Vous devriez jeter un œil à la messagerie sécurisée avec S / MIME et OWA sur Exchange Server 2007 SP1 Si vous souhaitez crypter le message. Cette solution nécessite également une étape supplémentaire car les utilisateurs doivent sélectionner le bouton de cryptage (ce n'est probablement pas légal non plus, car vous devez supposer d'une manière ou d'une autre que vous ne feriez jamais d'erreur et ne crypteriez pas un e-mail qu'ils devraient avoir.) Sinon, tous vous devez faire est de vous assurer que les destinations que vous souhaitez envoyer Massachusetts PII utilisent TLS (vous devez disposer de ces informations car vous devez vérifier tous ceux à qui vous pourriez envoyer Mass.PII selon CMR 17.04). Vous devriez également probablement écrire une règle de transport qui utilise une expression régulière pour rechercher des informations personnelles de masse. Le Massachusetts PII est défini comme une combinaison du nom et du prénom d'un résident connecté à l'un des éléments suivants: un numéro de permis de conduire, un numéro de carte de crédit ou un numéro de sécurité sociale.
Hors sujet mais germaine ...
Remarque pour ceux qui lisent ceci et pensent que vous avez de la chance de ne pas vivre à MA, surprise! Si vous stockez les informations personnelles d'un résident du Massachusetts, que vous ayez ou non une présence commerciale dans le Massachusetts, vous êtes passible des sanctions prévues à 201 CMR 17.00. qui pourrait coûter 100 $ de records perdus, avec un maximum de 50 000 $ par "incident". La loi générale 93H de la MA stipule qu'il y aura une amende de 5 000 $ par "violation". Que veut dire ceci exactement? Je ne pense pas que quiconque le sache et ne le sache pas jusqu'à ce que quelqu'un en soit atteint.
Il est important de noter que ce n'est pas un sujet facile - voici le contenu d'une discussion entre moi et Zypher sur sa réponse:
moi: L'utilisation de toute sorte d'option d'utilisateur final vous expose à la responsabilité, contrairement à PCI, la loi exige que vous soyez sur le crochet pour tout problème raisonnable (comme l'utilisateur joe n'utilisant pas la technologie)
Zypher: utiliser pgp si l'utilisateur ne vous donne pas de clé, vous ne lui envoyez pas. Fondamentalement, ils sont obligés de l'utiliser - dans ce cas d'utilisation - sinon ils A) ne reçoivent pas les données ou B) ne peuvent pas lire les données.
moi: comment pouvez-vous vous assurer que chaque utilisateur qui envoie les données crypte chaque e-mail? Tout comme une solution SMIME, vous devez choisir de crypter votre courrier électronique, elle ne peut pas être forcée - ou ai-je raté quelque chose?
Zypher: C'est assez simple, si vous envoyez un e-mail contenant des informations qui doivent être chiffrées sans les chiffrer, vous êtes licencié pour cause (dans les états à volonté, cela signifie qu'il n'y a pas de chômage). Tout ne doit pas nécessairement être une solution technique. D'après la question, cela ne sera pas fait trop souvent, donc une solution plus impliquée ne vaut probablement pas le coût / avantage. S'ils avaient besoin de le faire toute la journée, je recommanderais de ne pas utiliser du tout de courrier électronique et de passer aux formulaires en ligne via SSL.
moi: IANAL - mais je suis coincé à les écouter, la loi stipule effectivement que cela doit être une solution technique - "mais j'avais une politique" est une preuve de facto qu'un de ces problèmes "raisonnablement prévisibles" que vous êtes censé atténuer n'a pas été atténué. La discipline des contrevenants fait déjà partie de la loi. Jetez un œil à cette discussion informationweek.com/blog/main/archives/2009/02/…
Zypher: En fait, si vous lisez 17.03.2.b (ici: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ), j'ai une politique et j'ai formé mon personnel à cela, tout comme avoir des mesures disciplinaires est en fait parfaitement défendable. En fait, la seule mention d'une solution technique est d'empêcher les employés licenciés d'accéder aux enregistrements. IAANAL (je ne suis pas non plus avocat).
moi: - 1,2,3 sont simplement des choses qui devraient être incluses et non des solutions définitives, 2b est la formulation spécifique qui s'applique (j'ai triché et demandé à un avocat). Si vous devez dire "je peux défendre cela", les tribunaux vous écraseront probablement. En cas de problèmes de conformité, vous devez prouver que vous suivez les règles. Les règlements disent spécifiquement «prévisible». Si vous vous tenez devant le tribunal et dites «eh bien, si quelqu'un enfreint la politique, il serait licencié», les poursuites judiciaires diront simplement: «Donc, vous admettez que vous avez prévu un moyen de violer cette politique et n'avez pris aucune mesure raisonnable pour la supprimer. le problème?"
Zypher: Damn you for tricher. Eh bien maintenant, nous devons définir raisonnable aussi bien, raisonnable pour mon entreprise (grands employés multinationaux w / 100k +) n'est pas le même que pour un magasin maman et pop. Mais dans le même ordre d'idées, je pense que nous nous éloignons trop du mandat de Q&R du site ... ce qui est regrettable car cette discussion a fourni une bonne idée.
moi: c'est "raisonnablement prévisible" pas "raisonnablement sûr" ou même raisonnable à mettre en œuvre. N'oubliez pas que légalement, l'utilisation de rot13 sur les noms des personnes et rien d'autre ne suit le standard car c'est une forme de cryptage. Cette discussion est utile donc je vais modifier ma réponse pour l'inclure afin qu'elle ne soit pas perdue.