Skjámyndir með PII: Leki í innri verkfærum

DLP-blindur hólkurinn sem þú hefur ekki endurskoðað

DLP-verkfæri fylgjast með netumferð, tölvupóstsskrám og skráarflutningum. Þau fanga töflureikna með dálkum með kennitölur. Þau flagga tölvupósta með viðskiptavinabiðlistar. Þau loka upphleðslum með sjúkraskrár.

Þau fanga ekki skjámyndatöku.

Skjámynd er myndskrá. PII í henni er teiknaður sem bildeplar. Hún er ekki geymd sem texti. DLP-vélar sem skanna að PII-mynstrum finna ekkert.

Á hverjum degi líma starfsmenn skjámyndir inn í Slack, Jira, Teams og tölvupóstkeðjur. Engar DLP-viðvaranir kveikjast.

Hvernig skjámyndir dreifa PII á vinnustað

Fjarvinnsla og tvinnuð vinna gerðu deilingu skjámynda algegna. Innri verkfæri fylla af þeim á hverjum degi.

Teymismeðlimir deila skjámyndum til skjóts samhengis:

• Þjónustufulltrúar grípa aðgangsyfirlit viðskiptavina til að deila með yfirmönnum.
• Þróunarar deila villukladda sem innihalda notendainnsláttagögn.
• Reikningsstjórar senda CRM-skrár til að veita samhengi fjármálateymum.
• IT-stjórar fanga kerfisvísanir til að skrá uppsetningar fyrir verktaka.
• Vöruhópar deila mælakortyfirlits í uppfærslum til hluthafa.

Hvert fylgiskjal getur borið persónuupplýsingar. Skjámynd viðskiptavinalykils inniheldur nafn, tölvupóst, stöðu og reikningsheimilisfang. Villuskráarskrá getur innihaldið nöfn, heimilisföng eða símanúmer sem notendur hafa slegið inn. Skjámynd CRM-skrár inniheldur fullt reikningssniðmát. Mælakortyfirlitsskjámynd getur sýnt notenda-ID í myndaskifritu.

Vandinn með aðgangsstýringu

Deling skjámynda skapar einnig vandamál með aðgangsstýringu.

Flest fyrirtæki nota hlutverkamiðaða aðgangsstýringu (RBAC) á framleiðslukerfi. Þjónustufulltrúi sér aðeins biðraðarfærslur sínar. Verktaki sér aðeins úthlutaðar verkefnisskrár.

Þegar fulltrúi grípur skrá viðskiptavinar og límir hana í Slack-rás með verktökum er aðgangsstýring umgengin. Verktakinn fær persónuupplýsingar sem hann gat ekki náð í gegnum eðlilegar leiðir. Vinnslusamningurinn fyrir verktakavinnu nær kannski ekki yfir þennan flutning. GDPR-réttindi viðskiptavinarins ná kannski ekki til þess verktaka.

Þessi umgengning er GDPR-grein 5(1)(f)-mál. Hún nær yfir heilleika og trúnað. Hún getur einnig skapað grein-28-samræmisvandamál ef verktakar fá PII án réttra vinnslusamnings. Sjá GDPR-samræmisleiðbeiningar okkar fyrir gátlista yfir skyldu samkvæmt grein 28.

Myndbundin PII-greining sem tæknilegt öryggisráð

Tæknilegt öryggisráð gegn skjámyndbundinni PII-útblástur er OCR ásamt NLP-greiningu. Skrefin eru einföld.

1. Starfsmaður tekur skjámynd af viðmóti viðskiptavinar.
2. Áður en hann deilir: hleður skjámyndinni upp í greiningartæki.
3. Tækið dregur sýnilegan texta út með OCR.
4. NLP finnur PII-einingar í textanum.
5. Starfsmaðurinn sér skýrslu: "Þessi skjámynd inniheldur: [nafn viðskiptavinar], [tölvupóstfang], [reiknings-ID]."
6. Starfsmaðurinn þekkir þá PII-inn, þrengir deilingarsvið eða heldur áfram með skriflega ástæðu.

Þetta lokar ekki allri deildingu. Það sýnir persónuupplýsingarnar áður en þær hreyfast. Fólk getur þá tekið upplýstar ákvarðanir. Sjá hvernig þetta passar við verndarstafl þinn á öryggissíðunni.

Notkunardæmi: SaaS þjónustuborðs Jira-skjámyndaregla

Þjónustuborð SaaS-fyrirtækis notaði Jira til að skrá reikningsvandamál. Skrár sem hengdar voru við þær miðar innihéldu PII notenda. Nánar tiltekið:

• Tölvupóstföng notenda úr reikningsstjórnunarskjáum.
• Upplýsingar um áskriftarplán.
• Reikningsupphæðir og dagsetningar.
• Hlutagreiðslugögn í sumum tilvikum.

GDPR-úttekt fann 847 Jira-miðar gerðir á 18 mánuðum. Allir höfðu PII-fylgiskjöl. Jira var opið öllum 200 forriturum. Sumir voru verktakar án vinnslusamnings fyrir reikningsskrár viðskiptavina.

Úrbætar:

1. Afturvirk úttekt: PII-greining á öllum fyrirliggjandi fylgiskjölum. 312 miðar merktir til yfirferðar hjá DPO.
2. Hreinsun miða: 89 miðar fengu skrár þaktar yfir áður en þær voru endurhengt.
3. Ferlabreyting: nýtt verkflæði sem krefst PII-skoðunar áður en Jira-fylgiskjal er bætt við.
4. Þjálfun: 15 mínútna lota fyrir allt þjónustuborðsfólk.

Niðurstöður eftir 90 daga:

• PII-atvik í Jira: niður 90 prósent.
• Eftirstandandi atvik: tilfelli þar sem starfsmenn héldu áfram með skriflegrar greiningarlegar ástæðu.
• Gildissvið vinnslusamnings: uppfært til að skera niður óþarfa útblástur persónuupplýsinga hjá verktökum.

312 sögulegu miðarnir voru samræmisniðurstaða. 90% fallið þjónaði sem sönnun úrbótar í endurskoðunarsvari.

Að byggja skjámyndaryfirferð inn í teymisverkflæði

Fyrir fyrirtæki sem vilja PII-stýringu án þess að hægja á starfsemi eru nokkrir möguleikar til.

Létt valkostur: Vafrartæki sem starfsmenn nota áður en þeir líma inn í Slack eða Jira. Dragðu skjámyndina, fáðu PII-skýrslu á fimm sekúndum, haltu svo áfram eða þekktu yfir.

Jira eða ServiceNow-krókur: Greining sem keyrir áður en skrár ná miðunum. Það virkar eins og víruslestur áður en skrá er hlætt upp.

Slack-bot: Bot sem tekur við skjámyndaupphleðslum í völdum rásum. Hann keyrir PII-greiningu. Hann setur trásvarssæti með greindum einingum. Þetta gerir persónuupplýsingar sýnilegar án þess að loka verkflæðinu.

Teymisregla ásamt sýnatöku: Vikuleg sjálfvirk skoðun. Sýnaðu 10 prósent skjámynda í samstarfsverkfærum. Keyra greiningu. Tilkynna niðurstöður til teymisyfirmanns. Þetta skapar ábyrgð án þess að loka neinu verkflæði.

Fyrir GDPR-skrár: PII-stýringin á skjámyndum telst sem "skipulagsleg ráðstöfun" samkvæmt grein 32. Skráðu öryggisráðið — stefna ásamt tæknilegu tæki. Bættu við sönnun notkunar. Þetta uppfyllir grein 5(2) um ábyrgðarskyldu. Sjá samræmissíðuna okkar og glossara-þráðinn fyrir grein 32.

Viltu sjá hvernig anonym.legal meðhöndlar þetta fyrir teymið þitt? Farðu á áætlunarsíðu okkar eða lestu stofnandaskilaboðin um nafnleysi.

Heimildir

• GDPR-grein 5: Meginreglur við gagnavinnslu. STAÐFEST-UTANAÐKOMANDI.
• GDPR-grein 32: Öryggi vinnslu. STAÐFEST-UTANAÐKOMANDI.
• ICO: Gagnavernd með hönnun og sjálfgefnu. STAÐFEST-UTANAÐKOMANDI.