Exchange Server 2007 SP1'de S / MIME ve OWA ile Güvenli Mesajlaşma'ya göz atmalısınız Mesajı şifrelemek istiyorsanız. Bu çözüm ayrıca, kullanıcıların şifreleme düğmesini seçmeleri gerektiğinden fazladan bir adım gerektirir (bir şekilde tüm kullanıcılarınızın asla bir hata yapamayacağını ve sahip olmaları gereken bir e-postayı şifrelemeyeceğini varsaymanız muhtemelen yasal değildir). yapmanız gereken, Massachusetts PII'yi göndermek istediğiniz hedeflerin TLS kullandığından emin olmaktır (CMR 17.04'e göre Mass.PII'yi gönderebileceğiniz herkesi araştırmanız gerektiği için bu bilgilere sahip olmanız gerekir). Ayrıca Mass PII'yi aramak için normal ifadeyi kullanan bir aktarım kuralı da yazmalısınız. Massachusetts PII, aşağıdakilerden birine bağlı bir mukimin adının ve soyadının bir kombinasyonu olarak tanımlanır: Sürücü ehliyeti numarası, kredi kartı numarası veya Sosyal Güvenlik numarası.
Konu dışı ama germaine ...
Bunu okuyan ve MA, Suprise'da yaşamadığınız için şanslı olduğunuzu düşünenler için not! Massachusetts'te ikamet eden bir kişinin kişisel bilgilerini, Massachusetts'te ticari faaliyetiniz olup olmadığına bakılmaksızın saklarsanız, 201 CMR 17.00'da belirtilen cezalara tabidir. bu da "olay" başına maksimum 50 bin dolarlık kayıpla 100 dolarlık bir kayba mal olabilir. MA 93H Genel Kanunu, "ihlal" başına 5.000 ABD Doları para cezası verileceğini belirtmektedir. Bu tam olarak ne anlama geliyor? Birisi ona çarpana kadar kimsenin bildiğini ve yapmayacağını sanmıyorum.
Bunun kolay bir konu olmadığını belirtmek önemlidir - işte kendim ve Zypher arasında cevabı hakkında bir tartışmanın rızası:
Ben: Herhangi bir son kullanıcı seçeneğini kullanmak sizi yükümlülük altına sokar, PCI'nin aksine yasalar makul sorunlar için kancada olmanızı gerektirir (joe kullanıcısı teknolojiyi kullanmıyor gibi)
Zypher: kullanıcı size bir anahtar vermezse pgp kullanarak onlara göndermezsiniz. Temel olarak kullanmak zorunda kalıyorlar - bu kullanım durumunda - aksi takdirde ya A) Verileri alamıyorlar ya da B) verileri okuyamıyorlar.
ben: verileri gönderen her kullanıcının her e-postayı şifrelemesini nasıl sağlayabilirsiniz? Tıpkı bir SMIME çözümü gibi, e-postanızı şifrelemeyi seçmelisiniz, zorlanamaz - yoksa bir şey mi kaçırıyorum?
Zypher: Şifrelenmeden şifrelenmesi gereken bilgileri içeren bir e-posta gönderirseniz, neden için kovuldunuz (iradenin bunun işsizlik olmadığı anlamına gelir). Her şeyin teknik bir çözüm olması gerekmez. Sorudan bu çok sık yapılmayacak, bu nedenle daha ilgili bir çözüm muhtemelen maliyet / faydaya değmez. Bunu her gün bütün gün yapmaları gerekiyorsa, e-posta kullanmamayı ve SSL üzerinden çevrimiçi formlara geçmeyi savunurdum.
ben: IANAL - ama onları dinlemeye takılıp kaldım, yasa etkili bir şekilde teknik bir çözüm olması gerektiğini söylüyor- "ama bir politikam vardı", bu "makul olarak öngörülebilir" konulardan birinin hafifletmeniz gerektiği gerçeğinin kanıtı hafifletilmedi. Disiplin ihlal edenler de şimdiden yasaların bir parçası. Bu tartışma bilgilerine bir göz atınweek.com/blog/main/archives/2009/ 02/…
Zypher: Aslında 17.03.2.b'yi okuduysanız (burada: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ) Bir politikam var ve insanlarımı eğitmiş olmanın yanı sıra disiplin önlemleri almak da mükemmel bir şekilde savunulabilir. Aslında teknik çözümün tek sözü, feshedilen çalışanların kayıtlara erişmesini önlemek içindir. IAANAL (Ben de Avukat Değilim).
ben: - 1,2,3 basit çözümler kesin çözümler dahil olması beklenen şeylerdir, 2b geçerli özel bir ifadedir (hile ve bir avukat sordum). "Bunu savunabilirim" demek zorunda kalırsanız, mahkemeler muhtemelen sizi ezecektir. Uyumluluk sorunları ile regleri takip ettiğinizi kanıtlamanız gerekir. Regs özellikle "öngörülebilir" diyor. Mahkemede ayağa kalkarsanız ve "birisi kovulacak politikayı bozarsa" kovuşturması basitçe "" Bu politikanın ihlal edilmesi için bir yol öngördüğünüzü ve kaldırılması için makul bir önlem almadığınızı kabul edersiniz. sorun?"
Zypher: Aldattığın için sana lanet olsun. Şimdi de şirketimiz için makul (makul çok büyük w / 100k + çalışanlar) bir anne ve pop dükkanı ile aynı değil makul de tanımlamak zorundayız. Ama aynı şekilde, sitenin Soru-Cevap görevinden çok uzakta olduğumuzu düşünüyorum ... bu talihsiz bir durum çünkü bu tartışma iyi bir fikir verdi.
ben: "makul olarak öngörülebilir" değil "makul derecede güvenli" ve hatta uygulanması makul. Yasal olarak, kişilerin adlarında rot13 kullanmanın ve başka bir şey kullanmanın, bir şifreleme biçimi olan standart nedenden ötürü uygulandığını unutmayın. Bu tartışma faydalıdır, bu yüzden cevabımı içerecek şekilde düzenleyeceğim, böylece kaybolmayacak.