소송 및 규정 준수 방어에 대한 데이터 보호 조치

귀하의 조직의 4개의 과잉 규제 기관에서 기본 노출 줄기: 국가 위반 통보 법률, 연방 부문 별 규칙 (HIPAA 의료용, GLBA 금융 서비스, 교육을위한 FERPA), 주 개인 정보 보호 통계 (뉴욕 SHIELD 법과 같은) 및 신흥 포괄적인 프라이버시법. 각 부는 명백한 고시, 보안 및 문서 요구 사항; 어떤 것을 충족하지 못하면 조사를 유발할 수 있습니다. 시민 처벌 또는 클래스 소송.

Enforcement는 일반적으로 규제 문의 또는 subpoena로 시작합니다. 연방 통상위원회, 또는 부문 규제 기관은 사건 세부 사항, 보안 정책 및 위반 응답 문서에 대한 청구를 요청합니다. 조직은 동시적인 breach 조사 기록, 안전 감사 또는 적시 통보의 증거 즉시 신뢰성 적대를 직면합니다. 지연 또는 불완전 조사 보고서는 조직이 사건을 포함하기 위해 합리적인 주장 할 수 있습니다.

효과적인 데이터 보호 방어는 3 개의 기둥에 휴식 : breach 전에 장소에 대한 취약한 보안 조치, 규제 시간 내에 사건 응답을 문서화하고 좋은 실패 준수 노력의 명확한 증거. 한 기둥 얼굴을 날카롭게 높은 강제적인 위험이 부족한 조직.

합리적인 보안 표준은 대부분의 데이터 보호 요법의 linchpin입니다. 특정 기술 제어를 미리 결정하는 것보다, 규제 기관은 데이터 감도, 조직 크기 및 리소스에 적합한 보안 조치를 시행한다는 것을 요구한다. 이 유연성은 두 기회를 창출하고 위험합니다. 조직은 업계 표준 암호화, 액세스 제어 및 모니터링을 보여주는 위반을 방어 할 수 있습니다. , 기본 보안 조치를 건너 조직 (암호화 된 데이터베이스, 기본 자격 증명, 액세스 로깅 없음)은 breach가 불행하게도 주장 할 수 없습니다.

중요한 방어적인 maneuver는 적당한 안전 affirmative 방위입니다. 조직이 인식된 보안 프레임워크(NIST Cybersecurity Framework, ISO 27001 또는 섹터 별 표준)을 준수할 수 있는 경우 규제 및 평등은 무시한 부담을 견딜 수 있습니다. 법원은 종종 합리적인 증거로 업계 표준 관행을 주장합니다. 불행히도, 조직이 공개 된 보안 지도를 무시하거나 취약성을 포함하기 위해 알려진 업데이트 시스템에 실패하면 레귤레이터는 recklessness의 증거로 인감을 치료합니다.

국가선 또는 국제적으로 얼굴에 걸쳐 데이터를 처리하는 조직은 규제 노출을 합성했습니다. Cross-border 데이터 보호 의무는 관할권에 의해 크게 다르며, 과도한 적용 가능한 규정에 따라 데이터를 분리하거나 보호하는 것은 동시에 여러 포럼에서 책임을 만듭니다.

귀하의 조직이 유럽 주민으로부터 개인 정보를 수집하는 경우, 일반 데이터 보호 규정 (GDPR)은 대부분의 미국 국가 법에 대한 의무를 부과합니다. 동의, 자료 제목 권리(액세스, 탈취, 포용성) 및 고위험 처리를위한 필수 정보 보호 영향 평가. 유럽 개인 데이터를 적절한 안전 보호가 GDPR을 위반하고 20 백만 유로 또는 4 %의 글로벌 수익으로 벌금에 대한 조직을 노출하지 않고 미국에 전송. 미국 규제 기관은 유럽 데이터 보호 당국과의 협조를 통해 EU 거주자가 종종 관할권에서 조사를 유발하는 위반을 방지합니다.

소비자 관계 조직은 SHIELD Act을 넘어 국가별 개인 정보 보호법을 고려해야 합니다. 캘리포니아의 소비자 개인정보 보호정책(CPRA), 버지니아의 소비자 데이터 보호법 및 유사한 법령에는 정당한 의무, 소비자 권리 메커니즘 및 선택적 프레임워크가 부과됩니다. 소비자 데이터 보호 전략은 조직의 고객 기반에 적용 가능한 가장 제한적인 국가 법에 대한 계정이어야 합니다.

소송 및 집행 방위 대지에서 문서는 1 차 자산입니다. 조직은 침해 조사 파일, 보안 감사 보고서, 사건 응답 로그 및 알림 결정에 관한 통신을 보존해야합니다. 위반이 발견되거나 시행 조회가 시작되면 소송은 즉시 활성화됩니다.

Breach 조사의 동시 문서는 비 협상이 불가능합니다. 조직은 발견 날짜, 초기 범위 평가, 법의 조사 타임 라인, 루트 원인 분석, 포함 단계 및 실시간 알림 결정 문서해야합니다. 후 제조 된 시간 줄은 약간의 비만 무게를 가지고 종종 규제자 및 평야 상담에서 골격을 초대합니다. 재학 단계는 breach 후에도 수락 기록의 일부가 됩니다. 단일 취약점을 패치하는 조직은 수십 가지 다른 사람들이 멸망하지 못하게 포괄적 인 구제를 주장 할 수 없습니다.

데이터 보호 노출에 직면 조직은 3 가지 즉각적인 조치를 우선해야한다 : 

(1) 적용 가능한 규제 기준에 대한 갭을 식별하는 종합 보안 감사를 실시, 

(2) 정의된 역할, 알림 타임라인 및 법정 조사 프로토콜을 가진 공식적인 사건 응답 계획을 실행하고 

(3) 개인정보가 저장되는 곳을 추적하는 데이터 재고 및 분류 시스템을 설치하고 보안 제어는 보호됩니다.

보안 감사는 자격이 된 자원에 의해 수행되어야하며, 해당되는 특권 변호사 작업 제품 형식으로 문서화해야합니다. 이 감사는 어떤 포스트-허가 구제든지에 대하여 기본을 측정하고 조직이 어떠한 사건의 앞에 심각하게 가지고 있던지 보여줍니다. 규제는 합리적인 관리의 증거로 사전 접근 보안 투자를 볼 수 있습니다.

사건 대응 계획은 발견 및 에스컬레이션 프로세스, 법의 조사 단계, 알림 타임 라인과 내용 요구 사항을 지정해야하며 법적인 보안, 준수 및 임원 팀 역할. 이 계획은 해당 국가 및 연방 위반 통지 마감일을 참조하고 각 관할권에 대한 변호사 일반 알림 임계 값을 지정해야합니다. 위반이 발생하면 사전 초안 계획을 실행하여 알림 및 조사 타임라인을 충족하고 결정화가 문서화되어 있습니다.

조직은 데이터 처리 관행이 가장 제한적 인 개인 정보 보호법 (일반적으로 캘리포니아 또는 GDPR)과 일치 여부를 평가해야하며, 다국적이나 국제 고객 기반을 가지고있는 경우. 엄격한 규정에 따라 일반적으로 더 적은 문자열 정체 요법을 만족시키고 파편적 인 시행 또는 충돌 의무의 위험을 줄일 수 있습니다.