مخاطر تكنولوجيا المعلومات
قوانين وأنظمة مخاطر تكنولوجيا المعلومات > الولايات المتحدة

أصدرت الولايات المتحدة ما يلي، مقسمة حسب الموضوع:
القانون المدني والجريمي
تعديلات على القواعد الفيدرالية للدعوى المدنية فيما يتعلق بالاكتشافات الإلكترونية. الموضوع: القواعد الاتحادية الأمريكية فيما يتعلق بإعداد الوثائق الإلكترونية في الإجراءات المدنية. تسمح قواعد الكشف لطرف في إجراءات مدنية بالطلب من الطرف المعارض تقديم جميع الوثائق ذات الصلة (التي يجب تحديدها الطرف المطالب) في حيازته، حتى تتمكن الطرفان والمحكمة من تقييم المسألة بشكل صحيح. من خلال تعديل الاكتشاف الإلكتروني، الذي دخل حيز التنفيذ في 1 ديسمبر 2006، يمكن أن تشمل هذه المعلومات الآن المعلومات الإلكترونية. وهذا يعني أن أي طرف يتم تقديمه أمام محكمة أمريكية في إجراءات مدنية يمكن أن يطلب منه تقديم هذه الوثائق، والتي تشمل التقارير النهائية والوثائق العاملة والمدحوظات الداخلية والبريد الإلكتروني المتعلقة بموضوع معين، والتي قد تكون أو لا تكون محددة بشكل خاص. لذلك يجب على أي طرف يتضمن أنشطته مخاطر المشاركة في مثل هذه الإجراءات اتخاذ الاحتياطات اللازمة لإدارة هذه المعلومات، بما في ذلك تخزينها بأمان. على وجه التحديد: يجب أن يكون الطرف قادرًا على بدء "توقف دعوى قضائية"، وهي تدابير تقنية/تنظيمية يجب أن تضمن عدم إمكانية تعديل أي معلومات ذات صلة بأي شكل من الأشكال. سياسات تخزين يجب أن تكون مسؤولة: في حين أن حذف معلومات محددة يظل مسموحاً بالطبع عندما يكون هذا جزءاً من سياسات إدارة المعلومات العامة ("عمل نظام المعلومات بشكل روتيني وبخير"، القاعدة 37 (ف) ، يمكن أن تعاقب على التدمير العمد للمعلومات ذات الصلة المحتملة بأغرامة عالية للغاية (في حالة محددة بقيمة 1.6 مليار دولار أمريكي). وبالتالي، في الممارسة العملية، يجب على أي شركة تخاطر بمقاضاة مدنية أمام المحاكم الأمريكية تنفيذ سياسات كافية لإدارة المعلومات، ويجب عليها تنفيذ التدابير اللازمة لبدء استمرارية المقاضاة.
الخصوصية
قانون خصوصية المستهلكين في كاليفورنيا (CCPA)
قانون حقوق الخصوصية في كاليفورنيا (CPRA)
قانون جرام-ليش-بليلي (GLBA)
قانون الولايات المتحدة الأمريكية الوطنية، عنوان الثالث
قانون نقل التأمين الصحي ومسؤولية (HIPAA) من منظور RM / RA ، يشتهر القانون بشكل خاص بأحكامه المتعلقة بتبسيط الإدارة (السم II من HIPAA). هذا العنوان طلب من وزارة الصحة والخدمات الإنسانية (HHS) الأمريكية صياغة مجموعات قواعد محددة، كل منها من شأنه أن يوفر معايير محددة من شأنها تحسين كفاءة نظام الرعاية الصحية ومنع سوء الاستخدام. ونتيجة لذلك، اعتمدت وزارة الصحة الخليجية خمس قواعد رئيسية: قاعدة الخصوصية، قاعدة المعاملات ومجموعات الرموز، قاعدة المعرفات الفريدة، قاعدة التنفيذ، وقاعدة الأمن. هذا الأخير، الذي نشره في السجل الاتحادي في 20 فبراير 2003 (انظر: http://www.cms.hhs.gov/SecurityStandard/Downloads/securityfinalrule.pdf أرشيف Wayback Machine) ، هو ذات صلة خاصة، لأنه يحدد سلسلة من الإجراءات الإدارية والتقنية والامنية المادية لضمان سرية المعلومات الصحية الإلكترونية المحمية. تم تحديد هذه الجوانب بشكل أكبر في مجموعة من معايير الأمن المتعلقة بالضمانات الإدارية والجسدية والتنظيمية والتقنية، والتي تم نشرها جميعها، جنبا إلى جنب مع وثيقة إرشادية حول أساسيات إدارة المخاطر وقياس المخاطر HIPAA <http://www.cms.hhs.gov/EducationMaterials/04_SecurityMaterials.asp نسخة محفوظة 2010-01-23 على موقع واي باك مشين. 2010-01-23 at the Wayback Machine>. لا تُؤثر على مقدمي الخدمات الصحية في أوروبا أو بلدان أخرى عموماً على التزامات HIPAA إذا لم يكونوا نشطين في السوق الأمريكية. ومع ذلك، بما أن أن أن نشاطاتهم في مجال معالجة البيانات تخضع لالتزامات مماثلة بموجب القانون الأوروبي العام (بما في ذلك توجيه الخصوصية) ، وبما أن الاتجاهات الأساسية للتحديث والتطور نحو ملفات الصحة الإلكترونية هي نفسها، يمكن أن يضع مقدمي الخم الخدمات الص وتشمل معايير الأمن HIPAA ما يلي:
ضمانات إدارية:
عملية إدارة الأمن
مسؤولية الأمن المُعَطَاة
أمن القوى العاملة
إدارة وصول المعلومات
الوعي بالأمن والتدريب
إجراءات حوادث الأمن
خطة الطوارئ
التقييم
عقود الشركاء التجارية والترتيبات الأخرى
الاحتياطيات الجسدية
مكافحة الوصول إلى المنشأة
استخدام محطة العمل
أمن محطة العمل
التحكم في الأجهزة والوسائط
الاحتياطيات التقنية
تحكم الوصول
مراقبة المراجعة
النزاهة
تحديد مصادقة الشخص أو الكيان
أمن النقل
متطلبات المنظمة
عقود الشركاء التجارية والترتيبات الأخرى
متطلبات خطط الصحة المجموعية
مبادئ خصوصية الميناء الآمن الدولي التي أصدرتها وزارة التجارة الأمريكية في 21 يوليو 2000 تصدير البيانات الشخصية من مدير البيانات الخاضع لقوانين الخصوصية في الاتحاد الأوروبي إلى وجهة مقرها في الولايات المتحدة. قبل أن يتم تصدير البينات الشخصية عن كيان يخضع لقوانين خصوصية الاتحاد الأوسط إلى وجهة تخضع للقانون الأمريكي، يجب على الكيان الأوروبي ضمان أن يقدم الكيان المقبل ضمانات كافية لحماية هذه البيانات من عدد من الحوادث الخاطئة. طريقة واحدة لتحقيق هذا الالتزام هي مطالبة الكيان المستلم بالانضمام إلى ميناء الآمن، من خلال مطالبة الكانة بالتحقق من أنفسها من الامتثال لما يسمى بمبادئ ميناء الآمان. إذا تم اختيار هذا الطريق، يجب على مدير معالجة البيانات المصدر للبيانات التحقق من أن وجهة الولايات المتحدة موجودة بالفعل في قائمة الميناء الآمن (انظر قائمة المیناء الآمن)
تستخدم وزارة الأمن الداخلي الأمريكية أيضًا تقييم تأثير الخصوصية (PIA) كأداة لاتخاذ القرارات لتحديد وتخفيف مخاطر انتهاكات الخصوصية.
قانون ساربانز-أوكسلي
(فيزما)
إدارة المخاطر في الأمن السيبراني للاتحاد الأوروبي، والاستراتيجية، والحوكمة، وكشف الحوادث
مع تطور التشريعات، أصبح هناك تركيز متزايد على ضرورة توفير "أمن معقول" لإدارة المعلومات. تنص قانون حماية خصوصية المستهلك في كاليفورنيا (CCPA) على أن "مصنعي الأجهزة المتصلة يجب أن يزودوا الجهاز بأمان معقول".
أيضًا، يتطلب قانون SHIELD في نيويورك من المنظمات التي تدير معلومات سكان نيويورك "تطوير وتنفيذ وصيانة الضمانات المعقولة لحماية أمن وسرية وسلامة المعلومات الخاصة، بما في ذلك، على سبيل المثال لا الحصر، التخلص من البيانات".
سوف يؤثر هذا المفهوم على كيفية إدارة الشركات لخطط إدارة المخاطر الخاصة بها مع تطور متطلبات الامتثال. يجب على الشركات تعديل استراتيجياتها لضمان الالتزام بالقوانين الجديدة وضمان حماية المعلومات بشكل فعال.