Webアプリのプレーンテキストの社会保障番号と銀行口座番号
私は、主要なホステッドHRマネジメントソフトウェアアプリケーションで、従業員一人ひとりの社会保障と銀行の完全なルーティング/口座番号をプレーンテキストで表示することについて、会社との「議論」にあります。彼らは私が今まで見た他のすべてのアプリケーションのようにそれを隠す能力を持っていますが、彼らは彼らの便宜のために拒否します。彼らは、CIAと同じサーバーファームでホストされているようなものを引用しています。
私はバックエンドシステムのセキュリティにはあまり関心がなく、アプリケーションのフロントエンドでシステムにログインしているユーザーに、データをプレーンテキストで（暗号化されていますが）提示しているだけです。これを行うのは悪い習慣だと知っていますが、彼らをびっくりさせることはできません。
このアプリケーションには、レポート用に2要素認証が設定されており、データの脆弱性のある関数が多いと思います。アプリケーションはRSA 2048/sha256RSAを使用します。
私はソニー、ホワイトハウス、アンセム、OPMのハックを取り上げましたが、それでもそれをすくめました。
これらのフィールド（XXX-XX-1234）のマスキングをオンにするように説得する方法について何か提案はありますか？
この情報の保護を推進するために引用できる法律、訴訟、またはその他の種類のガイダンスはありますか（PCI DSSコンプライアンスなど））？
本当の質問はどうあるべきだと思います：「実際のリスクを理解していない人」にこれをエレガントに説明するにはどうすればよいですか？ （これも「リスク管理者」によって実行されました）
法的な影響を求めた ここ
ここには2つのことがあり、それらはデータを読み取り可能な形式で格納し、それらを表示します。人々にお金を送ったり、税務上の理由で、または賃金伝票を貼ったりするために必要なため、データを（プログラムで）読み取り可能な形式にする必要があります。
ただし、表示する必要のない機密情報は表示しないでください。必要に応じて、すべての情報を悪意のある活動に使用できます。機能を低下させずに攻撃ベクトルを削減するのは彼らの責任であり、この情報を提供することで、機能がほとんどまたはまったくない場合に不要な攻撃ベクトルが作成されます。
サーバーファームがCIAと同じであるという事実は、何も意味しません。それはあなたが警察署の隣に住んでいるので、強盗されないように言っているようなものです。さらに、彼らはCIAと同じファームにいることを知らないはずです。これは、CIAがサーバーを持っている1つの場所を示し、それはCIAがそれらに対する攻撃の可能性のために誰にも知られたくない情報だからです。最後に、私はどの政府機関も私のデータを信頼しません。内部告発者によるデータ侵害のほとんどは、内部告発者がアクセスすべきではないデータです（Edward Snowden、Chelsea Manning、Harold Martin）