Anda harus melihat Secure Messaging dengan S / MIME dan OWA di Exchange Server 2007 SP1 Jika Anda ingin mengenkripsi pesan. Solusi ini juga memerlukan langkah ekstra karena pengguna harus memilih tombol enkripsi (mungkin juga tidak sah karena Anda harus mengasumsikan bahwa Anda semua pengguna tidak akan pernah melakukan kesalahan dan tidak mengenkripsi email yang seharusnya mereka miliki.) Jika tidak semua Yang perlu Anda lakukan adalah memastikan bahwa tujuan yang ingin Anda kirim Massachusetts PII menggunakan TLS (Anda harus memiliki informasi itu karena Anda harus memeriksa semua orang yang mungkin Anda kirimi Mass.PII sesuai CMR 17.04). Anda mungkin juga harus menulis aturan transport yang menggunakan regex untuk mencari Mass PII. Massachusetts PII didefinisikan sebagai kombinasi dari nama depan dan belakang penduduk yang terhubung dengan salah satu dari yang berikut: Nomor SIM, nomor kartu kredit, atau nomor Jaminan Sosial.
Di luar topik, tetapi germaine ...
Catatan untuk mereka yang membaca ini dan berpikir Anda beruntung tidak tinggal di MA, Kejutan! Jika Anda menyimpan informasi pribadi seorang penduduk Massachusetts, terlepas dari apakah Anda memiliki bisnis atau tidak di Massachusetts, Anda akan dikenakan hukuman yang ditetapkan dalam 201 CMR 17,00. yang bisa menelan biaya $ 100 catatan hilang, dengan maksimum $ 50K per "insiden". MA General Law 93H menyatakan bahwa akan ada denda $ 5.000 per "pelanggaran." Apa sebenarnya artinya itu? Saya tidak berpikir ada yang tahu dan tidak akan sampai seseorang terkena dengan itu.
Penting untuk dicatat bahwa ini bukan topik yang mudah - di sini adalah persetujuan dari diskusi antara saya dan Zypher tentang jawabannya:
saya: Menggunakan segala jenis opsi pengguna akhir memberi Anda tanggung jawab, tidak seperti PCI, undang-undang mengharuskan Anda untuk mengatasi segala masalah yang masuk akal (seperti pengguna joe yang tidak menggunakan teknologi)
Zypher: menggunakan pgp jika pengguna tidak memberi Anda kunci, Anda tidak mengirimnya. Pada dasarnya mereka terpaksa menggunakannya - dalam kasus penggunaan ini - jika tidak mereka A) Jangan mendapatkan data atau B) tidak dapat membaca data.
saya: bagaimana Anda bisa memastikan bahwa setiap pengguna yang mengirim data akan mengenkripsi setiap email? Sama seperti solusi SMIME Anda harus memilih untuk mengenkripsi email Anda yang tidak dapat dipaksakan - atau apakah saya melewatkan sesuatu?
Zypher: Ini cukup sederhana, jika Anda mengirim email yang berisi informasi yang perlu dienkripsi tanpa mengenkripsi, Anda dipecat karena alasan (di akan menyatakan ini berarti tidak ada pengangguran). Tidak semuanya perlu menjadi solusi teknis. Dari pertanyaan ini tidak akan dilakukan terlalu sering sehingga solusi yang lebih terlibat mungkin tidak sebanding dengan biaya / manfaatnya. Jika mereka perlu melakukan ini sepanjang hari setiap hari saya akan menganjurkan tidak menggunakan email sama sekali, dan pindah ke formulir online melalui SSL.
saya: IANAL - tetapi saya terjebak mendengarkan mereka, undang-undang ini secara efektif menyatakan itu harus menjadi solusi teknis- "tapi saya punya kebijakan" adalah bukti de facto bahwa salah satu dari masalah "yang dapat diperkirakan" yang seharusnya Anda mitigasi tidak diredakan. Pelanggar disiplin juga sudah menjadi bagian dari hukum. Lihatlah diskusi ini, informationweek.com/blog/main/archives/2009/02/…
Zypher: Sebenarnya jika Anda membaca 17.03.2.b (di sini: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ) Saya memiliki kebijakan dan melatih orang-orang saya mengenai hal itu, serta memiliki langkah-langkah disiplin sebenarnya dapat dipertahankan. Bahkan satu-satunya penyebutan solusi teknis adalah untuk mencegah karyawan yang diberhentikan mengakses catatan. IAANAL (Saya Juga Bukan Pengacara).
saya: - 1,2,3 hanyalah hal-hal yang diharapkan untuk dimasukkan bukan solusi definitif, 2b adalah kata-kata spesifik yang berlaku (saya menipu dan bertanya kepada pengacara). Jika Anda harus mengatakan "Saya bisa membela itu" pengadilan mungkin akan menghancurkan Anda. Dengan masalah kepatuhan Anda harus membuktikan bahwa Anda mengikuti regs. Regs secara khusus mengatakan "dapat diduga". Jika Anda berdiri di pengadilan dan mengatakan "baik jika seseorang melanggar kebijakan mereka akan dipecat" penuntutan hanya akan mengatakan "Jadi, Anda mengakui bahwa Anda meramalkan cara untuk kebijakan ini dilanggar, dan tidak mengambil langkah-langkah yang wajar untuk menghapus masalah?"
Zypher: Sialan kau karena selingkuh. Nah sekarang kita harus mendefinisikan yang masuk akal juga, masuk akal untuk perusahaan saya (besar multi-nasional w / 100k + karyawan) tidak sama dengan ibu dan toko pop. Tetapi pada token yang sama saya pikir kita terlalu jauh dari mandat Tanya Jawab situs ... yang sangat disayangkan karena diskusi ini telah memberikan beberapa wawasan yang baik.
saya: itu "cukup dapat diduga" tidak "cukup aman" atau bahkan masuk akal untuk diterapkan. Ingatlah bahwa secara hukum, menggunakan rot13 pada nama orang dan tidak ada yang lain mengikuti standar karena itu adalah bentuk enkripsi. Diskusi ini bermanfaat jadi saya akan mengedit jawaban saya untuk memasukkannya sehingga tidak hilang.