# 1.4 从整体上了解与信息安全相关的法律、法规和合规性问题
1、网络犯罪和数据泄露。网络犯罪触发刑法，数据泄露是网络罪犯未经授权访问或者窃取信息；数据泄露法包括泄露通告条款 GDPR 72小时通知条款。安全责任是不能委托和外包的
2、法律、条例和法规。
（1）FISMA 联邦信息安全管理法；（2）HIPAA 保护个人健康信息的PHI的。当信息泄露影响超过500人，必须要通知卫生部门；（3）HI-Tech （4）GLBA 保护金融 （5）通用数据保护条例GDPR（6）CCPA 加州的 （7）SOX法案
3、知识产权。版权、商标、专利和商业秘密。
4、版权法。防止创作者的作品遭到未经授权的复制，最后一位作者去世后70年。
5、商标，保护期10年，后续可以再续；专利，保护期限20年
6、商业秘密。源代码视为商业机密。
7、进出口管制，ITAR
8、跨境数据流，GDPR美国和欧盟之间，含有欧盟公民的隐私数据传输到美国必须要通过数据脱敏，匿名、假名、掩码等技术。关键：遵守数据所在国家的法律法规。
9、隐私问题。（1）美国隐私法，HI-Tech 保护PHI；爱国者法案，允许当局获得对某人全面的授权；澄清数据海外合法使用云法案 CLOUD，（2）GDPR，三个实体：数据主体（数据所属的个人），数据控制者（收集欧盟居民数据的任何组织）、数据处理者（为数据控制者处理数据的任何组织）
10、GDPR主要条款。（1）同意权（2）知情权（3）限制处理的权利（4）被遗忘的权利 （5）泄露后72小时报告
11、GDPR处理个人数据的七项权利。少收集或者不收集是对隐私最好的保护。
12、跨境信息共享。
13、加拿大隐私法。个人信息保护和电子文件法，PIPEDA，限制商业企业如何收集、使用和披露个人信息的国家级法律；南非《个人信息保护法》POPIA；《加州消费者隐私法案》CCPA。
14、合同和采购
15、刑法。刑法是强制性的；民法；行政法
16、合规。符合法律法规和组织的政策规范，合规性的审计，外部或者独立的审计报告，可以证明该公司的合规性。SOX塞班斯法案，PCI DSS等。SOX成立上市公司会计监督委员会
17、SOC，SOC1：关注财务报表；SOC2：根据AICPA评估组织的隐私、安全、可用、完整性和机密性。SOC2报告可以验证，SOC2报告很关键；SOC3：SOC3是SOC2的简化版本，面相公众的。Type I：时间点报告类型1报告，可以类似文件审核；Type II：时间段报告，SOC2报告要求时间段不少于6个月
