Die DLP-Blinde Kol Wat Jy Nog Nie Geoudit Het Nie
DLP-gereedskap monitor netwerkverkeer, e-posleers, en leeroorplasings. Hulle vang sigblaaie met SSN-kolomme. Hulle merk e-posse met klientelyste. Hulle blokkeer oplaai met mediese rekords.
Hulle vang nie skermopnames nie.
'n Skermopname is 'n prentleer. Die PII daarin is as pixels geteken. Dit is nie as teks gestoor nie. DLP-enjins wat skandeer vir PII-patrone vind niks.
Elke dag plak werknemers skermopnames in Slack, Jira, Teams, en e-poskettings. Nul DLP-waarskuwings brand.
Hoe Skermopnames PII by die Werk Versprei
Afstands- en hibriede werk het die deel van opnames algemeen gemaak. Interne gereedskap raak elke dag daarmee gevul.
Spanlede deel opnames vir vinnige konteks:
- Ondersteuningsagente gryp klientrekeningaansigte om met spanleiers te deel.
- Ontwikkelaars deel foutlogboeke wat gebruikersinvoerdata insluit.
- Rekeningbestuurders stuur CRM-rekords om konteks aan finansiespanne te gee.
- IT-admins neem stelselaansigte op om opstellings vir kontrakteurs te dokumenteer.
- Produkspanne deel daskaboraansigte in belanghebbendes se opdaterings.
Elke aanhangsel kan persoonlike inligting dra. 'n Klientrekeningopname hou 'n naam, e-pos, status, en faktuuradres. 'n Foutlogboekleer kan name, adresse, of telefoonnommers wat deur gebruikers ingevoer is insluit. 'n CRM-rekordonname hou die volledige rekeningprofiel. 'n Daskaborleer kan gebruiker-ID's in kaartbeskrywings wys.
Die Toegangsbeheerprobleem
Die deel van skermopnames skep ook 'n toegangsbeheerprobleem.
Die meeste organisasies handhaaf rolgebaseerde toegangskontroles op produksiestelsels. 'n Ondersteuningsagent sien slegs hul tou-rekords. 'n Kontrakteur sien slegs toegewysde projekleers.
Wanneer 'n agent 'n klientrekord gryp en dit in 'n Slack-kanaal met kontrakteurs plak, word toegangsbeheer omseil. Die kontrakteur kry persoonlike data waartoe hulle nie deur normale paaie kon bereik nie. Die DPA vir kontrakteurwerk mag nie hierdie oordrag dek nie. Die klient se GDPR-regte mag nie op daardie kontrakteur van toepassing wees nie.
Hierdie omseilings is 'n GDPR Artikel 5(1)(f) kwessie. Dit dek integriteit en vertroulikheid. Dit kan ook Artikel 28 belyningsprobleme skep as kontrakteurs PII kry sonder die regte DPA's. Sien ons GDPR-nakominqsgids vir 'n kontrolelys van Artikel 28 pligte.
Beeld-PII-Opsporing as die Tegniese Beveiliging
Die tegniese beveiliging vir opname-gebaseerde PII-blootstelling is OCR plus NLP-opsporing. Die stappe is eenvoudig.
- Werknemer neem 'n skerm van 'n klientkoppelvlak op.
- Voor deel: laai die opname op na 'n opsporingsgereedskap.
- Gereedskap trek sigbare teks via OCR.
- NLP vind PII-entiteite in die teks.
- Werknemer sien 'n verslag: "Hierdie opname bevat: [klientnaam], [e-posadres], [rekening-ID]."
- Werknemer redigeer dan die PII, vernou die deelomvang, of gaan voort met 'n geskrewe rede.
Dit blokkeer nie alle deling nie. Dit wys die persoonlike inligting voor dit beweeg. Mense kan dan ingeligte keuses maak. Sien hoe dit in jou beskerming-stak op die beveiligingsblad inpas.
Gebruiksgeval: SaaS Hulplessenaar Jira Opname-Beleid
'n SaaS-maatskappy se hulplessenaar het Jira gebruik om rekeningkwessies aan te teken. Leers wat aan daai kaartjies aangeheg is, het gebruiker-PII bevat. Spesifiek:
- Gebruiker e-posadresse van rekeningbestuurderskake.
- Intekenplanbesonderhede.
- Faktuurhoeveelhede en -datums.
- Gedeeltelike betalingsdata in sommige gevalle.
'n GDPR-oudit het 847 Jira-kaartjies gevind wat oor 18 maande gemaak is. Almal het PII-aanhangsels gehou. Jira was oop vir alle 200 ingenieurs. Sommige was kontrakteurs sonder DPA's vir klientfaktuurrekords.
Regstellingstappe:
- Terugwerkende oudit: PII-opsporing op alle bestaande aanhangsels. 312 kaartjies gemerk vir DPO-hersiening.
- Kaartjie-opskoonmaak: 89 kaartjies het leers voor her-aanheg vervaag.
- Prosesverandering: nuwe werkvloei wat 'n PII-kontrole voor Jira-aanheg vereis.
- Opleiding: 15-minuut sessie vir alle hulplessenaarspersoneel.
Resultate na 90 dae:
- PII-voorvalle in Jira: 90 persent af.
- Oorblywende voorvalle: gevalle waar personeel voortgegaan het met 'n geskrewe diagnostiese rede.
- DPA-omvang: bygewerk om onnodige persoonlike data-blootstelling vir kontrakteurs te sny.
Die 312 historiese kaartjies was 'n ooreenstemsbevinding. Die 90 persent daling het as bewys van regstelling in die ouditreaksie gedien.
Bou van Opname-Hersiening in Spanwerkvloeie
Vir organisasies wat PII-kontroles wil he sonder om bedrywighede te vertraag, bestaan verskeie opsies.
Ligte opsie: 'n Blaaiergereedskap wat werknemers gebruik voor plak in Slack of Jira. Sleep die opname, kry 'n PII-verslag in vyf sekondes, gaan dan voort of redigeer.
Jira of ServiceNow-haak: Opsporing wat loop voordat leers kaartjies bereik. Dit werk soos virusskandeer voor 'n leer-oplaai.
Slack-bot: 'n Bot wat opname-oplaai in gekose kanale ontvang. Dit loop PII-opsporing. Dit plaas 'n draadreaksie met opgesporde entiteite. Dit maak persoonlike inligting sigbaar sonder om die werkvloei te blokkeer.
Spannorm plus steekproef: 'n Weeklikse outomatiese kontrole. Steekproef 10 persent van opnames in samewerkingsinstrumente. Voer opsporing uit. Rapporteer bevindings aan die spanleier. Dit bou aanspreeklikheid sonder om enige werkvloei te blokkeer.
Vir GDPR-rekords: die opname-PII-beheer tel as 'n "organisatoriese maatreel" onder Artikel 32. Skryf die beveiliging op — beleid plus tegniese gereedskap. Voeg bewys van gebruik by. Dit voldoen aan die Artikel 5(2) aanspreeklikheidsbepaling. Sien ons nakomingsblad en die woordelys inskrywing vir Artikel 32.
Wil jy sien hoe anonym.legal dit vir jou span hanteer? Besoek ons planne-blad of lees die stigterverklaring oor de-identifikasie.
Bronne
- GDPR Artikel 5: Beginsels vir Dataverwerking. GEVERIFIEER-EKSTERN.
- GDPR Artikel 32: Sekuriteit van Verwerking. GEVERIFIEER-EKSTERN.
- ICO: Databeskermingsontwerp en Verstek. GEVERIFIEER-EKSTERN.