PII na snímcích obrazovky: únik dat v interních nástrojích

Slepá skvrna DLP, kterou jste dosud neauditovali

Nástroje pro prevenci ztráty dat (DLP) monitorují síťový provoz, přílohy e-mailů a přenosy souborů kvůli osobně identifikovatelným informacím. Zachytí tabulky s čísly rodného čísla, e-maily s přiloženými seznamy zákazníků i nahrávání souborů se zdravotními záznamy.

Snímky obrazovky nezachytí.

Snímek obrazovky je obrázkový soubor. PII uvnitř snímku — jména zákazníků viditelná v rozhraní CRM, e-mailové adresy v přehledu doručené pošty, čísla účtů v účetním systému — nejsou uloženy jako text v obrázku. Jsou zobrazeny jako pixely. Standardní DLP enginy prohledávající obsah souborů kvůli vzorům PII nenajdou nic.

Výsledek: každý den v organizacích se sofistikovanou DLP infrastrukturou zaměstnanci vkládají snímky obrazovky s osobními údaji zákazníků do Slack kanálů, Jira tiketů, zpráv v Teams a e-mailových vláken — a nezazvoní jediné DLP upozornění.

Rozsah PII na snímcích obrazovky v moderním pracovním prostředí

Dálková a hybridní práce učinila sdílení snímků obrazovky všudypřítomným. Interní komunikační nástroje jsou plné zachycených obrazovek sdílených pro kontext:

• Pracovníci zákaznické podpory pořizují snímky zákaznických účtů a sdílejí je s vedoucími týmů („podívejte se na tento divný stav účtu”)
• Vývojáři pořizují snímky chybových protokolů s nevalidními uživatelskými vstupy a sdílejí je v inženýrských kanálech
• Account manažeři pořizují snímky záznamů v CRM a sdílejí obchodní kontext s finančním oddělením
• IT administrátoři pořizují snímky systémových rozhraní pro dokumentaci konfigurací pro dodavatele
• Produktové týmy pořizují snímky analytických přehledů pro aktualizace stakeholderů

Každý snímek může obsahovat PII. Snímek zákaznického účtu obsahuje jméno zákazníka, e-mail, stav účtu a fakturační adresu. Snímek chybového protokolu obsahuje uživatelský vstup — který může zahrnovat jména, adresy nebo kontaktní údaje zadané chybně. Snímek záznamu v CRM obsahuje celý profil účtu. Snímek analytického přehledu může obsahovat individuální identifikátory uživatelů v podkladových datech viditelných v grafu.

Dimenze kontroly přístupu

Kromě slepé skvrny DLP vytváří sdílení snímků obrazovky problém s kontrolou přístupu.

Většina organizací má na svých produkčních systémech řízení přístupu na základě rolí (RBAC). Pracovník podpory má přístup k zákaznickým záznamům relevantním pro svou frontu; nemá přístup k celé zákaznické databázi. Dodavatel má přístup k určité projektové dokumentaci; nemá přístup k systémům s PII zákazníků.

Když pracovník podpory pořídí snímek zákaznického záznamu a vloží jej do Slack kanálu sdíleného s dodavateli, kontrola přístupu je obejita. Dodavatel obdrží osobní údaje zákazníka, ke kterým by běžnými systémovými cestami přístup neměl. Smlouva o zpracování dat (DPA) upravující zpracování dat dodavatelem nemusí takový přenos pokrývat. Práva zákazníka dle GDPR nemusí být vůči dodavateli vymahatelná.

Toto obejití kontroly přístupu je problémem dle článku 5 odst. 1 písm. f) GDPR (integrita a důvěrnost) a může způsobovat problémy se soulad s článkem 28, pokud dodavatelé přijímají PII bez příslušných DPA.

Detekce PII v obrazech jako technická kontrola

Technická kontrola řešící únik PII prostřednictvím snímků obrazovky spočívá v detekci textu v obrazech — OCR aplikovaném na obrázkové soubory za účelem extrakce viditelného textu, po němž následuje detekce PII pomocí NLP na extrahovaném textu.

Postup:

1. Zaměstnanec pořídí snímek zákaznického rozhraní
2. Před sdílením ve Slacku, Jiře nebo Teams: nahraje snímek do nástroje pro detekci PII v obrazech
3. Nástroj extrahuje viditelný text ze snímku pomocí OCR
4. NLP detekuje entity PII v extrahovaném textu
5. Zaměstnanec obdrží zprávu: „Tento snímek obsahuje: [jméno zákazníka], [e-mailová adresa], [ID účtu]”
6. Zaměstnanec buď: (a) anonymizuje PII zakrytím v snímku, (b) zvolí omezenější rozsah sdílení, nebo (c) pokračuje ve sdílení s dokumentovaným odůvodněním

Tento postup nezabrání veškerému sdílení snímků s PII — zviditelní PII zaměstnanci před sdílením a umožní informované rozhodnutí.

Případová studie: politika Jira snímků obrazovky v SaaS helpdesku

IT helpdesk SaaS společnosti vytvářel Jira tikety dokumentující problémy uživatelských účtů. Snímky připojené k Jira tiketům obsahovaly:

• E-mailové adresy uživatelů (z rozhraní správy účtů)
• Detaily předplatného
• Fakturované částky a data
• Občas částečné platební informace

Audit dat GDPR zjistil, že 847 Jira tiketů vytvořených za 18 měsíců obsahovalo snímky obrazovky s PII. Přístup do Jiry mělo všech 200 zaměstnanců technického oddělení, včetně dodavatelů bez smluv o zpracování dat pokrývajících přístup k zákaznickým fakturačním datům.

Přístup k nápravě:

1. Retrospektivní audit: detekce PII v obrazech na všech snímcích v existujících tiketech — zkontrolováno 847 tiketů, 312 obsahujících závažné PII označeno k revizi DPO
2. Náprava tiketů: u 89 tiketů byly snímky zakryty (e-mailové adresy zákazníků, fakturační detaily rozmazány před opětovným přiložením)
3. Implementace procesu: nový postup pro podporu vyžadující kontrolu PII ve snímcích před přiložením do Jiry
4. Školení: 15minutové školení pro všechny pracovníky helpdesku o postupu kontroly PII ve snímcích

Výsledky (90 dní po implementaci):

• Incidenty s PII na snímcích v Jiře: pokles o 90 %
• Zbývající incidenty: případy, kdy pracovníci podpory pokračovali po revizi s dokumentovaným odůvodněním (legitimní diagnostická potřeba s přístupem odpovídajícím roli)
• Revize DPA: rozsah přístupu dodavatelů aktualizován s vyloučením zbytečného vystavení PII

312 historických Jira tiketů s PII snímky představovalo nález v auditu GDPR. 90% snížení po implementaci bylo zdokumentováno jako důkaz nápravy pro odpověď na audit.

Začlenění kontroly snímků do kolaborativních pracovních postupů

Pro organizace implementující kontroly PII snímků bez narušení provozních procesů:

Lehká integrace: Záložka prohlížeče nebo odlehčený nástroj, který zaměstnanci používají před vkládáním do Slacku nebo Jiry — přetáhněte snímek → získejte zprávu o PII za 5 sekund → pokračujte nebo anonymizujte

Integrace Jira/ServiceNow: Háčky před přiložením, které spouštějí detekci PII před připojením snímků k tiketům — podobně jako antivirové skenování před přiložením souborů

Integrace Slack bota: Bot přijímající nahrávání snímků do konkrétních kanálů, spouštějící detekci PII a odesílající odpověď ve vlákně s detekovanými entitami — PII je v kanálu viditelná, aniž by blokovala pracovní postup

Přístup týmové normy (nejmenší tření): Týmová norma + automatizované týdenní vzorkování — náhodně vzorkujte 10 % snímků v nástrojích pro spolupráci, spusťte detekci PII v obrazech, nahlaste zjištění vedoucímu týmu — vytváří odpovědnost bez blokování pracovních postupů

Pro dokumentaci GDPR: kontrola PII snímků je „organizačním opatřením” dle článku 32. Dokumentace kontroly (politika + technický nástroj) s důkazem implementace (záznamy o školení, metriky snížení incidentů) naplňuje zásadu odpovědnosti dle článku 5 odst. 2.

Zdroje:

• GDPR článek 5: Zásady zpracování osobních údajů
• GDPR článek 32: Zabezpečení zpracování
• ICO: Záštita dat od návrhu a implicitní ochrana