Disparar uma violação DLP para testar uma política HIPAA no ESA

Introdução

Este documento descreve como testar a HIPAA (Health Insurance Portability and Accountability Act) DLP (Prevenção de Perda de Dados) depois de habilitar a DLP em sua política de envio de e-mails no Cisco Email Security Appliance (ESA).

Disparar uma violação DLP para testar uma política HIPAA

Este artigo fornece algum conteúdo real, que foi modificado para proteger as pessoas, para testar contra a Política DLP em seu ESA. Essas informações são projetadas para serem acionadas na política HIPAA e Health Information Technology for Economic and Clinical Health (HITECH) DLP e também acionam outras políticas DLP, como Social Security Number (SSN), CA AB-1298, CA SB-1386 e assim por diante. Use as informações ao enviar um e-mail de teste por meio do ESA ou ao usar a ferramenta trace.

Observação: você deve usar um SSN válido ou comumente usado incorretamente na saída quando em negrito.

Observação: para a política HIPAA e HITECH DLP, verifique se você configurou números de identificação personalizados conforme recomendado. Números de identificação do paciente (personalização recomendada) OU identificador de provedor nacional dos EUA OU número de seguridade social dos EUA E dicionários de saúde. Você deve ter esse recurso configurado para que o seja disparado corretamente.

Procedure Notes
Progress Notes
Archie M Johnson Tue Jun 30, 2009 10:31 AM Pended
June 30, 2009
Patient Name: Gina, Lucas DOB: 01/23/1945
Telephone #: (559) 221-2345
SS#: [[[PLACE SSN HERE]]]
--------------------------------------------------------------------------------
Insurance: UHC
How was the patient referred to the office: *** ({:20})
Is a family member currently being seen by the requested physician? {YES/NO:63}
If yes, what is the family members name : ***
Previous PCP / Medical Group? ***
Physician Requested: Dr. ***
REASON:
1) Get established, no current problems: {YES/NO:63}
2) Chronic Issues: {YES/NO:63}
3) Specific Problems: {YES/NO:63}
Description of specific problem and/or chronic conditions:
{OPMED SYMPTOMS:11123} the problem started {1-10:5044} {Time Units:10300}.
Any Medications that may need a refill? {YES/NO:63}
Current medications: ***
--------------------------------------------------------------------------------
Archie M Johnson
Community Health Program Assistant Chief
Family Practice & Community Medicine
(559) 221-1234
Lucas Gina Wed Jul 8, 2009 10:37 AM Pended
ELECTIVE NEUROLOGICAL SURGERY
HISTORY & PHYSICAL
CHIEF COMPLAINT: No chief complaint on file.
HISTORY OF PRESENT ILLNESS: Mary A Xxtestfbonilla is a ***
Past Medical History
Diagnosis Date
• Other Deficiency of Cell-Mediated Immunity
Def of cell-med immunity
• Erythema Multiforme
• Allergic Rhinitis, Cause Unspecified
Allergic rhinitis
• Unspecified Osteoporosis 12/8/2005
DEXA scan - 2003
• Esophageal Reflux 12/8/2005
priolosec, protonix didn't work, lost weight
• Primary Hypercoagulable State
MUTATION FACTOR V LEIDEN
• Unspecified Glaucoma 1/06
• OPIOID PAIN MANAGEMENT 1/24/2007
Patient is on opioid contract - see letter 1/24/2007
• Chickenpox with Other Specified Complications 2002 

Verificar

Os resultados variarão de acordo com as ações de mensagem definidas para a política DLP. Configure e confirme suas ações para o equipamento com uma revisão da GUI: Políticas de e-mail > Personalizações de política DLP > Ações de mensagens.

Neste exemplo, a ação padrão é definida para colocar em quarentena violações de DLP para a quarentena de política e também para modificar a linha de assunto da mensagem com o prefixo "[DLP VIOLATION]".

O mail_logs deve ser semelhante a este quando você envia o conteúdo anterior como um e-mail de teste:

Wed Jul 30 11:07:14 2014 Info: New SMTP ICID 656 interface Management (172.16.6.165) 
address 172.16.6.1 reverse dns host unknown verified no
Wed Jul 30 11:07:14 2014 Info: ICID 656 RELAY SG RELAY_SG match 172.16.6.1 SBRS
not enabled
Wed Jul 30 11:07:14 2014 Info: Start MID 212 ICID 656
Wed Jul 30 11:07:14 2014 Info: MID 212 ICID 656 From: <my_user@gmail.com>
Wed Jul 30 11:07:14 2014 Info: MID 212 ICID 656 RID 0 To: <test_person@cisco.com>
Wed Jul 30 11:07:14 2014 Info: MID 212 Message-ID 
'<A85EA7D1-D02B-468D-9819-692D552A7571@gmail.com>'
Wed Jul 30 11:07:14 2014 Info: MID 212 Subject 'My DLP test'
Wed Jul 30 11:07:14 2014 Info: MID 212 ready 2398 bytes from <my_user@gmail.com>
Wed Jul 30 11:07:14 2014 Info: MID 212 matched all recipients for per-recipient 
policy DEFAULT in the outbound table
Wed Jul 30 11:07:16 2014 Info: MID 212 interim verdict using engine: CASE spam
negative
Wed Jul 30 11:07:16 2014 Info: MID 212 using engine: CASE spam negative
Wed Jul 30 11:07:16 2014 Info: MID 212 interim AV verdict using Sophos CLEAN
Wed Jul 30 11:07:16 2014 Info: MID 212 antivirus negative 
Wed Jul 30 11:07:16 2014 Info: MID 212 Outbreak Filters: verdict negative
Wed Jul 30 11:07:16 2014 Info: MID 212 DLP violation
Wed Jul 30 11:07:16 2014 Info: MID 212 quarantined to "Policy" (DLP violation)
Wed Jul 30 11:08:16 2014 Info: ICID 656 close

Na ferramenta trace, você verá resultados listados como esta imagem quando usar conteúdo anterior no corpo da mensagem:

Troubleshooting

Verifique se você selecionou a Política DLP necessária em Políticas de e-mail > Gerenciador de política DLP > Adicionar política DLP... na GUI.

Revise a Política DLP como adicionada e certifique-se de que você especificou seu classificador de correspondência de conteúdo e que seu padrão de expressão regular é válido. Além disso, certifique-se de que a seção AND corresponda a palavras ou frases relacionadas esteja configurada. Classificadores são os componentes de detecção do mecanismo DLP. Eles podem ser usados em combinação ou individualmente para identificar conteúdo sensível.

Observação: os classificadores predefinidos não são editáveis.

Se você não vir o disparador DLP com base no conteúdo, revise também Políticas de e-mail > Políticas de envio de e-mail > DLP e verifique se você tem a Política DLP necessária habilitada.

Informações Relacionadas

• Cisco Email Security Appliance – Guias do usuário final
• FAQ do ESA: Como posso depurar como uma mensagem é processada pelo ESA?
• SSA.gov: Números da Previdência Social Usados Incorretamente
• Testador regex online
• Suporte Técnico e Documentação - Cisco Systems