Kuvakaappaukset ja Henkilötiedot: Vuodot Sisäisissä Työkaluissa

DLP:n Kuollut Kulma, Jota Et Ole Auditoinut

Tietovuodon estämistyökalut valvovat verkkoliikennettä, sähköpostiliitteitä ja tiedostonsiirtoja henkilötietojen varalta. Ne nappivat laskentataulukot, joissa on henkilötunnussarakkeita. Ne merkitsevät sähköpostiviestit asiakaslistojen kanssa. Ne estävät potilasasiakirjojen lataukset.

Ne eivät nappaa kuvakaappauksia.

Kuvakaappaus on kuvatiedosto. Siinä olevat henkilötiedot on piirretty pikseleinä — ne eivät ole tallennettu tekstinä. DLP-moottorit, jotka etsivät henkilötietokuvioita, eivät löydä mitään.

Joka päivä työntekijät liittävät kuvakaappauksia Slackiin, Jiraan, Teamsiin ja sähköpostiketjuihin. Ei yhtään DLP-hälytystä laukeaa.

Miten Kuvakaappaukset Levittävät Henkilötietoja Työssä

Etä- ja hybridityö on tehnyt kuvakaappausten jakamisesta tavanomaista. Sisäiset työkalut täyttyvät niistä päivittäin.

Kollegat jakavat niitä nopean kontekstin vuoksi:

• Tukihenkilöt ottavat kuvakaappauksia asiakastilien näkymistä jaettavaksi tiiminvetäjille.
• Kehittäjät jakavat virhelokeja, jotka sisältävät käyttäjien syöttämiä tietoja.
• Asiakkuuspäälliköt lähettävät CRM-tietueita antaakseen kontekstin taloustiimeille.
• IT-ylläpitäjät ottavat kuvakaappauksia järjestelmänäkymistä dokumentoidakseen konfiguraatioita urakoitsijoille.
• Tuotetiimit jakavat koontinäyttönäkymiä sidosryhmäpäivityksissä.

Jokainen liite voi sisältää henkilötietoja. Asiakastilin kuvakaappaus sisältää nimen, sähköpostiosoitteen, tilan ja laskutusosoitteen. Lokitiedosto voi sisältää käyttäjien syöttämiä nimiä, osoitteita tai puhelinnumeroita. CRM-tietueen kuvakaappaus näyttää koko tilin profiilin. Koontinäyttökuva voi näyttää käyttäjätunnukset kaavioiden selitteissä.

Kulunvalvonnan Ongelma

Kuvakaappausten jakaminen luo myös kulunvalvontaongelman.

Useimmissa organisaatioissa on roolipohjainen kulunvalvonta (RBAC) tuotantojärjestelmissä. Tukihenkilö näkee vain oman jonon tietueet. Urakoitsija näkee vain hänelle osoitetut projektitiedostot.

Kun tukihenkilö ottaa asiakastietueen kuvakaappauksen ja liittää sen Slack-kanavalle, jossa on urakoitsijoita, kulunvalvonta ohitetaan. Urakoitsija saa henkilötietoja, joihin hänellä ei olisi pääsyä normaaleja kanavia pitkin. Urakoitsijan työtä koskeva tietojenkäsittelysopimus ei välttämättä kata tätä siirtoa. Asiakkaan GDPR-oikeudet eivät välttämättä koske kyseistä urakoitsijaa.

Tämä ohittaminen on GDPR:n 5 artiklan 1 kohdan f alakohdan mukainen ongelma. Se kattaa eheyden ja luottamuksellisuuden. Se voi myös aiheuttaa 28 artiklan noudattamisongelmia, jos urakoitsijat saavat henkilötietoja ilman asianmukaisia tietojenkäsittelysopimuksia. Tutustu GDPR-vaatimustenmukaisuusoppaaseemme 28 artiklan velvoitteiden tarkistuslistaa varten.

Kuvien Henkilötietojen Havaitseminen Teknisenä Toimenpiteenä

Tekninen toimenpide kuvakaappausten henkilötietovuotoja vastaan on OCR yhdistettynä NLP-tunnistukseen. Vaiheet ovat yksinkertaiset.

1. Työntekijä ottaa kuvakaappauksen asiakasliittymästä.
2. Ennen jakamista: lataa kuvakaappaus tunnistustyökaluun.
3. Työkalu poimii näkyvän tekstin OCR:n avulla.
4. NLP tunnistaa henkilötietokohteet tekstistä.
5. Työntekijä näkee raportin: "Tämä kuvakaappaus sisältää: [asiakkaan nimi], [sähköpostiosoite], [tilin tunnus]."
6. Työntekijä joko peittää henkilötiedot, rajaa jakamisen laajuutta tai jatkaa kirjallisella perustelulla.

Tämä ei estä kaikkea jakamista. Se tekee henkilötiedot näkyviksi ennen niiden siirtymistä, mahdollistaen tietoisen päätöksenteon. Tutustu siihen, miten tämä sopii suojauspinoosi suojaustoimenpiteiden sivulla.

Tapaustutkimus: SaaS-Helpdeskin Jira-Kuvakaappauslinjaus

Erään SaaS-yrityksen IT-helpdesk käytti Jiraa tiliongelmien kirjaamiseen. Tiketteihin liitetyt tiedostot sisälsivät käyttäjien henkilötietoja, erityisesti:

• Käyttäjien sähköpostiosoitteet tilihallinnan näytöistä.
• Tilaussuunnitelman tiedot.
• Laskutusmäärät ja -päivämäärät.
• Joissakin tapauksissa osittaisia maksutietoja.

GDPR-auditointi löysi 847 18 kuukauden aikana luotua Jira-tikettiä, jotka kaikki sisälsivät henkilötietoliitteitä. Jira oli kaikkien 200 insinöörin käytettävissä, mukaan lukien joitain urakoitsijoita, joilla ei ollut asiakkaiden laskutustietoja koskevia tietojenkäsittelysopimuksia.

Korjaustoimenpiteet:

1. Takautuva auditointi: henkilötietojen havaitseminen kaikissa olemassa olevien tikettien liitteissä. 312 tikettiä merkittiin tietosuojavastaavan tarkistettavaksi.
2. Tikettien puhdistaminen: 89 tiketin tiedostot sumentiin ennen uudelleenliittämistä.
3. Prosessimuutos: uusi työnkulku, joka edellyttää henkilötietotarkistusta ennen Jira-liittämistä.
4. Koulutus: 15 minuutin sessio kaikelle helpdesk-henkilöstölle.

Tulokset 90 päivää myöhemmin:

• Henkilötietoloukkaukset Jirassa: laski 90 prosenttia.
• Jäljelle jääneet tapaukset: tapaukset, joissa henkilöstö jatkoi kirjallisella diagnostisella perustelulla.
• Tietojenkäsittelysopimuksen laajuus: päivitetty vähentämään tarpeetonta henkilötietojen altistumista urakoitsijoille.

312 historiallista tikettiä olivat vaatimustenmukaisuushavainto. 90 prosentin lasku toimi todisteena korjaavista toimista auditoinnin vastauksessa.

Kuvakaappausten Tarkistuksen Integroiminen Tiimin Työnkulkuihin

Organisaatioille, jotka haluavat hallita henkilötietoja hidastamatta toimintaa, on useita vaihtoehtoja.

Kevyt integraatio: Selaintyökalu, jota työntekijät käyttävät ennen Slackiin tai Jiraan liittämistä. Vedä kuvakaappaus, saat henkilötietoraportin viidessä sekunnissa, jatka sitten tai peitä tiedot.

Jira- tai ServiceNow-koukku: Havaitseminen, joka suoritetaan ennen kuin tiedostot päätyvät tiketteihin. Toimii kuten virustarkistus ennen tiedoston lataamista.

Slack-botti: Botti, joka vastaanottaa kuvakaappauksia valituilla kanavilla, suorittaa henkilötietojen havaitsemisen ja julkaisee vastauksen ketjuun havaittujen kohteiden kanssa. Tekee henkilötiedot näkyviksi estämättä työnkulkua.

Tiimin normi ja otanta: Viikoittainen automaattinen tarkistus. Otos 10 prosenttia yhteistyötyökalujen kuvakaappauksista, suoritetaan havaitseminen ja raportoidaan tulokset tiiminvetäjälle. Rakentaa vastuullisuutta ilman työnkulkujen estämistä.

GDPR-dokumentaatiota varten: kuvakaappausten henkilötietotarkistus lasketaan "organisatoriseksi toimenpiteeksi" 32 artiklan mukaisesti. Dokumentoi toimenpide — käytäntö ja tekninen työkalu — ja lisää käyttötodiste. Tämä täyttää 5 artiklan 2 kohdan vastuullisuussäännön. Tutustu vaatimustenmukaisuussivuumme ja 32 artiklan sanastokohtaan.

Haluatko nähdä, miten anonym.legal hoitaa tämän tiimillesi? Vieraile hinnoittelusivulla tai lue perustajan lausunto de-identifioinnista.

Lähteet

• GDPR:n 5 artikla: Tietojenkäsittelyä koskevat periaatteet. VERIFIED-EXTERNAL.
• GDPR:n 32 artikla: Käsittelyn turvallisuus. VERIFIED-EXTERNAL.
• ICO: Tietosuoja suunnittelun ja oletusasetusten kautta. VERIFIED-EXTERNAL.