什么是马萨诸塞州数据安全法？指南 + 提示
马萨诸塞州数据安全法 （201 CMR 17.00） 保护马萨诸塞州居民的个人信息。该法律于 2010 年 3 月 1 日生效，在当时是美国通过的最全面的数据隐私法之一。
自该法案通过以来，美国多个州都通过了更严格的数据隐私立法，包括著名的《加州消费者隐私法案》（CCPA） 和《弗吉尼亚州消费者数据隐私法案》（VCDPA）。在许多方面，马萨诸塞州的早期数据安全法是这些具有广泛影响力的法律的先驱。
2022 年初，马萨诸塞州开始着手通过一项更新且更严格的数据隐私法案，名为《马萨诸塞州信息隐私和安全法案》（MIPSA）。州政府于 2023 年 1 月 3 日将新法律提交给参议院筹款委员会。
了解 UpGuard 的综合网络安全解决方案如何使组织能够在整个供应链>实现合规性
马萨诸塞州数据安全法的目标是什么？
马萨诸塞州通过了第 201 CMR 17.00 号法规，以建立居民个人信息的保护标准：
该法律有三个主要目标来保护联邦居民：
- 确保个人信息的机密性
- 保护个人信息的完整性和安全性
- 保护个人信息免遭未经授权的访问
为了实现这三个目标，法律对数据控制者和处理者规定了严格的合规规定和数据隐私义务。
谁必须遵守 201 CMR 17.00？
马萨诸塞州数据安全法要求许多组织遵守，包括接收、存储或以其他方式处理马萨诸塞州居民与商品或服务销售相关的个人信息的任何企业。该法律还监管了在就业环境中获取个人信息的公司。
注意：201 CMR 17.00 的范围延伸到在马萨诸塞州经营的企业以及处理马萨诸塞州居民个人信息的州外企业。
什么是个人信息？
马萨诸塞州法律 201 CMR 17.00 将个人信息定义为包括个人名字和姓氏（或名字首字母和姓氏）以及以下任何一项的任何信息：
- 社会安全号码
- 驾照号码或州签发的身份证号码
- 财务账号（银行账户、信用卡或借记卡等）
根据法律，个人信息不包括从公共、州或联邦政府记录中合法获得的任何信息。该法律还排除了明确被视为公共知识的信息。
根据马萨诸塞州的法律，仅使用信用卡刷卡技术并根据州和联邦标准批量处理数据的企业不拥有或许可个人信息。
注意：201 CMR 17.00 使用的个人信息的定义来自马萨诸塞州普通法 （M.G.L） 第 93H 章。美国各地的其他隐私法对公共信息有更严格的定义。企业在考虑他们是否有资格获得任何数据隐私法的豁免时应小心，因为他们可能需要遵守另一项重叠的法律。
马萨诸塞州数据安全法 （201 CMR 17.00） 的要求
201 CMR 17.00 规定的标准要求收集或处理马萨诸塞州居民个人信息的组织：
- 制定包括计算机安全系统的书面信息安全计划 （WISP）
- 指定至少一名员工来维护 WISP 及其安全策略
- 进行风险评估并安装改进措施以保护个人数据
- 采取纪律处分措施和合理措施，对违反 WISP 的员工进行处罚
- 制定安全措施以改善个人信息的数据保护
- 记录任何违反安全或数据泄露的行为，以及组织为响应此类事件而采取的流程
注意： 组织的 WISP 中包含的保护措施必须与组织所遵守的其他州或联邦法规（HIPAA、GLBA、FERPA 等）一致。换句话说，不处理大量受保护信息的小型企业作为拥有更多资源的实体不受确切要求的约束。
计算机系统安全要求
马萨诸塞州法规要求企业在技术上可行的情况下，使用数据隐私行业标准来加强其计算机安全系统。
这些标准必须包括：
- 控制所有用户标识符和密码以进行身份验证
- 针对非活动用户或失败登录尝试的严格锁定程序
- 对合理需要与个人数据或此类信息交互的人员的访问限制或控制
- 最新的防火墙保护和作系统，以防止数据泄露
- 连接到 Internet 的系统的安全补丁
- 最新版本的系统安全代理软件（恶意软件防护和病毒定义）
- 加密协议，用于匿名化组织通过公共网络共享的任何个人信息
- 员工教育和培训协议
201 CMR 17.00 以下的加密协议
加密是马萨诸塞州数据安全法要求的最重要的协议。根据该法律，组织必须加密将要或可能以无线方式或通过公共网络传输的所有记录或文件。组织还必须加密存储在笔记本电脑或便携式设备上的所有个人数据。
与其他一些隐私法不同，马萨诸塞州要求对所有个人信息进行加密，即使存储设备不离开营业场所也是如此。
加密的定义 （201 CMR 17.00）
马萨诸塞州法律将加密定义为将数据转换为在不使用密钥或密码的情况下无法合理分配给个人的形式。组织还必须将数据更改为不可读的格式，以满足法律标准。仅提供密码保护并不等于合规性。
企业还必须考虑防止身份盗用的方法。根据法律的合理谨慎标准，个人数据不应通过不受保护的方式（例如电子邮件或短信）进行传输。
企业与第三方服务提供商之间的合同
根据法律，所有服务提供商都必须签署一份合同，要求他们遵守马萨诸塞州数据安全法的标准。组织在选择第三方供应商来协助其业务时也必须进行尽职调查。
201 CMR 17.00 的执行
马萨诸塞州数据安全法指定马萨诸塞州总检察长执行所有执法行动。总检察长办公室将通知任何违反法律的实体，并执行严格的合规期限。在接到违法通知后不遵守规定的企业可能会受到每位受影响个人最高 5,000 美元的民事处罚。
UpGuard 的供应商风险产品使组织能够实现合规性（201 CMR 17.00、MHMDA、VCDPA、CCPA、GDPR 等）在他们的供应链中。该技术还允许组织自动执行供应商合规性风险评估，并接收其安全状况的实时更新。
UpGuard 的 BreachSight 使组织能够完全控制其数据处理程序。该产品使企业能够主动监控其攻击面，对其网络安全保护充满信心，并根据 201 CMR 17.00 或任何其他合规性法规建立最佳实践。
>注意： 组织可以在 Mass.gov 上阅读其他马萨诸塞州数据安全法信息。马萨诸塞州消费者事务和商业监管办公室 （OCABR） 也发布了有关该主题的几个常见问题解答。