一家公司给我发了一份文件，让我通过 CudaSign 签名，我做到了。
完成交易后，我通过电子邮件收到了附有文件的 PDF。该文件包括我的 SSN。我假设，发起人也通过 PDF 附件获得了文件。
通过电子邮件发送带有 SSN 的 PDF 显然不安全吗？这种做法不应该停止吗？最终用户（在这种情况下是我）没有暴露吗？有什么推荐的操作吗？
澄清：
- 在这种情况下，服务提供商会自动发送 PDF 作为“确认”步骤。不是由发起人或签署文件的一方。
文件签名服务是否违反了任何规则，通过透明电子邮件公开 PII？
信息安全
电子签名
文件
2021-09-02 21:31:09
3个回答
文档签名服务不处理它正在签名的文档中包含的数据。理论上，签名服务完全不知道内容。它所做的只是将元数据作为一个整体进行处理以提供服务。
从这个角度来看，某个文件包含 PII 的事实不在他们的控制范围内，因此他们没有违反任何规则或规定。由选择服务以及流程的客户来确保流程适合正在处理的数据。
正如您可以猜到的那样，有很多“推卸责任”的责任，但您应该告知选择服务的人他们选择的影响。
像这里的大多数其他用户一样，我认为签名服务在这里没有任何问题。
签名服务提供了一定的工作流程，这对于任何文档都是一样的，无论它是否包含 PII。对于签名服务，正在签名的文档只是一个 blob。他们不知道文件是否包含商业合同、PII、绝密文件或您在周末写的一些俏皮的同人小说。
要求您签署此文档的人有责任选择满足其保护客户私人数据责任的签名机制，或选择将哪些数据嵌入要签署的文档中。在这种情况下，他们选择的服务并非旨在充分保护敏感数据，达到其文档所需的级别。
此外，仅仅因为文档是通过电子邮件发送的，并不一定意味着它是以明文形式发送的。邮件服务器到邮件服务器的通信通常是加密的，然后您负责设置通过带有 TLS 的 IMAP/POP 或通过 HTTPS 网络邮件客户端访问您的电子邮件的最后一跳。
根据文档的敏感性，设置 GPG 或 S/MIME 以便它们可以向您发送端到端加密电子邮件可能不适合此目的。在线签名服务受欢迎的部分原因是因为它们比必须正确设置 GPG/x509 密钥对更容易使用。如果您必须设置这些以使用文档签名服务，您不妨跳过中间人并使用这些证书自己签署文档。