النقطة العمياء في أدوات DLP التي لم تُدقِّق فيها بعد
ترصد أدوات منع فقدان البيانات (DLP) حركة الشبكة وملفات البريد الإلكتروني وعمليات نقل الملفات. فهي تلتقط جداول البيانات التي تحتوي على أعمدة أرقام الضمان الاجتماعي، وتُعلِّم البريد الإلكتروني الحامل لقوائم العملاء، وتحجب التحميلات التي تشمل سجلات طبية.
لكنها لا تلتقط لقطات الشاشة.
لقطة الشاشة ملف صورة. والبيانات الشخصية بداخلها مُرسومة كبكسلات، لا مُخزَّنة نصًا. ومحركات DLP التي تفحص أنماط البيانات الشخصية لا تجد شيئًا.
يُلصق الموظفون كل يوم لقطات الشاشة في Slack وJira وTeams وسلاسل البريد الإلكتروني. دون أن يُطلق أي تنبيه DLP.
كيف تنتشر البيانات الشخصية عبر لقطات الشاشة في بيئة العمل
جعل العمل عن بُعد والعمل الهجين مشاركة لقطات الشاشة أمرًا شائعًا. وتمتلئ أدوات العمل الداخلية بها يوميًا.
يتبادل أعضاء الفرق لقطات الشاشة لتوفير السياق بسرعة:
- يلتقط وكلاء الدعم صور حسابات العملاء لمشاركتها مع قادة الفريق.
- يشارك المطورون سجلات الأخطاء التي تتضمن بيانات مدخلة من المستخدمين.
- يُرسل مديرو الحسابات سجلات نظام CRM لتزويد فرق المالية بالسياق اللازم.
- يلتقط مسؤولو تكنولوجيا المعلومات صورًا للأنظمة لتوثيق الإعدادات للمتعاقدين.
- تشارك فرق المنتج صور لوحات المعلومات في تحديثات أصحاب المصلحة.
قد تحمل كل مرفق بيانات شخصية. فصورة حساب العميل تتضمن الاسم والبريد الإلكتروني والحالة وعنوان الفوترة. وملف سجل الأخطاء قد يحتوي على أسماء وعناوين وأرقام هواتف أدخلها المستخدمون. وصورة سجل CRM تحمل ملف الحساب الكامل. وصورة لوحة المعلومات قد تُظهر معرفات المستخدمين في تسميات المخططات.
مشكلة ضوابط الوصول
تُفرز مشاركة لقطات الشاشة أيضًا مشكلةً في ضوابط الوصول.
تُطبِّق معظم المنظمات ضوابط وصول قائمة على الأدوار (RBAC) على أنظمة الإنتاج. يرى وكيل الدعم فقط سجلات طابور انتظاره. ويصل المتعاقد فقط إلى ملفات المشاريع المُعيَّنة له.
حين يلتقط الوكيل صورة سجل عميل ويُلصقها في قناة Slack تضم متعاقدين، يتجاوز ذلك ضوابط الوصول فعليًا. يحصل المتعاقد على بيانات شخصية لم يكن بمقدوره الوصول إليها عبر المسارات الاعتيادية. وقد لا تشمل اتفاقية معالجة البيانات (DPA) الخاصة بعمل المتعاقد هذا النقل. وقد لا تسري حقوق صاحب البيانات بموجب اللائحة GDPR على ذلك المتعاقد.
هذا التجاوز يمس المادة 5(1)(ف) من اللائحة GDPR المتعلقة بالنزاهة والسرية. وقد يُفرز أيضًا إشكاليات في المادة 28 إذا حصل المتعاقدون على بيانات شخصية دون اتفاقيات معالجة بيانات ملائمة. راجع دليل الامتثال للائحة GDPR للاطلاع على قائمة التحقق من واجبات المادة 28.
كشف البيانات الشخصية في الصور بوصفه ضمانة تقنية
الضمانة التقنية للتعرض للبيانات الشخصية عبر لقطات الشاشة تجمع بين التعرف الضوئي على النصوص (OCR) والمعالجة اللغوية الطبيعية (NLP). والخطوات واضحة:
- يلتقط الموظف صورة لواجهة عميل.
- قبل المشاركة: يرفع الصورة إلى أداة الكشف.
- تستخرج الأداة النص المرئي عبر OCR.
- تكشف NLP عن كيانات البيانات الشخصية في النص.
- يرى الموظف تقريرًا: «تحتوي هذه الصورة على: [اسم العميل]، [عنوان البريد الإلكتروني]، [معرف الحساب].»
- يُنقِّح الموظف حينئذٍ البيانات الشخصية، أو يُضيِّق نطاق المشاركة، أو يُكمل مع تسجيل مبرر خطي.
هذا لا يحجب كل مشاركة، بل يُظهر البيانات الشخصية قبل انتقالها ليتمكن الناس من اتخاذ قرارات واعية. راجع كيف يندمج ذلك في حزمة الحماية الخاصة بك على صفحة الضمانات.
دراسة حالة: سياسة لقطات شاشة Jira لمكتب دعم SaaS
استخدم مكتب دعم إحدى شركات SaaS نظام Jira لتسجيل مشكلات الحسابات. تضمَّنت الملفات المرفقة بتذاكر Jira بيانات شخصية للمستخدمين، وتحديدًا:
- عناوين البريد الإلكتروني للمستخدمين من شاشات إدارة الحسابات.
- تفاصيل خطط الاشتراك.
- مبالغ الفوترة وتواريخها.
- بيانات دفع جزئية في بعض الحالات.
كشف تدقيق للائحة GDPR عن 847 تذكرة Jira أُنشئت على مدى 18 شهرًا، جميعها تحتوي على مرفقات ببيانات شخصية. وكان Jira متاحًا لجميع المهندسي الـ200. بعضهم متعاقدون بلا اتفاقيات معالجة بيانات تغطي سجلات فوترة العملاء.
خطوات المعالجة:
- تدقيق بأثر رجعي: كشف البيانات الشخصية في جميع المرفقات الموجودة. وتم تعليم 312 تذكرة لمراجعة مسؤول حماية البيانات.
- تنظيف التذاكر: تم تعتيم ملفات 89 تذكرة قبل إعادة إرفاقها.
- تغيير الإجراءات: سير عمل جديد يستلزم فحص البيانات الشخصية قبل إرفاق أي ملف في Jira.
- التدريب: جلسة مدتها 15 دقيقة لجميع موظفي مكتب الدعم.
النتائج بعد 90 يومًا:
- حوادث البيانات الشخصية في Jira: انخفضت بنسبة 90%.
- الحوادث المتبقية: حالات أكمل فيها الموظفون العمل مع تسجيل مبرر تشخيصي خطي.
- نطاق اتفاقيات معالجة البيانات: تحديث للحدِّ من تعرض بيانات شخصية غير ضرورية للمتعاقدين.
شكَّلت التذاكر الـ312 التاريخية نتيجة امتثال. وشكَّل الانخفاض بنسبة 90% دليلًا على المعالجة في رد التدقيق.
دمج مراجعة لقطات الشاشة في سير عمل الفرق
للمنظمات الراغبة في ضوابط البيانات الشخصية دون إبطاء العمليات، تتوفر عدة خيارات.
الخيار الخفيف: أداة متصفح يستخدمها الموظفون قبل اللصق في Slack أو Jira. اسحب الصورة، واحصل على تقرير بيانات شخصية في خمس ثوانٍ، ثم تابع أو نقِّح.
خطاف Jira أو ServiceNow: كشف يعمل قبل وصول الملفات إلى التذاكر، مثل الفحص من الفيروسات قبل رفع الملف.
بوت Slack: بوت يستقبل رفع الصور في قنوات مُختارة، ويشغِّل كشف البيانات الشخصية، وينشر ردًا في خيط المحادثة يُدرج الكيانات المكتشفة. يجعل ذلك البيانات الشخصية مرئية دون تعطيل سير العمل.
معيار الفريق مع أخذ العينات: فحص آلي أسبوعي. أخذ عينة من 10% من لقطات الشاشة في أدوات التعاون. تشغيل الكشف. إبلاغ قائد الفريق بالنتائج. يبني المساءلة دون تعطيل أي سير عمل.
بالنسبة لسجلات اللائحة GDPR: يُحتسب ضابط لقطات الشاشة للبيانات الشخصية «تدبيرًا تنظيميًا» وفق المادة 32. وثِّق الضمانة — السياسة والأداة التقنية — وأضف دليل الاستخدام. يستوفي ذلك قاعدة المساءلة في المادة 5(2). راجع صفحة الامتثال وإدخال المصطلحات للمادة 32.
هل تريد معرفة كيف تتعامل anonym.legal مع ذلك لفريقك؟ زر صفحة الباقات أو اقرأ بيان المؤسس حول إخفاء الهوية.
المصادر
- المادة 5 من اللائحة GDPR: مبادئ معالجة البيانات. مُتحقَّق منه خارجيًا.
- المادة 32 من اللائحة GDPR: أمن المعالجة. مُتحقَّق منه خارجيًا.
- هيئة ICO: حماية البيانات عبر التصميم والإعداد الافتراضي. مُتحقَّق منه خارجيًا.