社会保障号码: OMB和联邦机构尽力减少收集、使用和显示

      本文是GAO网站上最新的一个审计报告,原文地址:https://www.gao.gov/products/GAO-17-655T

为什么要选这个题目呢?

因为最近国家网络安全法正式实施了,也配套发布了一系列的有关个人信息保护的指南,如《个人信息安全规范(征求意见稿)》、《个人信息去标识化指南》、《数据出境安全评估指南》。美国的社会保障号(SOCIAL
SECURITY
NUMBERS)是很重要的信息,是身份盗窃的主要对象。本报告是从GAO审计的角度,描述了政府采取了哪些行动减小对SSN的不必要的使用


对我们有什么启示?

1、说明从GAO的角度来说,美国在保护SSN的方面做得不够好,例如24个执行机构的规划不力OMB的无效监督等,看到了吧,美国的政府也有很多问题,本来也不是容易的事,但这种找问题的精神值得学习。

2、来学习一下美国是如何保护SSN的,看对我们有什么借鉴的地方。

3、美国的套路一般是先出制度,然后出计划和配套的文件,各机构不仅仅要采取行为来执行,还要给出自己执行如何的自我评价,然后像GAO这样的独立的机构来做独立的审计。


各方的行动

我国最近密集出了关于人员身份信息的要求,也有了一些行动:

从国家合规性的方面:第一步,即国家管理上已经有了法律的要求;

从执行方的角度:各机构(政府、国企、私企)需要开始响应了,估计也有项目计划和预算,要开始陆续上一些管理和技术手段了,机构还要给出自我评价,在保护个人信息等敏感数据上做的努力,效果如何等。当然有一些基础性的工作,例如数据的分类分级的工作,数据脱敏等。

从安全管理机构的角度:最近某地警方已经查处大数据公司了,开始打板子,其他的安全管理机构,如网信部门、审计部门等也会有一些动作。

从安全产业的角度:用户的需求就是产业的机会,有关的服务、产品都准备好了吗?

GAO的审计发现

GAO在其报告中指出,总统任命的身份盗用工作组(Identity
Theft Task
Force)在2007年向人事管理(OPM),管理和预算办公室(OMB)和社会保障局(SSA)提出的建议,旨在消除不必要的收集、使用和展示社会保障号码(SSN)的政府措施,近些年一直也在这方面做一些改进,然而,这些举措取得的成果有限。
2008年,OPM提出了一项新规定,要求使用替代的联邦员工标识符,但后来取消了,因为没有这样的标识符可用。 OMB要求机构制定SSN减小计划,并继续要求年度报告来说明在减少SSN收集、使用和展示方面的努力。 SSA开发了与减少SSN使用相关的最佳实践的在线净室(clearinghouse);但是,净室已不支持在线使用。

财务总监(CFO)法案所涵盖的所有24个机构制定了SSN减少计划,并报告采取行动限制使用和显示SSN。然而,在对GAO问卷调查和后续讨论中,机构说明了进一步裁减的障碍,其中包括(1)规定SSN收集的法规和法规,(2)需要使用SSN与其他联邦实体进行必要的互动,和(3)代理系统和流程的技术限制。

此外,机构的规划不力OMB的无效监督对减少SSN的使用只有有限作用。没有OMB的指导,许多机构的削减计划并没有包括关键要素,如时间框架和绩效指标。此外,OMB还没有要求机构保持其SSN的最新清单,或提供了确定“不必要的使用和显示”的标准。此外,OMB还没有确保,机构更新其年度进展,也没有确定绩效指标来监督机构。总的来说,SSN减排努力有限,难以衡量,SSN被暴露和被用来进行身份盗用的风险仍然会高于需要。

(一)背景

1936年,随着1935年“社会保障法”的颁布,新成立的社会保障局(后来成为SSA)创建了9位数的SSN,社会保障号码主要的目的是为了追踪个人的赋税资料,但近年来已经成为实际上的身份证。这个数字在各种公共和私营部门信息系统中关联了身份。截至2016年9月,SSA向符合条件的个人发放了约4.96亿个独立SSN。

2006年,总统发布了一项行政命令,设立身份盗用工作组,加强努力,防止身份盗用。由于未经授权使用SSN被认为是身份盗用的关键因素,工作队对政府可能采取的行动进行了评估,减少SSN的潜在攻击。
2007年4月,工作组制定了一项战略计划,提出统一的联邦机构的方式或标准来使用和显示SSN
。该计划提出,OPM,OMB和SSA在限制不必要的数字使用方面发挥关键作用,提供替代SSN的指南,并当使用SSN是必要的或不可避免时,提高一致性。

(二)OPM,OMB和SSA在全国范围内减少有关SSN收集、使用和显示方面的作用有限

针对身份盗用工作组的建议,OPM,OMB和SSA采取了若干行动,但是,在我们认为这些行动的作用有限。

2.1 OPM发布指南和拟议规则,但随后被取消

OPM采取了几项行动来响应工作队的建议。通过使用其在2006年开发的系统,采取行动改变,消除或掩盖了对OPM批准/授权表单中的SSN的使用,这些表单由跨政府机构用作人员记录。此外,2007年,OPM向其他联邦机构发布了关于采取行动保护联邦雇员SSN,打击身份盗用的指南。

除了发布此指南外,2008年1月,OPM还提出了一项关于收集,使用和显示SSN的新规定,要求使用替代的标识符。然而, 2010年1月,收集了反馈意见后, OPM撤回了拟议规则,因为该机构认定发布规则是不切实际的,而没有一个代替的标识符。

在2015年,OPM开始探索为不同的计划和机构开发和使用多个替代标识符的概念。
按照设想,SSN只能在员工服务开始时收集一次,之后将根据需要分配相关计划(如医疗保健福利或培训)的唯一标识符。
但是,OPM的首席信息官办公室的官员表示,由于缺乏资金,该计划的工作在2016年被暂停。

2.2 OMB确定了各机构SSN减少工作的报告要求

2007年5月,OMB发行备忘录正式要求机构审查其在机构系统和方案中使用SSN的情况。机构还需要在备忘录之日起120天内制定计划,在18个月内消除不必要的收集和使用SSN。最后,备忘录要求机构参与政府工作,例如调查和数据电话,以探索SSN使用的替代方案,作为联邦雇员和联邦计划的个人识别码。

自从发布其2007年5月的备忘录要求制定SSN削减计划以来,OMB还要求机构提交他们的计划和文件的更新,在联邦信息安全管理法案要求的年度报告中体现不必要的使用SSNs的进展情况,现在由“2014年联邦信息安全现代化法案”(FISMA)要求。

2.3 SSA成立,但随后停止在线信息共享净室

身份盗用工作组建议,根据OMB关于使用SSN的审查的结果,SSA应建立净室,最小化SSNs的使用和显示。净室的目的是促进分享“最佳”实践,包括制定任何替代身份管理战略,以避免重复工作,并促进机构间合作,制定更有效的措施,尽量减少使用和显示SSN。

2007年,SSA在电子公告栏网站上建立了一个信息交换净室,以展示最佳做法,并为具体的计划和举措提供机构联系。但是,根据副局长的SSA官员的说法,净室不再活跃。

(三)机构都宣称尽力减少对SSN的使用和展示,并说明了挑战; 此外,规划不力和无效监督使得工作受到限制

(略)

如前所述,2007年5月,OMB发布了一份备忘录,要求机构制定计划,以消除不必要的收集和使用SSN,这一目标将在18个月内完成。OMB没有规定机构制定有效计划的要求。然而,其他联邦法律和指导已经确定了绩效计划一般应包含的关键要素,其中包括:

绩效目标和指标:计划应包括可以比较的具体和可衡量的目标。 应确定绩效指标,以衡量实现的成果与目标。

可衡量的活动:计划应界定要实现里程碑、主要可交付成果或工作阶段。

完成时间表:计划应包括每个完成目标的时间表,以用于衡量计划绩效。

角色和责任:计划应包括负责实现每个绩效目标的机构官员的角色和职责。

我们的初步结果显示,24名首席财务官法案机构最初根据其指导意见向OMB提交的大多数计划缺乏有效绩效计划的关键要素。例如,只有两个机构(商务部和教育部)制定了所有四个关键要素的计划。四个机构的计划没有完全解决任何关键因素,9个计划涉及一个或两个要素,其余9个计划涉及三个要素。

因此,我们的报告草案包含五项建议,以提高政府全面努力减少SSN不必要的使用的一致性和有效性,从而减轻身份盗用的风险。具体来说,报告建议OMB:

•规定机构为减少SSN不必要的收集,使用和展示而制定的计划中,包含必要的要素,如绩效目标、完成时间、职责分工等;

•要求机构修改其含有PII的系统的清单,以指明哪些系统包含SSN,并使用清单来监测其减少不必要的SSN收集和使用;

•向各机构提供如何确定不必要的SSNs的使用标准,以促进联邦政府的一致应用;

•采取步骤,确保各机构在其年度FISMA报告中提供进展情况的最新状态报告;

•建立绩效监测措施,监测机构进度,持续有效地执行计划的减排工作。

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注