I den eviga kampen mot identitetsstöld, en aktiv händelse nyligen ägde rum i Texas: ett bolag debiteras med felaktigt dumpning patientjournaler. Detta upptäcktes innan någon faktisk identitetsstöld rapporterades.

Per Texas 2005 identitetsstöld Tillämpning och Protection Act: "Ett företag skall införa och upprätthålla rimliga förfaranden, inklusive att vidta lämpliga korrigerande åtgärder, för att skydda och bevara från otillåten användning eller avslöjande någon känslig personlig information samlas in eller upprätthålls av företagen i den ordinarie verksamheten. Ett företag får förstöra eller låta för destruktion av kund-register som innehåller känsliga personuppgifter inom affärsområdet vårdnad eller kontroll som inte skall behållas av näringslivet genom att (1) fragmentering, (2) radering eller (3) på annat sätt ändra känslig personlig information i register att göra informationen oläsbar eller undecipherable på något sätt. "

Men något som fortfarande stör mig om denna handling - de tekniska detaljerna. Exempel:

1. Fragmentering: cross-cut eller remsor klippa?
2. Radera: low-level multi-pass radera noll ut uppgifterna, eller bara ta bort filerna?
3. Modifiera känsliga data: ändra bara namnet och SSN, eller omfatta uppgifter födelseort, adress och kontonummer?

Hur en organisation är förenligt med denna lag och gör "informationen oläsbar eller undecipherable på något sätt" är fortfarande öppet för tolkning. Och det är problemet. Kasta remsor av känsliga data i soptunna istället för den faktiska handlingar är inte mycket av en förbättring.

Organisationer som vill få fram tjänster Security Professional (t.ex. en CISSP) på lämpligt sätt skydda och förfoga över sin känsliga uppgifter, och att uppfylla sina rättsliga skyldigheter. Annars kan de ge sig själva en falsk känsla av säkerhet.





Mer ...