摩根士丹利财富与资产管理部门因未能保护数百万客户的个人信息而遭SEC罚款3500万美元

美国证券交易委员会（SEC）最近宣布了对摩根士丹利财富与资产管理部门Morgan Stanley Smith Barney LLC（MSSB）的指控，原因是该公司在五年时间里未能保护大约1500万客户的个人身份信息（PII）。MSSB已经同意支付3500万美元的罚款，以解决SEC的指控。

SEC发现，早在2015年，MSSB就没有妥善处理含有客户PII的设备。在多个场合，MSSB雇用了一家在数据销毁服务方面没有经验或专业知识的搬家和仓储公司，以淘汰数以千计的硬盘驱动器和服务器，其中包含其数百万客户的PII。此外，根据SEC的命令，几年来，MSSB没有适当监督搬家公司的工作。调查发现，该搬家公司向第三方出售了数以千计的MSSB设备，包括服务器和硬盘，其中一些含有客户的PII，这些设备最终在一个互联网拍卖网站上被转售，而没有删除这些客户的PII。虽然MSSB收回了部分设备，这些设备显示包含数千条未加密的客户数据，但绝大多数的设备没有被收回。

SEC还发现，MSSB在关闭当地办公室和分支机构服务器作为更广泛的硬件更新计划的一部分时，未能妥善保护客户PII并妥善处理消费者报告信息。该公司在淘汰设备过程中进行的记录核对工作显示，有42台服务器丢失，这些服务器都可能包含未加密的客户PII和消费者报告信息。此外，在这个过程中，MSSB还了解到，正在淘汰的本地设备已经配备了加密功能，但该公司多年来没有激活加密软件。

"MSSB在此案中的失误让人吃惊。客户将他们的个人信息委托给金融专业人士，并期望这些信息得到保护，而MSSB在这方面做得很差，"SEC执法部门主任Gurbir S. Grewal表示。"如果没有得到适当的保护，这些敏感信息可能最终落入坏人之手，给投资者带来灾难性的后果。"

在不承认或否认调查结果的情况下，MSSB同意SEC的命令，即该公司违反了《消费者金融信息隐私权条例》的保障和处置规则，并同意支付上述罚款。