本技能用于为在 SEC 注册的机构设计并运营隐私与数据安全合规项目，主要依据 Regulation S-P、Regulation S-ID 以及 SEC 的网络安全监管预期。资料标注监管状态截至 2026 年 6 月，并提示在提供建议前应核对现行 SEC/FINRA/FinCEN 来源中的生效日期、金额门槛和待定规则。
一、用途 该技能适用于需要为 SEC 注册的投资顾问、经纪自营商、投资公司和过户代理建立或审查隐私与数据安全项目的场景，包括隐私通知、选择退出机制、保障措施、身份盗窃预防、违规响应和监管检查准备。
二、主要能力
- Regulation S-P（消费者金融信息隐私）：涵盖隐私通知要求（初始通知与年度通知，以及 FAST Act 2015 对年度通知的例外）、选择退出要求（与关联方以外第三方共享 NPI 前的选择退出及例外情形，包括服务提供商和联合营销协议）、保障规则（行政、技术和物理保障措施）以及处置规则（消费者报告信息的销毁）。
- Regulation S-ID（红旗规则）：要求持有“覆盖账户”的金融机构和债权人制定书面身份盗窃预防计划（ITPP），包括识别相关红旗、检测红旗、响应红旗以及定期更新计划；计划须经董事会、董事会委员会或高级管理层批准，并明确责任、培训员工、监督服务提供商。
- SEC 网络安全规则与指引：包括 2023 年上市公司披露规则（8-K 第 1.05 项重大网络安全事件四个工作日内披露，10-K 第 1C 项披露风险管理、战略与治理）、2024 年 Reg S-P 修订（事件响应与违规通知，要求书面事件响应计划、30 天内通知受影响个人、服务提供商监督政策；大型实体合规日期为 2025 年 12 月 3 日，小型实体为 2026 年 6 月 3 日）、独立网络安全规则制定的状态（2022 年提案已于 2025 年 6 月撤回）、SEC 考试优先事项（治理与风险评估、访问权限与控制、数据丢失预防、供应商管理、事件响应、培训）以及执法主题。
- 事件响应要求：书面事件响应计划（事件响应团队、检测与分类、遏制、证据保存、根除与恢复、内部升级与报告、外部通知、事后审查）、客户通知（2024 年 Reg S-P 修订下的 30 天要求及例外，州法律叠加适用）、监管通知（SAR 申报、FINRA 通知、纽约 DFS 72 小时通知）、执法协调和 SAR 申报。
- 州隐私法：加州 CCPA/CPRA（对受 GLBA 约束的信息部分豁免，但员工数据、网站跟踪数据、营销数据等可能仍受约束）和纽约 DFS 23 NYCRR 500（CISO 指定、基于风险评估的网络安全计划、14 个领域的书面政策、年度渗透测试和半年漏洞评估、多因素认证等）。
三、使用方式 该技能以知识库形式提供监管要求的结构化梳理，供合规、法务和安全团队在制定政策、设计流程或准备检查时参考。资料未提供具体的安装命令、代码或操作步骤。
四、适用场景 适用于 SEC 注册机构的隐私与数据安全合规项目设计、政策起草、事件响应准备、监管检查应对以及州法律交叉分析。
五、限制 资料明确提示监管状态截至 2026 年 6 月，建议在提供建议前核对现行来源；部分内容（如纽约 DFS 多因素认证要求）在资料中未完整展开。资料未提供收费、价格、平台或效果信息。