Τα στιγμιότυπα οθόνης μοιάζουν ασήμαντα. Αλλά αποτελούν έναν από τους κύριους διαδρόμους δεδομένων πελατών προς τα εσωτερικά εργαλεία λογισμικού.
Γιατί τα Στιγμιότυπα Περιέχουν Δεδομένα Πελατών
Οι δεδομένα πελατών διαρρέουν σε στιγμιότυπα μέσω:
1. Αντιγραφή/Επικόλληση Δεδομένων: Ένας μηχανικός δημιουργεί ένα στιγμιότυπο ενός Jira σχόλιου που περιέχει στοιχεία καταlog και email του πελάτη.
2. Περιεχόμενο παραθύρου: Ένα email πελάτη που είναι ανοιχτό στο φόντο όταν λαμβάνεται ένα στιγμιότυπο για αναφορά σφάλματος.
3. Αρχεία με όνομα πελάτη: Ο δικός σας αρχείο μηνύματος φέρει αρχεία με ονόματα πελατών, δημιουργό τα στιγμιότυπα αν εμφανίζεται ανεξέλεγκτη έκθεση.
4. Περιγραφή Jira: Ένας σφαλμάτων δημιευργός παραθέτει τα δεδομένα δοκιμής με δεδομένα παραγωγής πελάτη ανυπόψιαστα.
Πώς Εσωτερικά Εργαλεία Δημιουργούν PII από Εικόνες
Τα εργαλεία όπως Jira, Confluence και Slack έχουν εγκατεστημένη αναγνώριση χαρακτήρων (OCR) και ανάλυση εικόνας:
OCR καταναγκασμό αναγνώρισης: Κάθε φορά που ανεβάζετε ένα στιγμιότυπο σε Confluence, το Confluence τη σκανάρει με εργαλείο OCR (συχνά Amazon Textract) και εξάγει το κείμενο.
Δεδομένα καταχώρησης αναζήτησης: Το εξαγόμενο κείμενο ευρετηριάζεται σε αναζητήσιμο κείμενο. Εάν το στιγμιότυπο περιέχει ένα email ή CPF (Ταυτότητα Φορολογικού Πολίτη), εμφανίζεται στα αποτελέσματα αναζήτησης Confluence.
Διαρροή μέσω Slack: Το Slack δεν εκτελεί OCR από μόνο του, αλλά το Slack-Jira ενσωμάτωση μπορεί να αντιγραφή Confluence σαρώνων.
Το GDPR Πρόβλημα: Κρυμμένες PII Δεδομένα
Υπό το GDPR:
Άρθρο 5 (Ακεραιότητα): Δεδομένα πελατών πρέπει να είναι "ακριβή και σχετικά με τη μεταχείριση". Αποθήκευση ανακληθέντων πληροφοριών πελατών (ακόμη και αν συμβαίνει αυτόματα μέσω OCR) είναι παραβίαση ακεραιότητας δεδομένων.
Άρθρο 32 (Ασφάλεια Δεδομένων): Το GDPR απαιτεί τεχνικά μέτρα προστασίας, συμπεριλαμβανομένου ελέγχου πρόσβασης. Εάν μια εικόνα που περιέχει δεδομένα πελάτη αποθηκεύεται σε ένα ανοικτό Confluence χώρο που όλοι προσβάσιμοι, το GDPR άρθρο 32 παραβιάζεται.
Άρθρο 6 (Νόμιμη Βάση): Δεδομένα πελατών δεν πρέπει να αποθηκεύονται ανύστηκτα. Εάν δεν υπάρχει ρητή συναίνεση του πελάτη ή νόμιμη βάση για τα δεδομένα που εμφανίζονται σε εσωτερικές εικόνες, η αποθήκευση παραβαίνει το Άρθρο 6.
Δύο Λύσεις: Αποτροπή και Εξάλειψη
Λύση 1: Πρόληψη Στιγμιοτύπου (κατανάλωση)
Να ρυθμίσετε αυτόματους κανόνες που αποτρέπουν τα στιγμιότυπα που περιέχουν PII από τη λήψη σε πρώτη θέση:
- Καρδιακό σημείο σε όλες τις συσκευές ώστε στιγμιότυπα να σαρώνονται αυτόματα για PII πριν λάβει.
- Ανακατεύθυνση απαγόρευσης στιγμιοτύπου αν ανιχνευθεί ευαίσθητα δεδομένα.
- Εναλλακτικές λύσεις: Χρησιμοποιήστε τα εργαλεία Blur αποδεικτικών ή "ανώνυμη αντιγραφή".
Λύση 2: Εξάλειψη (Ανακάλυψη + Διαγραφή)
Αν στιγμιότυπα έχουν ήδη ανεβασμένα:
- Σάρωση του Confluence/Jira με εργαλείο OCR για να εντοπίσετε πολιτεία που περιέχουν δεδομένα πελάτη.
- Διαγραφή αυτών ανύστηκτα.
- Ενημέρωση των εργαζομένων των πολιτικών χρήσης στιγμιοτύπου.
Πώς να Ενημερώσετε την Πολιτική της Εταιρείας
Η ενημέρωση πολιτικής πρέπει:
- Απαγόρευση δημόσιας ανεβάσματος: Περιγραφή ότι στιγμιότυπα δεν πρέπει να περιέχουν δεδομένα πελάτη.
- Εναλλακτικές μέθοδοι αναφοράς: Παράδειγμα κατάστ λειτουργίας ή βίντεο των σφαλμάτων άλλα όχι στιγμιότυπα.
- Blur εργαλείων: Άδεια εργαλείων όπως το Blur γυαλιά ή Snagit που αποδεικτικών PII.
Πηγές: