privacy-data-security

隐私与数据安全

监管状态截至 2026 年 6 月 — 提供建议前，请对照 SEC/FINRA/FinCEN 的最新资料核实生效日期、金额门槛和待定规则制定事项。

核心概念

Regulation S-P（消费者金融信息隐私）

Regulation S-P（17 CFR Part 248，Subparts A 和 B）为在 SEC 注册的实体实施《格雷姆-里奇-比利雷法案》（GLBA）第五章。该法规适用于在 SEC 注册的投资顾问、经纪交易商、投资公司和过户代理机构。该法规包含三个核心部分：

隐私通知要求。 公司必须在建立客户关系时向每位客户提供初始隐私通知（17 CFR 248.4）。通知必须说明：(a) 收集的非公开个人信息（NPI）类别，(b) 向第三方披露的 NPI 类别，(c) 接收 NPI 的关联方和非关联第三方类别，(d) 客户对特定披露享有的选择退出权，(e) 公司保护 NPI 机密性和安全性的政策与做法，以及 (f)《公平信用报告法》要求的任何披露。在客户关系存续期间，必须在每个 12 个月周期内提供一次年度隐私通知（17 CFR 248.5）。2015 年《FAST 法案》（Pub. L. 114-94，第 75001 条）为年度通知要求设立了一项例外：如果公司 (i) 仅依据 17 CFR 248.14 和 248.15 中的例外情形共享 NPI，且 (ii) 自最近一次通知以来未更改其隐私政策和做法，则可通过在其网站上以清晰醒目的方式持续发布隐私通知来满足年度要求，而无需向每位客户邮寄通知。

选择退出要求。 在与非关联第三方共享 NPI 之前，公司必须给予客户合理的选择退出机会（17 CFR 248.7 和 248.10）。选择退出通知必须清晰醒目，并与隐私通知一并提供或作为其中一部分提供。选择退出要求的例外情形包括：(a) 为执行、管理或履行客户要求的交易所必需的披露，(b) 根据书面合同协议向服务提供商和联合营销合作伙伴披露，且合同限制第三方使用 NPI，(c) 经客户同意的披露，(d) 为防范欺诈而进行的披露，以及 (e) 法律要求的披露（17 CFR 248.14 和 248.15）。联合营销协议必须包含书面合同，明确规定第三方将对 NPI 保密，并且仅将其用于披露时所述的目的。

保障规则。 第 248.30 条要求每家受监管机构制定书面政策和程序，涵盖保护客户记录和信息的行政、技术和物理保障措施。行政保障措施包括指定负责的员工或主管、开展风险评估、实施员工培训，以及建立对服务提供商的监督机制。技术保障措施包括访问控制、加密、入侵检测系统和信息系统监控。物理保障措施包括安全存放记录、控制设施访问，以及妥善处置文件。相关政策必须合理地旨在：(a) 确保客户记录和信息的安全性与机密性，(b) 防范对这些记录的安全性或完整性构成可预见威胁或风险的情况，以及 (c) 防止未经授权访问或使用这些记录，以免给客户造成重大损害或不便。

处置规则。 第 248.30(b) 条要求妥善销毁从消费者报告中获取的消费者报告信息。合理的处置措施包括粉碎纸质文件、擦除或销毁电子介质，以及与第三方处置服务商签订合同，要求其妥善销毁相关信息。

Regulation S-ID（红旗规则）

Regulation S-ID（17 CFR 248.201-202）为受 SEC 监管的实体实施《公平准确信用交易法》（FACTA）第 114 和 315 条。该法规要求持有“受覆盖账户”的金融机构和债权人制定并实施书面的身份盗窃防范计划（ITPP），以发现、防止和减轻身份盗窃。

受覆盖账户。 受覆盖账户分为两类：（a）主要用于个人、家庭或家用目的，且涉及或旨在允许多笔付款或交易的账户（例如，证券经纪账户、保证金账户、提供持续服务的顾问账户）；以及（b）任何其他账户，只要身份盗窃对客户或金融机构的安全稳健运营造成的风险可以合理预见，包括财务、运营、合规、声誉或诉讼风险。

身份盗窃防范计划要求。 ITPP 必须包含合理的政策和程序，以：（1）识别适用于公司受覆盖账户的相关红旗，参考以下五类红旗——消费者征信机构发出的警报、通知或警示；可疑文件；可疑个人身份信息；受覆盖账户的异常使用或相关可疑活动；以及客户、身份盗窃受害者、执法机构或其他人员关于可能发生身份盗窃的通知；（2）发现已纳入计划的红旗；（3）对发现的任何红旗作出适当响应，以防止和减轻身份盗窃；以及（4）确保定期更新计划，以反映客户以及公司的安全稳健运营所面临风险的变化。

管理。 ITPP 必须经董事会、董事会委员会或高级管理层批准（17 CFR 248.201(d)）。持续管理包括：指定负责实施计划的具体人员；培训员工执行计划；对服务提供商安排实施适当且有效的监督（确保服务提供商在受覆盖账户方面开展的活动，遵循用于发现、防止和减轻身份盗窃的合理政策和程序）；以及确保根据需要更新计划。

SEC 网络安全规则与指南

SEC 通过规则制定、解释性指南和执法相结合的方式处理网络安全问题。

上市公司披露规则（2023 年）。 2023 年 7 月，SEC 通过规则，要求上市公司在认定网络安全事件具有重大性后的四个工作日内，通过 Form 8-K（项目 1.05）披露该事件。公司还必须在 Form 10-K（Regulation S-K 的项目 1C）中披露其网络安全风险管理、战略和治理情况。要求披露的内容包括：评估、识别和管理网络安全风险的流程；网络安全风险是否已经或合理可能对公司的业务战略、经营业绩或财务状况产生重大影响；董事会对网络安全风险的监督；以及管理层在评估和管理网络安全风险方面的职责。 2024 年 Reg S-P 修正案——事件响应与泄露通知。 2024 年 5 月，SEC 通过了对 Regulation S-P 的修正案（Release No. 34-100155），首次对在 SEC 注册的经纪交易商、投资顾问、投资公司和过户代理提出了普遍适用的联邦泄露响应要求。受监管机构必须：(a) 制定、实施并维护书面事件响应计划，该计划应合理设计，以检测、响应并从未经授权访问或使用客户信息的事件中恢复；(b) 尽快通知其敏感客户信息已遭未经授权访问或使用，或有合理可能遭此类访问或使用的受影响个人，且不得迟于获悉事件后 30 天；以及 (c) 维护书面政策，以监督服务提供商，包括确保机构收到服务提供商发生泄露事件通知的条款。合规日期：大型实体为 2025 年 12 月 3 日，小型实体为 2026 年 6 月 3 日——截至 2026 年 6 月，这些要求已对所有受监管机构生效（针对新注册公司的任何过渡指引，请核实）。

独立网络安全规则制定状态。 SEC 于 2022 年 2 月／3 月提出的、针对顾问和基金的网络安全风险管理规则（Release No. IA-5956）已于 2025 年 6 月正式撤回，连同其他 13 项待审提案一并撤回。除 2024 年 Reg S-P 修正案外，SEC 通过现有权限执行网络安全义务：Reg S-P《保障规则》（17 CFR 248.30）、账簿和记录规则（SEC Rule 17a-4、IA Act Rule 204-2）以及一般反欺诈条款。在就未来要求提供建议前，请核实当前规则制定议程。

SEC EXAMS（前称 OCIE）检查重点。 自 2014 年以来，网络安全一直是 SEC 检查的重点。检查的主要领域包括：治理和风险评估（董事会或高级管理层监督、CISO 或同等职务、形成书面记录的风险评估）、访问权限和控制（最小权限、多因素身份验证、访问日志记录、及时撤销离职员工的访问权限）、数据丢失防护（监控未经授权的数据传输、静态和传输中加密、终端防护）、供应商管理（对第三方服务提供商开展尽职调查、合同中的安全要求、持续监控）、事件响应（书面计划、测试和桌面演练、升级程序）以及培训（频率、内容、网络钓鱼模拟结果）。

SEC 执法。 SEC 已依据 Reg S-P《保障规则》和《身份盗窃红旗规则》，对未能履行网络安全义务的注册公司采取执法行动。值得关注的执法主题包括：未制定保护客户信息的书面政策和程序、访问控制不足（例如允许共享凭据、未实施多因素身份验证）、未能发现并应对已知漏洞，以及在发生泄露后对网络安全实践作出误导性披露。

事件响应要求

监管要求金融机构具备全面的事件响应能力。

书面事件响应计划。 SEC 要求注册机构制定书面事件响应计划，其中包括：指定事件响应团队，明确职责分工和升级权限；制定按严重程度检测和分类事件的流程；制定控制措施，以限制事件的范围和影响；制定证据保全协议（取证镜像、日志留存、证据保管链记录）；制定清除和恢复流程；明确内部升级和报告时限（向高级管理层、董事会、法律顾问和合规部门报告）；制定外部通知流程（按要求通知客户、监管机构和执法部门）；以及开展事后审查，以确定根本原因和补救措施。

客户通知。 根据 2024 年 Reg S-P 修正案，受规制机构必须在获悉敏感客户信息已被未经授权访问或使用，或有合理可能被未经授权访问或使用后的 30 天内通知受影响的个人（大型机构须自 2025 年 12 月 3 日起合规，小型机构须自 2026 年 6 月 3 日起合规）。如果机构经合理调查后认定，敏感客户信息并未、且合理而言不太可能以会造成重大损害或不便的方式被使用，则无需通知。除联邦要求外，所有 50 个州、哥伦比亚特区和美国领地均适用州级数据泄露通知法律，各地的触发条件和内容要求不尽相同。大多数州要求在发现泄露后的 30 至 60 天内通知；部分州的期限更短，例如佛罗里达州（依据 Fla. Stat. 501.171 为 30 天）和科罗拉多州（依据 C.R.S. 6-1-716 为 30 天）。在多个州开展业务的机构必须遵守受影响个人居住地所在各州的通知要求，因此通常需要同时按照最严格的标准制定方案，并遵守联邦 30 天时限。

监管机构通知。 除客户通知外，某些情况还会触发向监管机构报告的义务：(a) 如果泄露事件涉及潜在金融犯罪，可能适用 BSA/AML 规则下的 SAR 申报义务；(b) FINRA 要求其会员机构将重大网络安全事件报告给 FINRA；(c) 受纽约州 DFS 监管的实体必须在发生可能对正常运营造成重大损害的网络安全事件后 72 小时内通知 DFS（23 NYCRR 500.17）。

与执法部门协调。 机构应在事件发生前与相关执法部门（FBI、Secret Service、州检察长办公室）建立联系。发生数据泄露时，执法部门可能会要求延迟公开通知，以免妨碍调查；机构应与法律顾问合作，权衡这一要求与州级数据泄露通知时限之间的关系。

SAR 申报。 如果网络安全事件涉及或关联潜在金融犯罪——例如，未经授权的访问导致资金被盗、账户被接管，或身份盗窃被用于促成欺诈交易——机构必须评估是否应根据其 BSA/AML 义务提交可疑活动报告（SAR）。SAR 应说明网络安全事件、疑似犯罪活动的性质，以及对客户账户的影响。

州隐私法

金融机构面临多层监管环境，联邦证券隐私规则与州隐私和网络安全法规相互交叠。 加利福尼亚州（CCPA/CPRA）。《加利福尼亚州消费者隐私法》（Cal. Civ. Code 1798.100 et seq.）经《加利福尼亚州隐私权法案》修订（于 2023 年 1 月 1 日生效），赋予加利福尼亚州居民广泛的个人信息权利，包括知情权、删除权、更正权，以及选择退出个人信息出售或共享的权利。金融机构在受 GLBA 约束并依据 GLBA 收集、处理、出售或披露个人信息的范围内，可部分豁免适用 CCPA/CPRA。不过，该豁免仅适用于依照 GLBA 收集、处理、出售或披露的信息；GLBA 适用范围之外的信息（例如员工数据、网站跟踪数据、营销数据）仍可能受 CCPA/CPRA 约束。公司必须仔细分析哪些数据属于 GLBA 豁免范围，哪些不属于。

**纽约州（DFS 23 NYCRR 500）。**纽约州金融服务部的网络安全法规适用于所有依据 DFS 许可证、注册或特许经营执照运营，或必须依据此类许可证、注册或执照运营的实体，以及其他受 DFS 监管的实体。其中包括许多在纽约州运营的经纪交易商和投资顾问。主要要求包括：指定首席信息安全官（CISO）；根据风险评估建立并维护网络安全计划；制定涵盖 14 个指定领域的书面网络安全政策（包括信息安全、数据治理与分类、资产清单、访问控制、业务连续性、系统与网络安全、监控、事件响应、供应商管理、加密等）；每年进行渗透测试，并每半年进行一次漏洞评估；从外部网络访问内部网络时使用多因素身份验证；对传输中和静态存储的 NPI 进行加密；发生重大网络安全事件后 72 小时内通知 DFS（23 NYCRR 500.17）；由董事会或高级管理人员每年出具书面合规证明（23 NYCRR 500.17(b)）；以及要求 CISO 至少每年向董事会或最高管理机构提交书面报告。DFS 已通过同意令和民事罚款积极执行 23 NYCRR 500。

马萨诸塞州（201 CMR 17.00）。《马萨诸塞州个人信息保护标准》要求所有拥有、许可、存储或维护马萨诸塞州居民个人信息的实体制定、实施并维护全面的书面信息安全计划（WISP）。必要内容包括：指定责任员工、开展风险评估、进行员工培训、监控计划、对违规行为进行纪律处分、防止已离职员工访问记录、监督服务提供商、限制实体访问、监控系统是否存在未经授权的访问、加密包含个人信息的传输记录、加密存储在笔记本电脑和便携式设备上的所有个人信息、使用较新的防火墙和操作系统安全补丁，以及使用最新的恶意软件防护措施。

**多州合规。**在多个州拥有客户的公司必须跟踪并遵守各州的隐私和数据泄露通知法律。主要差异包括：触发通知义务的“个人信息”定义（部分州纳入更广泛的类别，例如生物特征数据、健康信息或在线账户凭据）；通知期限（从 30 天到未明确时限的“合理期限”不等）；通知内容要求；通知州检察长或其他州机构的要求；以及提供信用监控或身份盗窃保护服务的要求。对于业务覆盖多个州的公司而言，维护一份逐州列明相关要求的数据泄露通知对照表是一项最佳实践。

供应商与第三方风险管理

SEC 和 FINRA 要求注册机构对能够访问客户数据、信息系统或关键业务功能的服务提供商进行审慎监督。外包并不意味着合规责任也随之外包，这一原则至关重要——无论客户数据在哪里处理或存储，机构都要对其安全负责。

合作前的尽职调查。 在聘用能够访问客户 NPI 或关键系统的供应商之前，机构应评估供应商的信息安全状况，包括：供应商书面的信息安全政策和程序、SOC 2 Type II 审计报告（或同等报告）、业务连续性和灾难恢复能力、事件响应程序及历史记录、分包商和子处理者的使用情况、数据中心安全（物理和逻辑）、加密实践、访问控制机制、员工审查和培训，以及财务稳定性。

合同保护措施。 与服务提供商签订的合同应包含：涵盖所有客户 NPI 和专有数据的保密义务；最低信息安全标准（引用 NIST CSF、ISO 27001 或 SOC 2 标准等公认框架）；安全事件通知要求（明确规定供应商发现影响机构数据的安全事件后，必须在规定期限内通知机构，通常为 24 至 72 小时）；机构审计供应商安全实践并获取审计报告的权利；合同终止后及时返还或销毁数据的要求；限制供应商将机构数据用于合同服务之外用途的条款；关于供应商使用分包商的规定，包括机构批准重大分包或获知相关情况的权利；对供应商安全失误造成损失的赔偿责任；以及机构因重大安全缺陷终止合同的权利。

持续监控。 尽职调查并非一次性工作。机构应：每年审查更新后的 SOC 报告或同等评估；定期开展安全问卷调查或评估；监控供应商是否发生已报告的安全事件或受到监管行动；审查供应商业务连续性和灾难恢复测试的结果；如果服务内容、可访问的数据、供应商所有权或财务状况发生重大变化，则重新评估供应商的风险状况。

云服务提供商注意事项。 SEC 曾发布专门针对云安全的风险提示（SEC EXAMS Risk Alert，2020 年 1 月）。主要预期包括：理解共同责任模型（云服务提供商负责保护基础设施；机构负责保护云环境中的数据和配置）；正确配置云存储，防止未经授权的公开访问；为云环境实施强大的身份和访问管理；对云服务中的静态和传输中数据进行加密；记录并监控云环境活动；了解云服务提供商的数据驻留、备份和灾难恢复实践。

集中度风险。 监管机构对多家机构依赖同一关键服务提供商所产生的集中度风险表示担忧。机构应评估关键供应商的故障是否会造成系统性风险，制定涵盖供应商故障情形的业务连续性计划，并在可行的情况下考虑分散关键服务。

金融机构的数据治理

有效的数据治理为满足隐私和安全监管要求提供了运营框架。

数据分类。 金融机构应根据敏感程度和监管要求对数据进行分类，分类结果必须指导访问控制、加密、监控和销毁要求的实施。对于受 SEC 监管的金融机构，重要的数据类别包括修订后的 Reg S-P 中定义的“客户信息”和“敏感客户信息”（这些定义确定了事件响应和通知义务的适用范围）、受《处置规则》约束的消费者报告信息，以及受信息隔离控制约束的重大非公开信息。

访问控制。 最小权限原则要求员工、系统和服务提供商只能获得履行职责所需的最低限度访问权限。基于角色的访问控制（RBAC）根据工作职能而非个人身份分配权限，从而有助于一致地执行控制，并高效地授予和撤销权限。职责分离可防止任何个人对可能助长欺诈或未授权访问的流程拥有端到端控制权。访问权限审查应至少每年进行一次；对于特权账户，应更频繁地进行审查。

加密。 数据应在静态存储时（静态数据）和传输过程中（在网络间移动的数据）进行加密。对于静态数据，常见方法包括全盘加密、数据库加密和文件级加密。对于传输中的数据，所有包含 NPI 的通信都应使用 TLS 1.2 或更高版本。金融机构的安全政策必须涵盖加密密钥管理，包括密钥生成、存储、轮换和销毁。

数据保留与销毁。 金融机构必须在数据最小化原则与账簿和记录的保留要求之间取得平衡。SEC Rule 17a-4（经纪交易商）和 IA Act Rule 204-2（投资顾问）对不同类别的记录规定了具体保留期限，通常根据记录类型为 3 到 6 年。数据应按适用的最长保留期限保存，并在期限届满后安全销毁。销毁方法必须确保数据无法恢复：物理介质应进行粉碎，电子介质应进行密码学擦除或物理销毁。

数据防泄漏（DLP）。 DLP 系统会监控和控制敏感数据在金融机构内部及外部的流动。常见的 DLP 控制包括：监控电子邮件和 Web 流量中的 NPI 模式（例如，Social Security 号码、账户号码）；阻止未经授权将敏感文件传输到外部目标位置（USB 驱动器、个人电子邮件、云存储）；监控敏感文档的打印活动；以及针对异常数据流动模式生成警报。DLP 控制应根据金融机构的数据分类方案进行校准。

监控与日志记录。 金融机构应全面记录对敏感系统和数据的访问，包括：用户身份验证事件（成功和失败）、对客户账户记录的访问、访问权限变更、数据导出和传输，以及系统管理员活动。日志必须保留足够长的时间，以支持事件调查和监管检查（SEC 检查人员经常要求查看 12 到 24 个月的访问日志）。应配置自动警报，以检测异常活动模式，例如非工作时间访问、从异常地点访问或批量下载数据。

员工培训与意识提升

合规方面的具体要求：Reg S-P Safeguards Rule 要求将员工培训纳入书面信息安全政策；FINRA Regulatory Notice 21-18 强调成员公司应开展员工意识提升与培训；纽约州 DFS 23 NYCRR 500.14 则明确要求为所有人员定期开展网络安全意识培训。培训至少每年开展一次，并且必须在新员工入职期间、其获得客户 NPI 访问权限之前完成。所有培训都必须记录在案（日期、参与者、主题、材料），并至少保留 5 年——在网络安全审查期间，SEC 审查人员通常会索取培训记录和钓鱼模拟点击率；如果年度培训只有幻灯片，却没有可衡量的成效，越来越容易被视为不充分。

实例

示例 1：离职员工将客户 NPI 下载到个人 USB 驱动器

**场景：**一家在 SEC 注册的投资顾问在例行访问权限审查中发现，一名近期离职的投资组合经理在任职的最后一天，将包含客户 NPI 的文件下载到个人 USB 驱动器。该文件包含 850 名客户的姓名、社会安全号码、出生日期和账户价值。公司 IT 团队通过终端监控日志发现了这次传输。该员工已离开公司，并在一家竞争性 RIA 任职。 合规问题：

• Reg S-P Safeguards Rule（17 CFR 248.30）要求制定书面政策和程序，以防止未经授权访问客户记录。公司必须评估现有控制措施是否足以防止此类数据外泄，以及是否遵循了相关政策。
• 如果公司的政策禁止使用个人 USB 设备，或要求部署 DLP 控制措施来阻止将包含 NPI 的文件传输到可移动介质，那么未能执行这些政策本身就构成 Safeguards Rule 缺陷。
• 如果公司没有此类政策，那么缺少政策可能构成违反 Safeguards Rule，因为这些政策必须经过合理设计，以防止未经授权的访问。
• Reg S-P 事件响应和通知要求已触发：社会安全号码属于敏感客户信息，因此公司必须启动事件响应计划，并在知悉未经授权访问后的 30 天内通知受影响个人。
• 州级数据泄露通知法律也已触发。公司必须确定 850 名受影响客户各自的居住州，并遵守各适用州法律中的通知要求。
• 包括加利福尼亚州（Cal. Civ. Code 1798.82）、马萨诸塞州（M.G.L. c. 93H, Section 3）和纽约州（N.Y. Gen. Bus. Law 899-aa）在内的多个州，要求同时通知受影响个人和州总检察长。通知时限各不相同，但通常为发现事件后的 30 至 60 天。
• 公司应评估离职员工的行为是否构成潜在金融犯罪（窃取商业秘密、协助身份盗窃，或为竞争性招揽而滥用客户信息），这可能需要根据 BSA/AML 义务提交 SAR。 分析： 公司应立即采取以下措施：(1) 保全数据传输的所有证据，包括终端监控日志、员工访问日志，以及有关访问或复制文件的任何记录。(2) 聘请法律顾问评估州级数据泄露通知义务，并确保调查过程受到律师-客户特权保护。(3) 通过法律顾问联系前员工及竞争公司，要求归还或经认证销毁所有客户数据，并提供法证认证，证明不存在任何副本。(4) 对前员工的工作站和访问历史进行法证分析，以确定是否有其他数据遭到泄露。(5) 根据适用州法律的要求通知受影响客户，说明遭泄露的数据性质、公司正在采取的措施，以及信用监控或身份盗窃保护方面的资源（多个州要求公司免费提供信用监控服务）。(6) 向高级管理层和董事会（或同等治理机构）报告事件，以便监督。(7) 评估是否应加强现有访问控制措施，例如实施或强制执行 USB 端口封锁、阻止将 NPI 传输到可移动介质的 DLP 控制措施，以及在员工离职期间加强监控。(8) 记录所有补救措施，因为 SEC 检查人员会要求查看公司查明根本原因并采取纠正措施的证据。

示例 2：第三方供应商勒索软件攻击导致客户数据泄露

**场景：**一家中型经纪交易商使用第三方投资组合会计供应商处理并存储约 15,000 个账户的客户账户数据。供应商通知该公司，其遭遇了勒索软件攻击，威胁行为者在加密系统之前窃取了数据。供应商的初步评估表明，被窃取的数据可能包括客户姓名、地址、账号、社会安全号码和账户持仓。该公司的客户居住在 38 个州。供应商在发现事件 10 天后才发出通知。 合规问题：

• 该公司在 Reg S-P《保障规则》下的义务延伸至对服务提供商的监督。该公司必须制定书面政策和程序，以规范服务提供商监督，包括合同保护和持续监控（17 CFR 248.30）。
• 该公司必须评估其供应商管理计划是否充分：合同是否要求供应商在规定期限内（例如 24 至 72 小时）通知该公司？延迟 10 天可能表明合同存在漏洞，或供应商违反了合同义务。该公司在聘用供应商前是否对其安全状况进行了尽职调查？该公司是否审查了供应商的 SOC 报告或同等评估？合同是否包含审计权、分包商管控和赔偿条款？
• 如果该公司受 DFS 监管，23 NYCRR 500.17 要求其在确定发生了可能严重损害正常运营的网络安全事件后 72 小时内通知 DFS——这包括影响该公司客户数据的第三方服务提供商事件。
• 客户居住地所在的全部 38 个州均会触发州数据泄露通知法律。该公司——而非供应商——通常与客户存在直接关系，因此承担通知义务（但在某些州，供应商可能也有独立的通知义务）。
• FINRA 期望会员公司将重大网络安全事件通知 FINRA。影响 15,000 个包含社会安全号码的客户账户的数据泄露事件属于重大事件。
• 该公司在 Reg S-P 下的事件响应计划义务适用：该公司必须执行其书面事件响应计划，并在知悉敏感客户信息已被未经授权访问或有合理可能被未经授权访问后的 30 天内通知客户——联邦时限与各州时限同时计算。 分析： 该公司应启动事件响应计划并采取以下行动：(1) 聘请外部网络安全法律顾问和取证调查公司，独立于供应商的评估来确定泄露范围。(2) 要求供应商提供详细的事件时间线、取证调查报告、遭到泄露的具体数据确认信息、供应商采取的补救措施，以及攻击途径已被封堵的证据。(3) 开始梳理全部 38 个州各自的数据泄露通知要求。将最严格的时限（很可能是自该公司发现事件起 30 天）作为所有通知的目标期限，以确保符合各司法管辖区的要求。(4) 准备符合各适用州内容要求的客户通知函，说明遭到泄露的数据类型、该公司的应对措施以及信用监控服务信息（该公司应自费为受影响客户提供信用监控）。(5) 如果该公司受 23 NYCRR 500 约束，应在 72 小时内通知 DFS。(6) 将事件通知 FINRA。(7) 评估数据泄露是否导致或促成了任何未经授权的交易、账户接管或其他潜在金融犯罪，并在适当情况下提交 SAR。(8) 重新评估供应商关系：审查合同中的违约条款和赔偿权利，考虑供应商的安全做法是否足以支持继续合作，并记录重新评估结果。(9) 向董事会或高级管理层报告事件及补救措施，并更新该公司的书面信息安全计划，以解决事件所揭示的任何漏洞。(10) 保留事件、调查、通知和补救措施的所有文档，以供检查和审计。

示例 3：SEC 以网络安全为重点的检查

**场景：**一家在 SEC 注册、管理资产规模为 50 亿美元的投资顾问机构，收到 SEC 检查部门发出的检查通知函。文件请求清单将网络安全列为重点领域，要求提供该机构的书面信息安全政策、事件响应计划、供应商评估、访问控制文档、员工培训记录，以及董事会或管理层有关网络安全的报告。 合规问题：

• 检查将测试该机构是否遵守 Reg S-P 安全保障规则，该规则要求制定关于行政、技术和物理保障措施的书面政策和程序。
• 如果该机构受 Reg S-ID 约束，检查人员还可能要求提供该机构的身份盗窃预防计划及其实施证据。
• SEC 检查人员评估的不仅是书面政策是否存在，还会评估其实际执行、测试和更新情况——纸面上存在但未得到遵守的政策属于缺陷。
• 与网络安全相关的 SEC 检查中常见的缺陷包括：缺少全面的书面信息安全政策；政策未根据当前威胁、技术或业务实践更新；访问控制不足（例如，共用密码、未实施多因素身份验证、员工离职后未及时撤销访问权限）；缺少书面事件响应计划，或未通过桌面演练测试该计划；供应商尽职调查文档不足（没有 SOC 报告、没有安全问卷、没有合同保护措施）；员工培训记录不充分（没有培训证据、未每年开展培训、没有网络钓鱼模拟计划）；未定期开展风险评估；未对静态和传输中的 NPI 进行加密；董事会或高级管理层监督不足（没有定期报告网络安全风险、董事会未参与相关工作）。 分析： 为准备检查，该机构应：(1) 在提交截止日期前整理好所有需要提供的文件，包括书面信息安全政策、风险评估、事件响应计划、供应商管理政策和各供应商评估（SOC 报告、安全问卷、含安全条款的合同）、访问控制文档（用户访问权限清单、特权账户清单、访问审查记录、MFA 实施证据）、员工培训材料和至少过去两年的出勤记录、网络钓鱼模拟结果、事件日志（即使未发生重大事件也应提供——检查人员希望了解日志记录流程）、反映网络安全讨论和报告情况的董事会或管理委员会会议纪要，以及任何第三方渗透测试或漏洞评估报告。(2) 在检查开始前，依据 SEC 检查预期开展差距分析。识别任何缺陷并立即着手整改——即使缺陷仍然存在，检查人员也会认可积极整改。(3) 为 CISO、CCO 以及相关 IT 和合规人员做好接受检查访谈的准备。检查人员会询问政策如何在实践中落实、事件如何升级处理、如何监控供应商，以及该机构如何跟进不断演变的威胁。(4) 查阅近期与网络安全相关的 SEC EXAMS 风险警示和缺陷函，预判检查团队的关注重点。(5) 确保该机构的书面政策保持最新，并准确反映实际做法——书面政策与实际做法之间存在重大差距属于严重缺陷。(6) 记录该机构针对以往检查发现、内部审计发现或自行发现的缺陷所采取的整改措施。

常见陷阱

• 将 Reg S-P《保障规则》视为文档工作，而非运营要求——书面政策必须得到执行、测试和更新，而不能只是起草并归档
• 未核实公司是否仅在允许的例外情形下共享 NPI，以及自上次通知以来隐私政策是否发生变化，就认定适用 FAST Act 年度隐私通知豁免
• 未根据 Reg S-ID 开展受覆盖账户分析——公司有时会认为只有银行才有受覆盖账户，但存在持续交易的经纪账户和投资顾问账户也符合条件
• 初次采用身份盗窃防范计划后便不再更新，即使公司的客户群体、产品和威胁态势已经发生变化
• 将供应商尽职调查视为一次性的入驻流程，而非持续监控义务——三年前的 SOC 报告无法满足当前的尽职调查要求
• 在供应商合同中加入安全标准，却从未行使审计权，也不审查供应商是否遵守这些标准
• 仅依赖供应商的违规通知来触发公司的事件响应——公司有独立义务监控并检测安全事件
• 未在事件发生前梳理多州数据泄露通知义务，导致在紧迫时限内延迟通知或通知不合规
• 未区分受 GLBA 豁免保护的 CCPA/CPRA 数据和不在豁免范围内的数据——员工数据、网站分析数据和营销数据可能不受 GLBA 豁免保护
• 仅对传输中的数据加密，却忽略静态数据加密，或反之
• 员工离职后未及时停用系统访问权限——SEC 检查人员会定期检查是否存在离职员工的活跃账户，并将其作为访问控制薄弱的迹象
• 将员工网络安全培训视为合规打勾项，而非有效的意识培训计划——没有网络钓鱼模拟、岗位专属内容或可衡量成果的年度幻灯片培训，越来越被视为不充分
• 制定了从未通过桌面演练或模拟测试的事件响应计划——未经测试的计划在真实事件的压力下往往会失效
• 认为将数据处理或存储外包给云服务提供商后，公司便不再承担数据安全方面的监管责任——共同责任模型要求公司保护云环境中的自有配置、访问控制和数据

交叉引用

• client-disclosures（合规插件）：Reg S-P 隐私通知是必需的客户披露文件；其内容、送达时间及 FAST Act 例外情形均在 client-disclosures 技能中说明
• books-and-records（合规插件）：隐私法规规定的数据保留与销毁要求，必须与 SEC Rule 17a-4 和 IA Act Rule 204-2 下的记录保留规则协调一致
• know-your-customer（合规插件）：KYC 数据——包括社会安全号码、出生日期、地址和身份证明文件——属于需要根据 Reg S-P 加以保护的 NPI，也是 Reg S-ID 下身份盗窃的主要目标
• anti-money-laundering（合规插件）：涉及未经授权访问账户、资金盗窃或身份盗窃的网络安全事件，可能触发 BSA/AML 要求下的 SAR 申报义务
• examination-readiness（合规插件）：网络安全一直是 SEC 考试部门最重要的检查重点之一；网络安全相关的文件请求、访谈主题和常见缺陷发现，都是检查准备的核心内容
• conflicts-of-interest（合规插件）：信息隔离、访问控制和数据隔离政策具有双重作用——防止滥用重大非公开信息，并保护客户 NPI 免遭未经授权的内部访问