10月31日, 2007, 联邦贸易委员会和联邦金融机构监管机构通过了最终立法，将新的第114条和第315条纳入《足彩外围网站》(FACTA)。. 这些新的部分被称为红旗规则. 根据红旗规则, 所有持有消费者账户的金融机构和债权人, 或其他有合理可预见的身份盗用风险的账户, 是否需要建立一个文件化的身份盗窃预防计划来提供身份识别, 检测, 以及对模式的反应, 实践, 或者特定的活动——被称为“危险信号”——可能表明身份盗窃. 红旗活动的例子包括不寻常的帐户活动, 地址不符点, 由信用报告机构提供的针对选民消费者报告的欺诈警报, 或者试图使用可疑的账户应用程序.
因为大学提供学生贷款并收取一些服务的费用, 它被视为债权人，适用FACTA红旗规则. 所有负责提供学生贷款和/或收取服务费的大学部门和员工都必须参加身份盗窃预防计划.
识别受保帐户
所有大学院系必须首先确定在各自领域的业务流程中是否有覆盖帐户. Generally covered accounts distribute reimbursable University funds; extend, 更新, or continue credit; and allow the account owner to make multiple payments or transactions.
- 大学基金的学生贷款，不由联邦资源资助，并按付款时间表偿还.
- 分期付款和短期贷款.
- 为正在进行的服务创建的帐户，允许学生在结算或在一段时间内报销.
- 任何类型的托收账户.
- 由联邦政府资助的学生贷款，只由学校支付.
- 按服务收费的应用程序，如食品服务, 通过停车, 通勤服务, 一次性保健服务, 诸如此类.
- 收取图书馆罚款或停车传票等费用.
- 金鹰卡账户.
以便识别相关的危险信号, 提供或管理担保账户的大学部门必须审查和评估开立担保账户所采用的方法, 允许访问覆盖的帐户, 以及之前所有已知的身份盗窃事件
- 信用机构出具的信用报告附带的欺诈报告.
- 信贷机构对客户或申请人的信贷冻结的通知或报告.
- 信用机构对申请人发出的现役警报通知或报告.
- 信用报告中表明的活动与校园成员的通常模式或活动不一致.
- 伪造、涂改或不真实的身份证明文件或证件.
- 人的照片或外貌描述与出示证件的人不一致的身份证件或卡片.
- 其他与现有校园成员信息不一致的文件, 比如一个人在支票上的签名看起来是伪造的.
- 有涂改、伪造的服务申请书的.
- 识别与校园成员提供的其他信息不一致的信息, 比如出生日期不一致.
- 识别与其他信息来源不一致的信息, 比如地址和驾照上的地址不匹配.
- 识别显示的信息与其他被发现具有欺诈性的应用程序上显示的信息相同.
- 识别与欺诈活动相一致的信息, 例如无效的电话号码或虚构的帐单地址.
- 出示的社会安全号码与另一位校园选民提供的号码相同.
- 地址或电话号码与另一个不是家庭成员的人的地址或电话号码相同, 配偶, 和室友.
- 当被提醒在申请表上提供完整的个人识别资料时，却没有提供. 然而，提醒一下，根据法律，社会安全号码是不需要的.
- 识别与校园选民官方记录上的信息不一致的信息.
- 更改帐户的地址，随后要求更改帐户持有人的姓名.
- 付款停止在其他一致的最新帐户上.
- 与以前的使用方式不一致的帐户，如非常频繁的活动.
- 发送给帐户持有人的邮件多次被退回为无法投递.
- 通知大学，校园选民没有收到大学发送的邮件.
- 违反任何大学或院系的电脑系统安全.
- 未经授权访问或使用校园选民的帐户信息.
- 校园选民向大学发出的通知书, 身份盗窃受害者, 或者执法机关认为已经发生身份盗窃.
- 任何人为从事身份盗窃的人开设或维持欺诈账户或知道有人这样做的信息
以防止未来以任何方式发生身份盗窃的可能性, 所有大学员工应采取以下措施，以保护校园成员的身份资料:
- 保持办公室和未上锁的文件柜中没有包含校园成员身份信息的文件. 确保文件柜, 橱柜, 存放机密或个人信息的橱柜在无人看管时保持上锁状态.
- 不要将包含机密或个人信息的文件留在打印机或传真机上. 传真机密或个人资料前, 联系收件人，确保他们站在传真旁边，以便立即取回文件.
- 使用碎纸机或纸浆碎纸机，完整而安全地销毁包含校园组成信息的纸质文件和电脑文件.
- 确保所有计算机都有密码保护，并锁定计算机[control/alt/delete], 然后输入[每当电脑无人看管时.
- 随时保持最新的电脑防病毒保护.
- 及时报告任何存储或传输大学数据的设备丢失或被盗.g.(包括电脑、手提电脑、伺服器、CD、DVD、电子储存媒体或智慧型手机). 用户还必须立即向IT安全和合规部门提交丢失/被盗计算机/电子存储设备报告.
- 不要丢弃, 转移, 重新分配, 或者捐赠电脑, 笔记本电脑, 电子存储设备, 或媒体, 或者将任何智能手机退还给服务提供商，而不首先清理设备中的任何机密信息, 个人, 或者专有信息.
- 各部门和业务单位有责任确保机密信息在所有电子媒体上加密.
- 不要在公共网络上发送未加密的受保护的大学数据.
- 未经管理员事先授权，不得从校园中删除选民识别信息. 如果批准的话, 确保电子文件已加密, 笔记本电脑有密码保护, 文件和设备在任何时候都受到保护和监督.
- 如果出于经济原因或核实校园成员身份需要社会安全号码(SSN), 只请求最后4位数字. 只要有可能，使用校园识别号码(CIN)而不是SSN.
- 只索取和保存大学业务所需的校园资料. 大学资料必须保留, 担保, 并按照所有法律法规要求销毁，同时实施适当的最佳做法.
- 确保所有对机密信息的Web站点请求都使用加密的传输方法，将用户强制到安全的站点(例如Web站点).e.(http)，如果不可用，则提供明确的通知，说明网站不安全.