매사추세츠의 새로운 개인 정보 보호법을 준수하기 위해 회사는 개인 정보가 이메일을 통해 전송 될 때마다 암호화되도록해야합니다. 가장 쉬운 방법은 무엇입니까? 기본적으로 수신자 측에서 최소한의 노력이 필요한 것을 찾고 있습니다. 가능하다면 프로그램을 다운로드하거나 키 페어 등을 생성하기 위해 모든 단계를 거치는 것을 피하고 싶습니다. 따라서 명령 행 GPG 유형 항목은 옵션이 아닙니다. 전자 메일 시스템으로 Exchange Server 및 Outlook 2007을 사용합니다.
이메일을 쉽게 암호화 한 다음 키를 사용하여 수신자에게 팩스를 보내거나 전화를 걸 수있는 프로그램이 있습니까? (또는 이메일에 공개 키가 포함 된 웹 사이트에 대한 링크가 포함되어있을 수 있으며, 수신자가 메일을 해독하기 위해 다운로드 할 수 있습니까?) 암호화 된 이메일을 많이 보내지 않아도되지만 이메일을 보내는 사람은 특히 기술적이지 않기 때문에 가능한 한 쉽게 만들고 싶습니다. 좋은 프로그램에 대한 recres는 좋을 것입니다. 감사.
답변
우리는 PCI와 관련하여 클라이언트와 비슷한 것을 거쳐야했습니다. 가장 좋은 방법은 일부 버전의 PGP / GPG를 사용하는 것입니다.
이제는 생각만큼 고통스럽지 않습니다. 우리는 수백 명의 비 기술적 인 사용자들과 함께 이것을했습니다. 우리가 한 것은 두 가지 제품, 즉 무료 GPG (Kronick 주에 GUI 프론트 엔드가 있음)와 PGP 소프트웨어 지불을 선택하는 것이 었습니다. 고객이 선택한 소프트웨어를 사용하는 방법을 알려주고 계정 관리자에게 기본적인 문제 해결 및 소프트웨어 사용 방법을 교육하는 데 도움이되는 훌륭한 문서를 작성했습니다.
이로 인해 클라이언트가 IT 큐에서 실행하는 문제의 95 %가 유지되었습니다. 다른 5 %는 IT 리소스를 사용하여 질문에 대답하고 최악의 경우 고객을 돕기 위해 전화를 걸었습니다.
대안으로, 우리는 암호문과 함께 내장 된 AES 암호화를 사용할 수 있도록 일부 winzip 라이센스를 구입했습니다. 상용 PGP 소프트웨어에는 암호로만 열리는 암호화 된 파일을 만들 수있는 기능이 있습니다. 솔직히 PGP를 사용하면 잘 작동했지만 일년에 2-3 번만 이러한 유형의 파일을 생성한다고 생각합니다.
답변
SSL을 통해 암호화 된 데이터가있는 웹 사이트를 확인하고 마지막에 데이터를 인쇄하는 버튼을 사용하는 것이 더 쉽지 않습니까? 그렇게하면 아무 것도 전송하지 않고 데이터 배포를 제어 할 수 있습니다.
이메일을 가진 모든 것은 사용자에게 너무 어려울 것입니다. 키 생성 또는 키 링 다운로드 또는 사용자가 번거 롭거나 혼란 스러울 수있는 기타 사항이 포함됩니다. 사용자가 좌절하지 않으면 지원 비용이 급격히 증가합니다.
답변
전송 중 (SMTP / TLS) 또는 스토리지 / 엔드 포인트 (PGP 등)에서도 암호화해야합니까?
유사한 법률을 사용하여 개인 / 보호 정보를 자주 보내거나받는 두 개 이상의 조직간에 PKI / SMTP / TLS를 설정했습니다. 해당 도메인과 일치하는 각 조직에서 스마트 호스트를 설정하여 해당되는 경우 사이트 간 VPN 터널을 통해 메일을 라우팅하거나 SMTP / TLS를 사용하여 Exchange로 전송되는 메일을 암호화했습니다.
답변
Exchange Server 2007 SP1에서 S / MIME 및 OWA를 사용한 보안 메시징을 살펴보아야합니다. 메시지를 암호화하려는 경우 이 솔루션은 또한 사용자가 암호화 버튼을 선택해야하기 때문에 추가 단계가 필요합니다 (어쩌면 모든 사용자가 절대 실수하지 않고 전자 메일을 암호화하지 않을 것이라고 가정하기 때문에 합법적이지 않을 수도 있습니다). 그렇지 않으면 모두 Massachusetts PII를 전송하려는 대상이 TLS를 사용하고 있는지 확인해야합니다 (CMR 17.04에 따라 Mass.PII를 보낼 수있는 모든 사람을 조사해야하므로 해당 정보를 가져야합니다). 또한 정규식을 사용하여 Mass PII를 검색하는 전송 규칙을 작성해야합니다. 매사추세츠 PII는 다음 중 하나에 연결된 주민의 이름과 성의 조합으로 정의됩니다. 운전 면허 번호, 신용 카드 번호 또는 주민등록번호.
주제가 아닌 게르 마인 …
이것을 읽고 당신이 MA에 살지 않는 것이 운이 좋다고 생각하는 사람들을 위해 주목하십시오, Suprise! 매사추세츠에 사업체가 있는지 여부에 관계없이 매사추세츠 거주자의 개인 정보를 저장하는 경우 201 CMR 17.00에 규정 된 처벌을받습니다. “사고”당 최대 $ 50K로 $ 100의 레코드 손실이 발생할 수 있습니다. MA General Law 93H는 “위반”당 $ 5,000의 벌금이 부과 될 것이라고 명시하고 있습니다. 정확히 무엇을 의미합니까? 나는 누군가가 그것에 맞을 때까지 아무도 모른다고 생각하지 않습니다.
이것은 쉬운 주제가 아니라는 점에 주목하는 것이 중요합니다. 여기에 자신과 Zypher의 답변에 대한 토론의 내용이 있습니다.
나 : PCI와 달리 모든 종류의 최종 사용자 옵션을 사용하면 법적으로 문제가 생길 수 있습니다 (예 : 사용자가 기술을 사용하지 않는 joe 사용자).
Zypher : 사용자가 키를 제공하지 않으면 pgp를 사용하여 키를 보내지 않습니다. 기본적으로 그들은이 사용 사례에서 그것을 사용해야합니다. 그렇지 않으면 A) 데이터를 얻지 못하거나 B) 데이터를 읽을 수 없습니다.
나 : 데이터를 보내는 모든 사용자가 모든 전자 메일을 암호화하도록하려면 어떻게해야합니까? SMIME 솔루션과 마찬가지로 이메일을 암호화하도록 선택해야합니다. 강제로 할 수 없거나 뭔가 빠졌습니까?
Zypher : 암호화하지 않고 암호화해야하는 정보가 포함 된 전자 메일을 보내면 원인에 따라 해고됩니다 (자유 상태에서는 실업이 없음). 모든 것이 기술 솔루션 일 필요는 없습니다. 질문에서 이것은 너무 자주 수행되지 않으므로 더 관련있는 솔루션은 아마도 비용 / 이익의 가치가 없습니다. 그들이 매일이 일을해야한다면, 이메일을 전혀 사용하지 말고 SSL을 통해 온라인 양식으로 옮기는 것을 권합니다.
나 : IANAL-그러나 나는 그들에 귀를 기울이고 있지만, 법은 그것이 기술적 인 해결책이어야한다는 것을 효과적으로 말하고있다. 그러나 “정책이 있었다”는 것은 “합리적으로 예측할 수있는”문제 중 하나가 완화되어야한다는 사실의 증거이다. 완화되지 않았습니다. 징계 위반자는 이미 법의 일부입니다. 이 토론 정보를 보십시오. week.com/blog/main/archives/2009/02/…
Zypher : 실제로 17.03.2.b (여기 : mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf )를 읽으면 정책이 있고 직원들에게 교육을 제공 할뿐만 아니라 징계 조치가 실제로 완벽하게 방어 할 수 있습니다. 실제로 기술 솔루션에 대한 유일한 언급은 해고 된 직원이 레코드에 액세스하지 못하게하는 것입니다. IAANAL (나는 또한 변호사가 아니다).
나 :-1,2,3은 단순히 결정적인 해결책이 아닌 포함 된 것으로 예상되는 것입니다 .2b는 적용되는 특정 문구입니다 (내가 바람을 피우고 변호사에게 물었습니다). 만약 당신이 “그것을 방어 할 수있다”고 말하면, 법원은 아마 당신을 분쇄 할 것입니다. 규정 준수 문제가 있으면 규정을 준수하고 있음을 증명해야합니다. 등록 부는 구체적으로 “위조 가능”이라고 말합니다. 법정에 서서 “누군가가 정책을 위반하면 해고 당할 것”이라고 말하면 기소는 단순히 “그러므로이 정책을 위반할 수있는 방법을 예견했음을 인정하고 적절한 조치를 취하지 말 것” 문제?”
Zypher : 부정 행위에 대해 젠장. 이제 우리는 합리적으로 정의해야합니다. 우리 회사 (100 만 명 이상의 직원을 보유한 다국적 기업)는 엄마 나 팝샵과 동일하지 않습니다. 그러나 같은 토큰에서 우리는 사이트의 Q & A 명령에서 너무 멀어지고 있다고 생각합니다.이 논의는 좋은 통찰력을 제공했기 때문에 유감입니다.
나 : “합리적으로 예측 가능”하거나 “합리적으로 안전하지”않거나 구현하기에 합리적이지 않다. 합법적으로 개인 이름에 rot13을 사용하면 암호화 형식 인 표준 경고를 따르지 않습니다. 이 토론은 유용하므로 답변을 포함하도록 답변을 수정하여 잃어 버리지 않도록하십시오.
답변
GPG는 이메일 클라이언트 (주로 전망 및 유도라) Windows 및 플러그인에 대한 유틸리티를 가지고 :
http://openpgp.vie-privee.org/gnupg-win.htm
그것은 내가 희망의 요구 스위트 있습니다 만 마우스 오른쪽 버튼으로 클릭으로 갖고 있기 때문에 그리고 “암호화”, CLI 필요 없음 🙂
답변
Djigzo 이메일 암호화 게이트웨이를 사용할 수 있습니다 (면책 조항 : Djigzo의 저자입니다). Djigzo Email Encryption Gateway는 게이트웨이 레벨에서 수신 및 발신 이메일을 암호화하고 해독하는 오픈 소스 표준을 기반으로하는 오픈 소스 중앙 집중식 이메일 서버 (MTA)입니다. Djigzo 이메일 암호화 게이트웨이는 현재 S / MIME 및 PDF 암호화 이메일의 두 가지 암호화 표준을 지원합니다. S / MIME은 인증, 메시지 무결성 및 부인 방지 (X.509 인증서 사용) 및 메시지 차단 방지 기능을 제공합니다. S / MIME은 암호화 및 서명에 PKI (공개 키 암호화)를 사용합니다. PDF 암호화는 S / MIME 암호화의 간단한 대안으로 사용될 수 있습니다. PDF를 사용하면 암호화 된 PDF 문서를 해독하고 읽을 수 있습니다. PDF 문서는 암호화 된 PDF에 포함 된 첨부 파일을 포함 할 수도 있습니다.
Djigzo Email Encryption Gateway에는 내부 및 외부 사용자를 위해 X.509 인증서를 발행하는 데 사용할 수있는 CA가 내장되어 있습니다. 외부 사용자는 Outlook, Outlook express, Lotus Notes, Thunderbird, Gmail 등과 같은 S / MIME 가능 전자 메일 클라이언트와 함께 인증서를 사용할 수 있습니다.
Djigzo Email Encryption Gateway는 일반 SMTP 이메일 서버로 작동하므로 Microsoft Exchange 및 Lotus Notes와 같은 기존 이메일 인프라와 호환됩니다. 제공되는 Ubuntu Linux, Debian, Red Hat 및 CentOS 패키지 중 하나를 사용하여 Djigzo를 설치할 수 있습니다. VMware ESX 및 워크 스테이션에 대한 “가상 어플라이언스”를 실행할 준비가되었습니다.
오픈 소스이기 때문에 자유롭게 사용할 수 있습니다. 소스 및 바이너리 패키지는 당사 웹 사이트 (www.djigzo.com)에서 다운로드 할 수 있습니다.
답변
실제로 법은 민감한 메시지를 암호화하는 것이지 반드시 메시지는 아닙니다. 데이터가 파일 인 경우 (가장 일반적인 경우) 가장 쉬운 방법은 파일을 암호화하는 것입니다.
목표를 가정하면 다양한 고객 기반에서 사용할 수있는 매우 사용하기 쉬운 솔루션을 배포 할 수 있습니다 ….
미 공군 연구소의 암호화 마법사 ( http://spi.dod.mil/ewizard.htm )는 무료이며 DoD 인증을받은 간단한 파일 암호화 기입니다. 암호, 스마트 카드 및 인증서를 처리합니다 . 보안 삭제는 공용 컴퓨터에서 중요한 파일을 지울 수 있습니다.
Java 이외의 다른 컴퓨터에는 설치하거나 구성 할 것이 없습니다. .jar 파일 만 실행하면됩니다. 암호화 마법사는 Mac, Windows, Linux, Sun 및 Oracle Java를 실행하는 다른 OS에서 실행됩니다.
EW를 사용하면 0부터 1 분 안에 파일을 암호화하고 보낼 수 있으며 레시피는 같은 시간에 암호를 해독 할 수 있습니다 (인증서를 사용하거나 암호를 가진 사람에게 전화를 걸 경우).
더 큰 대기업 내부 솔루션이 있지만 우리는 언제 어디서나 거의 모든 사람에게 효과가있는 더 나은 것을 얻지 못했습니다.