您准备好遵守CCPA了吗？

2018 年 6 月 28 日，加州州长杰里·布朗签署了第 375 号议会法案《 加州消费者隐私法案》（CCPA）¹。CCPA法案赋予该州 4000 多万人民一系列权利，与欧洲公民根据《通用数据保护条例》（GDPR）享有的权利相当（这两项立法并不那么相似，但它们确实有一些共同点，GDPR 是一部综合性法律，而 CCPA 则更为有限）。

自 CCPA 成为法律以来，它经历了两次重大更新。第一次更新发生在 2018 年 8 月 24 日，参议院法案 1121²引入了 45 项修正案，这些修正案大部分是非实质性的（主要是解决技术错误）；第二次更新发生在 2 月 25 日，当时加州总检察长提出了 参议院法案 561³，以进一步澄清和加强该法案。

该法案的主要内容与消费者隐私保护有关。如需更全面的了解，请阅读《如何为加州消费者隐私法案做好准备》。

CCPA 的一部分专门涉及数据安全，Thales提供了您遵守该法案这一部分所需的许多解决方案。

¹https://www.caprivacy.org/about

²https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=201720180SB1121

³https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=201920200SB561

合规性要求

以下文字直接摘自CCPA：

1798.150. (a) (1) 如果企业违反了实施和维护与信息性质相适应的合理安全程序和做法以保护个人信息的义务，导致其未加密或未编辑的个人信息（如第 1798.81.5 节第 (d) 款第 (1) 段第 (A) 子段所定义）遭到未经授权的访问和泄露、盗窃或披露，则消费者可以提起民事诉讼... ⁴

⁴https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=201720180SB1121

合规性遵守方法

CCPA 合规摘要

除了加密和编辑之外，CCPA 并未具体规定受 CCPA 约束的组织必须采取哪些措施来保护消费者数据免遭盗窃。然而，大多数法规（如 CCPA）都是如此。相反，它们依靠“最佳实践”来跟上不断变化的数字安全环境。Thales是数字安全领域的领导者，我们已帮助数百家企业遵守世界各地的监管制度，我们推荐几乎每一套法规中都要求的关键数据保护技术。

这些包括：

• 敏感数据发现和分类

• 数据访问控制

• 静态数据的加密和标记化（假名化）

• 动态数据加密

• 加密密钥管理

• 保存和监控用户访问日志

• 使用HSM（硬件安全模块）执行加密过程并保护加密密钥

数据发现和分类

保护敏感数据的第一步是找到组织中数据的位置，将其归类为敏感数据并进行分类（例如 PII、财务、IP、HHI、客户机密等），以便您可以应用最合适的数据保护技术。定期监控和评估数据也很重要，以确保不会忽略新数据并且您的组织不会违反合规性。

Thales 的CipherTrust 数据发现和分类可有效识别本地和云中的结构化和非结构化敏感数据。该解决方案支持无代理和基于代理的部署模型，提供内置模板，可快速识别受监管数据、突出显示安全风险并帮助您发现合规性漏洞。简化的工作流程可揭示安全盲点并缩短补救时间。详细的报告支持合规计划并促进高管沟通。

强大的访问管理和身份验证

Thales访问管理和身份验证解决方案提供组织遵守数据安全法规所需的安全机制和报告功能。我们的解决方案通过在用户登录存储敏感数据的应用程序时实施适当的访问控制来保护敏感数据。通过支持广泛的身份验证方法和策略驱动的基于角色的访问，我们的解决方案可帮助企业降低因凭证泄露或被盗或内部凭证滥用而导致数据泄露的风险。

支持智能单点登录和逐步身份验证，使组织能够为最终用户提供最佳便利，确保他们仅在需要时进行身份验证。全面的报告功能使企业能够对所有访问和身份验证事件进行详细的审计跟踪，确保他们能够证明自己符合各种法规。

保护静态敏感数据

CipherTrust 数据安全平台是一套以数据为中心的安全产品和解决方案，将数据发现、保护和控制统一在一个平台上。

• 发现：组织必须能够发现数据，无论它位于何处，并对其进行分类。这些数据可以有多种形式：文件、数据库和大数据，并且可以存储在本地存储、云中和备份中。数据安全和合规性始于在黑客和审计人员之前找到暴露的敏感数据。CipherTrust 数据安全平台使组织能够通过高效的数据发现、分类和风险分析全面了解本地和云中的敏感数据。

• 保护：一旦组织知道其敏感数据的位置，就可以应用加密或标记化等保护措施。为了通过加密和标记化成功保护敏感数据，组织必须保护、管理和控制加密密钥本身。CipherTrust 数据安全平台提供全面的数据安全功能，包括具有访问控制的文件级加密、应用程序层加密、数据库加密、静态数据屏蔽、具有基于策略的动态数据屏蔽的无保险库标记化以及保险库标记化，以支持广泛的数据保护用例。

• 控制：组织需要控制对其数据的访问并集中密钥管理。每项数据安全法规和要求都要求组织能够监控、检测、控制和报告对数据和加密密钥的授权和未授权访问。CipherTrust 数据安全平台在多个云服务提供商(CSP) 和混合云环境中提供强大的企业密钥管理，以集中管理加密密钥并配置安全策略，以便组织能够控制和保护云中、本地和混合环境中的敏感数据。

• 监控：最后，企业需要监控对敏感数据的访问，以识别来自恶意内部人员、特权用户、APT 和其他网络威胁的持续或近期攻击。CipherTrust安全情报日志和报告使用领先的安全信息和事件管理 (SIEM) 系统简化合规性报告并加快威胁检测。该解决方案允许立即自动升级和响应未经授权的访问尝试，并提供构建识别授权用户可疑使用行为所需的所有数据。

保护移动中的敏感数据

Thales高速加密器(HSE) 提供独立于网络的动态数据加密（第 2、3 和 4 层），确保数据在站点间或从本地到云再返回时的安全。我们的 HSE 解决方案可让客户更好地保护数据、视频、语音和元数据免遭窃听、监视以及公开和秘密拦截 — 所有这些都以实惠的成本实现，且不会影响性能。

保护密钥

Thales的Luna HSM为安全加密处理、密钥生成和保护、加密等提供坚固、防篡改的环境。Luna HSM有三种 FIPS 140-2 认证外形，支持各种部署场景。

此外，Luna HSM还具有以下特点：

• 生成并保护根密钥和证书颁发机构 (CA) 密钥，为各种用例的 PKI 提供支持

• 签署您的应用程序代码，以确保您的软件保持安全、未被篡改和真实

• 创建数字证书，用于对物联网应用和其他网络部署的专有电子设备进行认证和验证

作为Thales的合作伙伴，揽阁信息与您一同解决合规性要求的各类问题，欢迎联系揽阁信息获取更多信息。

揽阁信息 · 值得您信赖的信息安全顾问！

相关文章：

• 2026年密钥安全的新挑战和应对
• 泰国：在金融服务业合规方面应对前所未有的数字化增长
• 哪些国家和地区的合规性可以使用Luna HSM进行满足？
• 2025年的全球合规趋势
• Thales Luna HSM v7.8.5 获得 eIDAS合规通用标准 EAL4+ 认证
• 遵守澳大利亚 SOCI 法案 - 合规性满足