Slijepa tocka DLP-a koju niste revizirali
DLP alati prate mrezni promet, e-postanske datoteke i prijenose datoteka. Hvataju tablicne kalkulacije s kolonama JMBG-a. Oznacavaju e-poste s popisima korisnika. Blokiraju prijenose s medicinskim zapisima.
Ne hvataju snimke zaslona.
Snimka zaslona je slikovna datoteka. Osobni podaci u njoj prikazani su kao pikseli. Nisu pohranjeni kao tekst. DLP motori koji skeniraju uzorke osobnih podataka nista ne pronalaze.
Svaki dan zaposlenici lijepe snimke zaslona u Slack, Jira, Teams i e-postanske lance. Niti jedan DLP uzbunjivac se ne aktivira.
Kako se snimke zaslona sire osobne podatke na poslu
Udaljen i hibridni rad ucinio je dijeljenje snimaka uobicajenim. Interni alati svakodnevno se pune njima.
Clanovi tima dijele snimke radi brzog konteksta:
- Agenti podrske uzimaju prikaze korisnickih racuna za dijeljenje s voditeljima tima.
- Programeri dijele zapise gresaka koji sadrze podatke koje su unijeli korisnici.
- Menadzeri racuna salju CRM zapise radi konteksta financijskim timovima.
- IT administratori snimaju prikaze sustava kako bi dokumentirali postavke za izvrsitelje.
- Produktni timovi dijele prikaze nadzorne ploce u azuriranjima za dionike.
Svaki prilog moze nositi osobne podatke. Snimka korisnickog racuna sadrzi ime, e-postu, status i adresu za naplatu. Datoteka zapisa gresaka moze sadrzavati imena, adrese ili brojeve telefona koje su unijeli korisnici. Snimka CRM zapisa sadrzi cijeli profil racuna. Datoteka nadzorne ploce moze prikazivati korisnicke ID-ove u oznakama grafikona.
Problem kontrole pristupa
Dijeljenje snimaka zaslona takoder stvara problem kontrole pristupa.
Vecina organizacija provodi kontrole pristupa temeljene na ulogama (RBAC) na produkcijskim sustavima. Agent podrske vidi samo zapise iz svog reda. Izvrsitelj vidi samo datoteke dodijeljenog projekta.
Kada agent uzme zapis korisnika i zalijepi ga u Slack kanal s izvrsiteljima, kontrola pristupa se zaobilazi. Izvrsitelj dobiva osobne podatke kojima nije mogao pristupiti putem normalnih putova. DPA za ugovoreni posao mozda ne pokriva ovaj prijenos. GDPR prava korisnika mozda se ne primjenjuju na tog izvrsitelja.
Ovo zaobilazenje je pitanje Clanka 5(1)(f) GDPR-a. Pokriva integritet i povjerljivost. Moze takoder stvoriti probleme usklade prema Clanku 28 ako izvrsitelji dobivaju osobne podatke bez odgovarajucih DPA-a. Pogledajte nas vodic za uskladenost s GDPR-om za kontrolni popis obveza prema Clanku 28.
Otkrivanje osobnih podataka na slici kao tehnicka zastita
Tehnicka zastita za izlaganje osobnih podataka putem snimaka je OCR uz NLP otkrivanje. Koraci su jednostavni.
- Zaposlenik snima zaslon suceljja korisnika.
- Prije dijeljenja: prenosi snimku u alat za otkrivanje.
- Alat izvlaci vidljivi tekst putem OCR-a.
- NLP pronalazi entitete osobnih podataka u tekstu.
- Zaposlenik vidi izvjesce: "Ova snimka sadrzi: [ime korisnika], [e-postanska adresa], [ID racuna]."
- Zaposlenik zatim redaktira osobne podatke, suzava opseg dijeljenja ili nastavlja s pisanim razlogom.
Ovo ne blokira svo dijeljenje. Pokazuje osobne podatke prije nego sto se premjeste. Ljudi tada mogu donositi informirane odluke. Pogledajte kako se to uklapa u vas stos zastite na stranici o zastiti.
Slucaj upotrebe: SaaS helpdesk politika snimaka u Jira
Helpdesk jedne SaaS tvrtke koristio je Jira za evidentiranje problema s racunima. Datoteke prilocene uz te tikete sadrzavale su osobne podatke korisnika. Konkretno:
- E-postanske adrese korisnika s ekrana upravljanja racunima.
- Detalji pretplatnog plana.
- Iznosi i datumi naplate.
- Djelomicni podaci o placanju u nekim slucajevima.
GDPR revizija pronasla je 847 Jira tiketa stvorenih tijekom 18 mjeseci. Svi su imali privitke s osobnim podacima. Jira je bila otvorena svim 200 inzenjera. Neki su bili izvrsitelji bez DPA-a za zapise naplate korisnika.
Koraci sanacije:
- Retroaktivna revizija: otkrivanje osobnih podataka na svim postojecim privitcima. 312 tiketa oznaceno za pregled DPO-a.
- Ciscenje tiketa: 89 tiketa imalo je datoteke prekrivene prije ponovnog prilaganja.
- Promjena procesa: novi tijek rada koji zahtijeva provjeru osobnih podataka prije privitka u Jira.
- Obuka: 15-minutna sesija za sve osoblje helpdeska.
Rezultati nakon 90 dana:
- Incidenti s osobnim podacima u Jira: smanjeni za 90 posto.
- Preostali incidenti: slucajevi u kojima je osoblje nastavilo s pisanim dijagnostickim razlogom.
- Opseg DPA-a: azuriran radi smanjenja nepotrebnog izlaganja osobnih podataka izvrsiteljima.
312 povijesnih tiketa bilo je nalaz uskladenosti. 90-postotni pad posluzio je kao dokaz sanacije u odgovoru na reviziju.
Ugradnja pregleda snimaka u timske tijekove rada
Za organizacije koje zele kontrole osobnih podataka bez usporavanja operacija, postoji nekoliko mogucnosti.
Lagana mogucnost: Preglednicni alat koji zaposlenici koriste prije lijepljenja u Slack ili Jira. Povucite snimku, dobijte izvjesce o osobnim podacima za pet sekundi, zatim nastavite ili redaktirajte.
Kuka za Jira ili ServiceNow: Otkrivanje koje se odvija prije nego datoteke dospiju u tikete. Radi poput virusnog skeniranja prije prijenosa datoteke.
Slack bot: Bot koji prima prijenose snimaka u odabranim kanalima. Pokrecre otkrivanje osobnih podataka. Objavljuje odgovor u niti s otkrivenim entitetima. Time se osobni podaci postaju vidljivi bez blokiranja tijeka rada.
Timska norma i uzorkovanje: Tjedna automatizirana provjera. Uzorak 10 posto snimaka u alatima za suradnju. Pokrenite otkrivanje. Prijavite nalaze voditelju tima. Ovo gradi odgovornost bez blokiranja ijednog tijeka rada.
Za GDPR zapise: kontrola osobnih podataka snimke broji se kao "organizacijska mjera" prema Clanku 32. Napiste zastitu — politiku i tehnicki alat. Dodajte dokaz korinstenja. To zadovoljava pravilo odgovornosti iz Clanka 5(2). Pogledajte nasu stranicu o uskladenosti i glosarski unos za Clanak 32.
Zelite vidjeti kako anonym.legal to rjesava za vas tim? Posjetite nasu stranicu s planovima ili procitajte izjavu osnivaca o de-identifikaciji.
Izvori
- GDPR Clanak 5: Nacela obrade podataka. VERIFIED-EXTERNAL.
- GDPR Clanak 32: Sigurnost obrade. VERIFIED-EXTERNAL.
- ICO: Zastita podataka po dizajnu i zadanoj postavci. VERIFIED-EXTERNAL.