1999年通過的 Gramm-Leach-Bliley Act（GLBA） 是美國金融業隱私保護的基石法規。它要求金融機構妥善保護客戶的非公開個人資訊（NPI），並建立強制性的隱私通知與資安合規機制。
GLBA 三大核心規則
GLBA 由三個關鍵規則構成，共同形成完整的合規框架。隱私規則（Privacy Rule） 要求金融機構每年向客戶發送隱私通知，說明 NPI 的蒐集與共享方式，並提供客戶選擇退出（opt-out）第三方共享的權利。保障規則（Safeguards Rule） 由 FTC 執行，強制機構實施書面資訊安全計畫，涵蓋風險評估、存取控制、加密及事件回應。假托規則（Pretexting Rule） 則明確禁止以欺騙手段取得客戶金融資訊，防範社交工程攻擊。三規則相輔相成，缺一不可。
2023 年保障規則修訂重點
FTC 於 2023 年正式強化保障規則，大幅提升技術合規門檻。新規要求擁有 500 名以上客戶 NPI 的機構 必須指派合格的資安長（CISO）、執行年度滲透測試與漏洞掃描，並針對資料外洩事件在 30 天內 向 FTC 強制通報。加密需涵蓋傳輸中與靜態儲存的所有 NPI，同時建立多因子驗證（MFA）機制以控管系統存取。違規機構面臨每日最高 $100,000 美元 的民事罰款，高管個人亦可能承擔刑事責任，合規壓力顯著提升。
💡 合規核心要點
- 每年向客戶發送隱私通知，並提供 opt-out 選項。
- 建立書面資訊安全計畫，涵蓋風險評估與加密措施。
- 資料外洩後 30 天內強制通報 FTC（適用新規）。
- 指派 CISO 並定期執行滲透測試與漏洞掃描。
GLBA 合規不僅是法律義務，更是建立客戶信任的基礎。金融機構應將隱私保護融入日常營運，定期審查安全計畫，以因應持續演進的監管要求與資安威脅。
📚 參考文獻
- Federal Trade Commission — Gramm-Leach-Bliley Act 官方指引
- FTC Safeguards Rule — 2023 年保障規則修訂摘要（PDF）
- NIST SP 800-122 — 個人識別資訊（PII）保護指南
⚠️ 本文內容基於撰寫時的最新資訊，實際應用時請參考官方文件的最新版本。
留言
張貼留言