Dokumentaation PII-kertymäongelma
Sisäiset tietopankit — Confluence, Notion, SharePoint, GitBook — keräävät erityisen tyyppistä PII-ongelmaa, joka on lähes täysin näkymätön standardeille vaatimustenmukaisuustyökaluille: asiakastietoja, jotka on upotettu prosessidokumentaatioon käytettyihin kuvakaappauksiin.
Skenaario toistuu tuhansissa tukitiimeissä ja operaatioissa:
Tukihenkilö löytää epätavallisen tiliasetuksen. He ottavat kuvakaappauksen asiakkaan tilisivusta dokumentoidakseen ongelman kirjoitettavalle tietopankkiartikkelille. Kuvakaappaus sisältää asiakkaan nimen käyttöliittymän otsikossa, heidän sähköpostiosoitteensa tiliasetuksissa ja heidän tilauksen yksityiskohdat.
Tietopankkiartikkeli julkaistaan sisäiseen wikiin. 150 tukihenkilöä voi nyt käyttää sitä. 12 ulkopuolista urakoitsijaa, jotka työskentelevät ulkoisessa asiakaspalvelussa, voivat käyttää sitä. Artikkeli on hyödyllinen dokumentaatio siitä, miten käsitellä erityistapausta.
Kolme vuotta myöhemmin tietopankissa on 847 tällaista artikkelia. Jokaisessa on kuvakaappauksia asiakastileistä. Asiakkaat, joiden tilitiedot näkyvät kuvakaappauksissa, eivät ole suostuneet tämän toissijaisen käytön osalta. Useimmat eivät tiedä, että heidän tietonsa ovat sisäisessä wikissä.
GDPR-altistus: Miksi tämä ei ole vähäinen ongelma
GDPR-analyysi sisäisistä dokumentaatio kuvakaappauksista:
Tietojen minimointi (artikla 5(1)(c)): Henkilötietojen on oltava "riittäviä, asiaankuuluvia ja rajoitettuja siihen, mikä on tarpeellista." Tietopankkiartikkeli tiliasetusten erityistapauksista ei vaadi todellisen asiakkaan nimeä ja sähköpostiosoitetta. Desinfioitu kuvakaappaus (asiakkaan nimi sumeana) palvelisi dokumentointitarkoitusta yhtä hyvin. Todellisten asiakastietojen sisällyttäminen ei ole tarpeellista.
Tarkoituksen rajoittaminen (artikla 5(1)(b)): Henkilötietoja, jotka on kerätty yhteen tarkoitukseen (asiakaspalvelu), ei voida käyttää toiseen tarkoitukseen (sisäinen prosessidokumentaatio) ilman laillista perustetta. Asiakkaan tilitiedot on kerätty palvelun tarjoamista varten, ei sisäisten erityistapausten dokumentoimiseksi.
Pääsynhallinta (artikla 5(1)(f) ja artikla 32): Henkilötietoja on suojattava asianmukaisilla teknisillä toimenpiteillä. Asiakastilien kuvakaappaukset wikissä, johon kaikki 150 agenttia ja urakoitsijaa voivat päästä — mukaan lukien ne, joilla ei ehkä ole pääsyä taustalla olevaan asiakastilitietojärjestelmään — edustavat sopimatonta laajaa pääsyä henkilötietoihin.
Oikeus tietojen poistamiseen (artikla 17): Tietoaineiston poistamista pyytävällä henkilöllä on oikeus saada tietonsa poistettua "ilman aiheetonta viivytystä." Jos heidän tietonsa näkyvät 23 tietopankkiartikkelissa upotettuina kuvakaappauksina, poistamispyyntö vaatii kaikkien 23 artikkelin löytämistä ja käsittelyä — operatiivisesti vaikea tehtävä ilman järjestelmällistä havaitsemista.
Pääsynhallinnan ohittaminen
Merkittävin vaatimustenmukaisuusongelma wiki-kuvakaappausten kanssa on pääsynhallinnan ohittaminen, jonka ne luovat.
Tukiorganisaatiot käyttävät tyypillisesti RBAC:ta (rooliin perustuva pääsynhallinta) hallitakseen, kuka voi käyttää asiakastilitietojärjestelmiä. Tason 1 agentit pääsevät käsiksi perustilitietoihin. Tason 2 agentit pääsevät käsiksi laskutus- ja teknisiin yksityiskohtiin. Esimiehet ja ylläpitäjät pääsevät käsiksi koko tiliprofiiliin.
Kun tason 2 agentti luo tietopankkiartikkelin, jossa on kuvakaappaus koko asiakastilin profiilista, tämä kuvakaappaus tulee kaikkien wiki-käyttäjien saataville — mukaan lukien tason 1 agentit, joilla ei pitäisi olla pääsyä laskutustietoihin, urakoitsijat, joilla ei ole lainkaan pääsyä järjestelmään, ja uudet työntekijät perehdytyksen aikana.
Kuvakaappaus ohittaa RBAC-hallinnan asiakastilitietojärjestelmässä. Henkilötiedot, joita RBAC:lla oli tarkoitus suojata, ovat nyt kaikkien wiki-pääsyn omaavien saatavilla.
Käytännön korjaus: Takautuva ja tuleva
Organisaatioille, jotka löytävät tämän ongelman GDPR-auditoinnin aikana:
Takautuva korjaus:
- Tunnista kaikki sisäiset wiki-sivut, jotka sisältävät kuvakiinnityksiä
- Suorita kuvien PII-havaitseminen kaikille kuvakiinnityksille
- Triage-tulokset: kuvat, joissa on korkean varmuuden PII-havaintoja, merkitään tarkastettavaksi
- Merkittyjen kuvien osalta: joko korvata desinfioiduilla versioilla tai lisätä asianmukaiset pääsynhallintatoimenpiteet wiki-sivulle
- Dokumentoi korjaustoimenpiteet GDPR:n vastuullisuusasiakirjoja varten
Takautuvan korjauksen laajuus riippuu tietopankin koosta. 50-henkisessä tukitiimissä kolme vuotta vanhassa tietopankissa kuvien määrä voi olla tuhansia. Eräkuvankäsittely tekee tästä toteutettavaa; avainpullonkaula on merkittyjen kuvien ihmisten tarkastaminen.
Tulevat hallintatoimenpiteet:
- Prosessidokumentaatio: kaikki tukitiimin jäsenet koulutetaan desinfioimaan kuvakaappauksia ennen wiki-käyttöä
- Tekninen apu: kuvakaappaustyökalut (asiakkaan nimien sumentaminen ennen liittämistä)
- Tarkastuskohde: nimetty tarkastaja hyväksyy wiki-artikkelit ennen julkaisemista, erityisesti tarkistaen asiakastietojen PII:t kuvissa
- Jaksollinen auditointi: neljännesvuosittainen eräkuvien PII-skannaus kaikista wiki-liitteistä
Minimaalinen toimiva hallinta (resurssirajoitteisille tiimeille): Wiki-julkaisuchecklist, joka sisältää "Poista tai sumenta kaikki asiakkaan nimet, sähköpostit ja tilitunnukset kuvakaappauksista ennen julkaisemista." Alhaistekninen, ei-automaattinen, mutta luo dokumentaatiota hallinnasta.
Miksi ongelma pahenee ajan myötä
Ilman järjestelmällisiä hallintatoimenpiteitä sisäisen wikin PII-ongelma pahenee ajan myötä:
Määrä: Jokainen uusi tietopankkiartikkeli, jossa on asiakaskuvakaappaus, lisää kokonais PII-altistusta. Kun tukitiimi kasvaa ja tietopankki laajenee, kerätty PII kasvaa suhteellisesti.
Unohtuneet artikkelit: Artikkelit, jotka dokumentoivat vanhoja erityistapauksia, joita ei enää esiinny, voivat unohtua wikissä mutta ovat silti saatavilla — sisältäen PII:t asiakkailta, jotka ovat sittemmin tehneet poistamispyyntöjä.
Ristiin tiimien leviäminen: Tietopankit muuttuvat usein monitoiminnallisiksi. Tukiarvostelu, jossa on asiakaskuvakaappauksia, voidaan jakaa tuote-tiimille, insinööritiimille tai ulkoisille urakoitsijoille kontekstina ominaisuuspyynnölle tai virheraportille.
Oikeus tietojen poistamiseen -jono: Kun asiakastietoja kertyy wikiin, vastaaminen poistamispyyntöihin muuttuu monimutkaiseksi. Ilman järjestelmällistä havaitsemista ei ole luotettavaa tapaa varmistaa, että kaikki tietoaineiston tietojen ilmenemiset on tunnistettu ja poistettu.
GDPR:n vaatimustenmukaisuuden osalta johdonmukainen havainto on, että tietopankin PII:n estäminen on helpompaa kuin sen korjaaminen. Tulevat hallintatoimenpiteet — toteutettuna nyt — estävät eksponentiaalisesti kasvavan korjausongelman.
Lähteet: