Чтобы соответствовать новому закону штата Массачусетс о защите личной информации, моя компания должна (среди прочего) гарантировать, что в любое время, когда личная информация отправляется по электронной почте, она зашифрована. Как это сделать проще всего? По сути, я ищу то, что потребует наименьших усилий со стороны получателя. Если это вообще возможно, я действительно хочу, чтобы им не приходилось загружать программу или выполнять какие-либо шаги для создания пары ключей и т. Д. Так что использование командной строки типа GPG не является вариантом. В качестве системы электронной почты мы используем Exchange Server и Outlook 2007.
Есть ли программа, которую мы можем использовать, чтобы легко зашифровать электронную почту, а затем отправить по факсу или позвонить получателю с помощью ключа? (Или, может быть, наша электронная почта может содержать ссылку на наш веб-сайт, содержащий наш открытый ключ, который получатель может загрузить для расшифровки почты?) Нам не придется отправлять многие из этих зашифрованных электронных писем, но люди, которые будут их отправлять, будут не будьте особенно техничными, поэтому я хочу, чтобы это было как можно проще. Любые рекомендации по хорошим программам были бы замечательными. Спасибо.
Нам пришлось пройти через нечто подобное с нашими клиентами для PCI. Лучше всего использовать какую-нибудь версию PGP / GPG.
Как уже было сказано, это действительно не так больно, как вы думаете. Мы сделали это с сотнями нетехнических пользователей. Мы выбрали два продукта - бесплатный GPG (который, как утверждает Кроник, имеет интерфейс с графическим интерфейсом пользователя), а также платное программное обеспечение PGP. Мы написали действительно хорошую документацию, которую можно было бы разослать нашим клиентам, с инструкциями по использованию программного обеспечения, которое они выбрали, а также обучили наших менеджеров по работе с клиентами основам устранения неполадок и использованию программного обеспечения.
Благодаря этому 95% проблем, с которыми сталкиваются клиенты, не попадают в ИТ-очередь. Для остальных 5% мы предоставили ИТ-ресурсы, чтобы ответить на вопросы, а в худшем случае - позвонить и помочь клиенту.
В качестве альтернативы мы также купили несколько лицензий на winzip, чтобы можно было использовать встроенное шифрование AES с парольной фразой. Коммерческое программное обеспечение PGP может создавать зашифрованный файл, который также открывается только с помощью парольной фразы. Хотя, честно говоря, использование PGP дало хорошие результаты, я думаю, что я создаю такие типы файлов только 2 или 3 раза в год.
Разве не было бы проще попросить их проверить веб-сайт с данными, зашифрованными через SSL, с кнопкой для печати данных на их стороне? Таким образом, вы ничего не передаете и контролируете распространение данных.
Все, что связано с электронной почтой, скорее всего, будет слишком сложно для ваших пользователей; они будут включать генерацию ключей или загрузку связки ключей или другие вещи, которые пользователи сочтут неприятными или запутанными. Ваши расходы на поддержку резко возрастут, если только пользователи не сдадутся в отчаянии.
Нужно ли его просто зашифровать при передаче (SMTP / TLS) или в хранилище / на конечных точках (PGP и т. Д.)?
Работая с аналогичным законодательством, я обычно настраиваю PKI / SMTP / TLS между двумя или более организациями, которые часто отправляют / получают частную / защищенную информацию; Я просто настраиваю смарт-хост в каждой организации, соответствующей доменам, о которых идет речь, для маршрутизации почты либо через VPN-туннель типа «сеть-сеть», если это применимо, либо с использованием SMTP / TLS для шифрования почты в пути с Exchange.
Вы должны взглянуть на Безопасный обмен сообщениями с S / MIME и OWA на Exchange Server 2007 SP1 Если вы хотите зашифровать сообщение. Это решение также требует дополнительного шага, поскольку пользователи должны выбрать кнопку шифрования (это также, вероятно, незаконно, поскольку вы должны каким-то образом предположить, что все вы, пользователи, никогда не совершат ошибку и не зашифруют электронное письмо, которое они должны иметь). В противном случае все Вам необходимо убедиться, что места назначения, которым вы хотите отправить Massachusetts PII, используют TLS (вы должны иметь эту информацию, поскольку вы должны проверять всех, кому вы можете отправить Mass.PII, согласно CMR 17.04). Вам также, вероятно, следует написать правило транспорта, которое использует регулярное выражение для поиска Mass PII. ИД Массачусетса определяется как комбинация имени и фамилии жителя, связанная с одним из следующих: номер водительских прав, номер кредитной карты или номер социального страхования. Возможно, вы захотите скрыть эти сообщения для последующей обработки в другом почтовом ящике или просто вести счет.
Не по теме, но жермен ...
Примечание для тех, кто читает это и думает, что вам повезло, что вы не живете в Массачусетсе, Сюрприз! Если вы храните личную информацию жителя Массачусетса, независимо от того, есть ли у вас деловое присутствие в Массачусетсе, к вам применяются штрафы, указанные в 201 CMR 17.00. что может стоить 100 долларов за потерю рекорда, максимум 50 тысяч долларов за «инцидент». Общий закон штата Массачусетс 93H гласит, что за «нарушение» взимается штраф в размере 5000 долларов. Что именно это означает? Я не думаю, что кто-то знает и не узнает, пока кто-нибудь не получит это.
Важно отметить, что это непростая тема - вот содержание дискуссии между мной и Зайфером по поводу его ответа:
Я: Использование любого варианта конечного пользователя влечет за собой ответственность, в отличие от PCI закон требует, чтобы вы были на крючке в случае любых разумных проблем (например, пользователь Джо, не использующий технологию)
Zypher: используя pgp, если пользователь не дает вам ключ, вы не отправляете им. В основном они вынуждены использовать его - в этом случае использования - в противном случае они либо A) не получают данные, либо B) не могут прочитать данные.
я: как вы можете гарантировать, что каждый пользователь, отправляющий данные, будет шифровать каждое электронное письмо? Как и в случае с решением SMIME, вы должны выбрать шифрование электронной почты, его нельзя принудительно использовать - или я что-то упустил?
Зайфер: Это довольно просто. Если вы отправите электронное письмо, содержащее информацию, которую необходимо зашифровать без шифрования, вас уволят по делу (в произвольном заявлении это означает отсутствие безработицы). Не все должно быть техническим решением. Судя по вопросу, это будет происходить не слишком часто, поэтому более сложное решение, вероятно, не стоит затрат / выгод. Если бы им нужно было делать это весь день каждый день, я бы рекомендовал вообще не использовать электронную почту и перейти к онлайн-формам через SSL.
я: IANAL - но я застрял, слушая их, закон фактически заявляет, что это должно быть техническое решение - «но у меня была политика» - это фактическое свидетельство того, что одна из тех «разумно предсказуемых» проблем, которые вы должны смягчить не было смягчено. Наказание нарушителей - тоже уже часть закона. Взгляните на это обсуждение informationweek.com/blog/main/archives/2009/02/…
Зайфер: Собственно, если вы читаете 17.03.2.b (здесь:mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf) У меня есть политика, и я обучил ей своих людей, а также наличие дисциплинарных мер вполне оправданно. Фактически, единственное упоминание о техническом решении - предотвратить доступ уволенных сотрудников к записям. IAANAL (Я тоже не юрист).
я: - 1,2,3 - это просто вещи, которые, как ожидается, будут включены, а не окончательные решения, 2b - это конкретная формулировка, которая применима (я обманул и спросил юриста). Если вам придется сказать: «Я могу это защищать», суд, вероятно, раздавит вас. При возникновении проблем с соблюдением нормативных требований вам необходимо доказать, что вы соблюдаете правила. Регуляторы конкретно говорят «предсказуемо». Если вы встанете в суд и скажете: «Хорошо, если кто-то нарушит политику, его уволят», обвинение просто скажет: «Итак, вы признаете, что вы предвидели способ нарушения этой политики и не приняли никаких разумных мер для удаления проблема?"
Зайфер: Будь ты проклят за обман. Что ж, теперь мы должны также определить разумное, разумное для моей компании (крупная многонациональная компания с более чем 100 тысячами сотрудников) - это не то же самое, что для семейного и популярного магазина. Но в связи с этим, я думаю, мы уходим слишком далеко от мандата сайта на вопросы и ответы ... что прискорбно, потому что это обсуждение дало хорошее понимание.
я: это «разумно предвидеть», а не «разумно безопасно» или даже разумно реализовать. Помните, что с юридической точки зрения использование rot13 для имен людей и ничего другого следует стандарту, потому что это форма шифрования. Это обсуждение полезно, поэтому я отредактирую свой ответ, включив его, чтобы он не потерялся.
В GPG есть утилиты для Windows и плагины для почтового клиента (в основном outlook и eudora): http://openpgp.vie-privee.org/gnupg-win.htm Надеюсь, это подойдет вам, так как вам нужно только щелкнуть правой кнопкой мыши и «зашифровать», не требуется интерфейс командной строки :)
Вы можете попробовать шлюз шифрования электронной почты Djigzo (отказ от ответственности: я автор Djigzo). Djigzo Email Encryption Gateway - это централизованно управляемый почтовый сервер (MTA) с открытым исходным кодом, основанный на стандартах с открытым исходным кодом, который шифрует и дешифрует входящую и исходящую электронную почту на уровне шлюза. Djigzo Email Encryption Gateway в настоящее время поддерживает два стандарта шифрования: электронная почта с шифрованием S / MIME и PDF. S / MIME обеспечивает аутентификацию, целостность сообщений и предотвращение отказа (с использованием сертификатов X.509), а также защиту от перехвата сообщений. S / MIME использует шифрование с открытым ключом (PKI) для шифрования и подписи. Шифрование PDF может использоваться как легкая альтернатива шифрованию S / MIME. PDF позволяет расшифровывать и читать зашифрованные документы PDF. Документы PDF могут даже содержать вложения, встроенные в зашифрованный PDF-файл. Пароль для PDF-файла может быть установлен вручную для каждого получателя или пароль может быть сгенерирован случайным образом и отправлен получателю с помощью текстового SMS-сообщения.
Djigzo Email Encryption Gateway имеет встроенный CA, который вы можете использовать для выдачи сертификатов X.509 для внутренних и внешних пользователей. Внешний пользователь может использовать сертификат с любым почтовым клиентом с поддержкой S / MIME, таким как Outlook, Outlook Express, Lotus Notes, Thunderbird, Gmail и т. Д.
Поскольку Djigzo Email Encryption Gateway функционирует как обычный почтовый сервер SMTP, он совместим с существующими инфраструктурами электронной почты, такими как Microsoft Exchange и Lotus Notes. Djigzo можно установить с помощью одного из предоставленных пакетов для Ubuntu Linux, Debian, Red Hat и CentOS. Доступно готовое к запуску «Виртуальное устройство» для VMware ESX и Workstation.
Поскольку это открытый исходный код, его можно свободно использовать. Исходники и бинарные пакеты можно скачать с нашего сайта (www.djigzo.com).
На самом деле, закон требует шифровать конфиденциальные данные, а не обязательно сообщение. Если данные представляют собой файл (а обычно это так), самый простой способ - просто зашифровать файл.
Предполагая, что ваша цель - чрезвычайно простое в использовании и развертывании решение, которое будет работать с вашей разнообразной клиентской базой ....
Мастер шифрования исследовательской лаборатории ВВС США (http://spi.dod.mil/ewizard.htm) является бесплатным, аккредитованным Министерством обороны США, простым шифровальщиком файлов. Он обрабатывает пароли, смарт-карты, и сертификаты. Его безопасное удаление может стереть конфиденциальный файл с общедоступного компьютера.
Кроме Java, на любом компьютере не нужно ничего устанавливать или настраивать - просто запустите файл .jar. Мастер шифрования работает на Mac, Windows, Linux, Sun и других ОС, работающих под управлением Oracle Java.
С EW вы можете с нуля зашифровать и отправить файл за минуту, а получатель может расшифровать за то же время (при условии, что вы используете сертификат или звоните человеку с паролем).
Существуют более качественные крупные корпоративные решения, но мы не нашли ничего лучше, которое могло бы работать практически для всех и везде и в любое время.