правило транспорта, которое использует регулярное выражение для поиска Mass PII. Массачусетский PII определяется как комбинация имени и фамилии резидента, связанных с одним из следующих: номер водительского удостоверения, номер кредитной карты или номер социального страхования.
Не по теме, но зародыш ...
Примечание для тех, кто читает это и думает, что вам повезло, что вы не живете в МА, Сюрприз! Если вы храните личную информацию резидента Массачусетса, независимо от того, ведете ли вы бизнес в Массачусетсе или нет, вы будете подвергнуты штрафам, установленным в 201 CMR 17.00. что может стоить 100 долларов потерянной записи, максимум 50 тысяч долларов за «инцидент». Общий закон 93H МА гласит, что за «нарушение» будет наложен штраф в размере 5000 долларов США. Что именно это значит? Я не думаю, что кто-то знает, и не будет, пока кто-то не ударит его.
Важно отметить, что это нелегкая тема - вот предмет обсуждения между мной и Зайфером его ответа:
Я: Использование любого варианта для конечного пользователя открывает перед вами ответственность, в отличие от PCI, закон требует, чтобы вы были готовы к любым разумным вопросам (например, к тому, что пользователь не использует технологию)
Zypher: использование pgp, если пользователь не дает вам ключ, вы не отправляете ему. По сути, они вынуждены использовать его - в этом случае - иначе они либо А) не получают данные, либо Б) не могут прочитать данные.
я: как вы можете гарантировать, что каждый пользователь, отправляющий данные, будет шифровать каждое письмо? Точно так же, как решение SMIME, вы должны выбрать шифрование электронной почты, оно не может быть взломано - или я что-то упустил?
Zypher: Это довольно просто, если вы отправляете электронное письмо, содержащее информацию, которая должна быть зашифрована без шифрования, ваше увольнение по причине (по желанию это означает отсутствие безработицы). Не все должно быть техническим решением. Судя по этому вопросу, это не будет сделано слишком часто, поэтому более сложное решение, вероятно, не стоит затрат / выгод. Если бы им нужно было делать это каждый день каждый день, я бы рекомендовал вообще не использовать электронную почту и переходить на онлайн-формы через SSL.
я: IANAL - но я застрял, слушая их, закон эффективно заявляет, что это должно быть техническое решение - «но у меня была политика» - это фактическое доказательство того, что один из тех «разумно предсказуемых» вопросов, которые вы должны смягчить не был смягчен Дисциплинирование нарушителей также является частью закона. Посмотрите на это обсуждение informationweek.com/blog/main/archives/2009/02/…
Zypher: На самом деле, если вы прочитаете 17.03.2.b (здесь: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ), у меня есть политика и я обучаю ее своим людям, а также принятие дисциплинарных мер на самом деле совершенно оправданно. Фактически, единственное упоминание о техническом решении заключается в том, чтобы запретить уволенным сотрудникам доступ к записям. ЯАНАЛ (я тоже не юрист).
я: - 1,2,3 - это просто вещи, которые, как ожидается, будут включены, а не окончательные решения, 2b - это конкретная формулировка, которая применяется (я обманул и спросил адвоката). Если вы скажете: «Я могу защитить это», суды, вероятно, сокрушат вас. С вопросами соблюдения вы должны доказать, что вы следуете правилам. Регы специально говорят «предсказуемо». Если вы встанете в суде и скажете «хорошо, если кто-то нарушит политику, его уволят», обвинение просто скажет: «Итак, вы признаете, что предвидели способ нарушения этой политики и не предприняли разумных мер для удаления проблема?"
Zypher: Будь ты проклят за мошенничество. Что ж, теперь мы должны определить разумное, а также разумное для моей компании (большая многонациональная ж / 100 тыс. + Сотрудников) не то же самое, что и для мамы и поп-шопа. Но в том же духе я думаю, что мы слишком далеки от мандата сайта на вопросы и ответы ... что вызывает сожаление, потому что это обсуждение дало некоторое хорошее представление.
я: это «разумно предсказуемо», а не «разумно безопасно» или даже разумно реализовать. Помните, что по закону использование rot13 в именах людей и ничего более не следует стандартному, потому что это форма шифрования. Это обсуждение полезно, поэтому я отредактирую свой ответ, чтобы включить его, чтобы он не пропал.