נקודת העיוורון של DLP שעדיין לא ביקרתם
כלי DLP עוקבים אחר תעבורת רשת, קבצי אימייל והעברות קבצים. הם תופסים גיליונות אלקטרוניים עם עמודות SSN. הם מסמנים אימיילים עם רשימות לקוחות. הם חוסמים העלאות עם רשומות רפואיות.
הם אינם תופסים צילומי מסך.
צילום מסך הוא קובץ תמונה. המידע האישי בתוכו מצויר כפיקסלים. הוא אינו מאוחסן כטקסט. מנועי DLP הסורקים לדפוסי PII לא מוצאים דבר.
כל יום, עובדים מדביקים צילומי מסך ב-Slack, Jira, Teams ובשרשראות אימייל. אפס התראות DLP מופעלות.
כיצד צילומי מסך מפיצים מידע אישי בעבודה
עבודה מרחוק והיברידית הפכו את שיתוף צילומי המסך לנפוץ. כלים פנימיים מתמלאים בהם כל יום.
חברי צוות משתפים צילומים לצורך הקשר מהיר:
- סוכני תמיכה לוקחים צילומי מסך של תצוגות חשבונות לקוחות לשיתוף עם מנהלים.
- מפתחים משתפים יומני שגיאות הכוללים נתונים שהוזנו על ידי משתמשים.
- מנהלי חשבונות שולחים רשומות CRM לצורך הקשר לצוותי כספים.
- מנהלי IT לוכדים תצוגות מערכת לתיעוד הגדרות עבור קבלנים.
- צוותי מוצר משתפים תצוגות לוח מחוונים בעדכוני בעלי עניין.
כל קובץ מצורף עשוי להכיל מידע אישי. צילום מסך של חשבון לקוח כולל שם, אימייל, סטטוס וכתובת לחיוב. קובץ יומן שגיאות יכול לכלול שמות, כתובות או מספרי טלפון שהוזנו על ידי משתמשים. צילום מסך של רשומת CRM מכיל את פרופיל החשבון המלא. קובץ לוח מחוונים עשוי להציג מזהי משתמשים בתוויות תרשים.
בעיית בקרת הגישה
שיתוף צילומי מסך יוצר גם בעיית בקרת גישה.
רוב הארגונים מיישמים בקרות גישה מבוססות תפקיד (RBAC) על מערכות הייצור. סוכן תמיכה רואה רק את רשומות התור שלו. קבלן רואה רק קבצי פרויקט שהוקצו לו.
כאשר סוכן לוקח צילום מסך של רשומת לקוח ומדביק אותו בערוץ Slack עם קבלנים, בקרת הגישה נעקפת. הקבלן מקבל נתונים אישיים שלא יכול היה להגיע אליהם בדרכים רגילות. ה-DPA לעבודת קבלן עשויה שלא לכסות העברה זו. זכויות GDPR של הלקוח עשויות שלא לחול על אותו קבלן.
עקיפה זו היא סוגיה לפי סעיף 5(1)(ו) של GDPR. הוא עוסק בשלמות וסודיות. הוא עשוי גם ליצור בעיות התאמה לסעיף 28 אם קבלנים מקבלים PII ללא DPA מתאים. ראו את מדריך התאימות ל-GDPR שלנו לרשימת בדיקה של חובות סעיף 28.
זיהוי PII בתמונות כאמצעי הגנה טכני
אמצעי ההגנה הטכני לחשיפת PII מבוסס צילום מסך הוא OCR בשילוב זיהוי NLP. השלבים פשוטים.
- עובד צולם מסך של ממשק לקוח.
- לפני השיתוף: מעלה את הצילום לכלי זיהוי.
- הכלי מחלץ טקסט גלוי באמצעות OCR.
- NLP מוצא ישויות PII בטקסט.
- העובד רואה דוח: "הצילום הזה מכיל: [שם לקוח], [כתובת אימייל], [מזהה חשבון]."
- העובד לאחר מכן מעריך, מצמצם את היקף השיתוף, או ממשיך עם סיבה כתובה.
זה לא חוסם כל שיתוף. זה מציג את המידע האישי לפני שהוא עובר. אנשים יכולים לאחר מכן לקבל החלטות מושכלות. ראו כיצד זה משתלב בערימת ההגנה שלכם בדף האמצעים.
מקרה שימוש: מדיניות צילומי מסך ב-Jira למוקד עזרה SaaS
מוקד עזרה של חברת SaaS השתמש ב-Jira לתיעוד בעיות חשבון. קבצים מצורפים לאותם כרטיסים הכילו PII משתמשים. ספציפית:
- כתובות אימייל משתמשים ממסכי ניהול חשבון.
- פרטי תוכנית מנוי.
- סכומי חיוב ותאריכים.
- נתוני תשלום חלקיים במקרים מסוימים.
ביקורת GDPR מצאה 847 כרטיסי Jira שנוצרו במהלך 18 חודשים. כולם הכילו קבצים מצורפים עם PII. Jira היה פתוח לכל 200 המהנדסים. חלקם היו קבלנים ללא DPA לרשומות חיוב לקוחות.
שלבי תיקון:
- ביקורת רטרואקטיבית: זיהוי PII על כל הקבצים המצורפים הקיימים. 312 כרטיסים סומנו לבדיקת DPO.
- ניקוי כרטיסים: ב-89 כרטיסים הוסתרו קבצים לפני חיבורם מחדש.
- שינוי תהליך: תהליך עבודה חדש המחייב בדיקת PII לפני צירוף ל-Jira.
- הדרכה: מפגש של 15 דקות לכל צוות מוקד העזרה.
תוצאות לאחר 90 יום:
- תקריות PII ב-Jira: ירידה של 90 אחוזים.
- תקריות שנותרו: מקרים שבהם הצוות המשיך עם סיבה אבחנתית כתובה.
- היקף DPA: עודכן לצמצום חשיפת נתונים אישיים מיותרת לקבלנים.
312 הכרטיסים ההיסטוריים היו ממצא תאימות. ירידה של 90 אחוזים שימשה כהוכחת תיקון בתגובת הביקורת.
שילוב בדיקת צילומי מסך בתהליכי עבודה צוותיים
לארגונים המעוניינים בבקרות PII מבלי להאט פעולות, קיימות מספר אפשרויות.
אפשרות קלה: כלי דפדפן שעובדים משתמשים בו לפני הדבקה ב-Slack או Jira. גררו את הצילום, קבלו דוח PII תוך חמש שניות, ואז המשיכו או ערכו.
Hook ל-Jira או ServiceNow: זיהוי שרץ לפני שהקבצים מגיעים לכרטיסים. פועל כמו סריקת וירוסים לפני העלאת קובץ.
בוט Slack: בוט שמקבל העלאות צילומי מסך בערוצים נבחרים. מפעיל זיהוי PII. מפרסם תגובת שרשור עם ישויות שזוהו. זה הופך מידע אישי לגלוי מבלי לחסום את תהליך העבודה.
נורמת צוות ובדיגום: בדיקה אוטומטית שבועית. בדגמו 10 אחוז מצילומי המסך בכלי שיתוף פעולה. הפעילו זיהוי. דווחו ממצאים למנהל הצוות. זה בונה אחריותיות מבלי לחסום כל תהליך עבודה.
לרשומות GDPR: בקרת PII בצילומי המסך נחשבת ל"אמצעי ארגוני" לפי סעיף 32. תעדו את האמצעי — מדיניות בתוספת כלי טכני. הוסיפו הוכחת שימוש. זה עונה על כלל האחריותיות לפי סעיף 5(2). ראו את דף התאימות שלנו ואת ערך המילון לסעיף 32.
רוצים לראות כיצד anonym.legal מטפל בזה עבור הצוות שלכם? בקרו בדף התוכניות שלנו או קראו את הצהרת המייסד על ביטול זיהוי.