아직 감사하지 않은 DLP 사각지대
DLP 도구는 네트워크 트래픽, 이메일 파일, 파일 전송을 모니터링합니다. SSN 열이 있는 스프레드시트를 잡아냅니다. 고객 목록이 포함된 이메일에 플래그를 답니다. 의료 기록이 담긴 업로드를 차단합니다.
화면 캡처는 잡아내지 못합니다.
화면 캡처는 그림 파일입니다. 그 안의 PII는 픽셀로 그려져 있습니다. 텍스트로 저장되지 않습니다. PII 패턴을 스캔하는 DLP 엔진은 아무것도 찾지 못합니다.
매일 직원들은 Slack, Jira, Teams, 이메일 체인에 화면 캡처를 붙여넣습니다. DLP 경보는 하나도 발생하지 않습니다.
직장에서 화면 캡처로 PII가 퍼지는 방법
원격 근무와 하이브리드 근무로 캡처 공유가 일반화되었습니다. 내부 도구에는 매일 캡처가 쌓입니다.
팀원들은 빠른 맥락 공유를 위해 캡처를 공유합니다:
- 지원 담당자가 팀 리더와 공유하기 위해 고객 계정 화면을 캡처합니다.
- 개발자가 사용자 입력 데이터가 포함된 오류 로그를 공유합니다.
- 고객 담당 매니저가 재무팀에 맥락을 제공하기 위해 CRM 기록을 보냅니다.
- IT 관리자가 계약업체를 위해 설정을 문서화하기 위해 시스템 화면을 캡처합니다.
- 제품팀이 이해관계자 업데이트에 대시보드 화면을 공유합니다.
각 첨부 파일에는 개인정보가 포함될 수 있습니다. 고객 계정 캡처에는 이름, 이메일, 상태, 청구 주소가 있습니다. 오류 로그 파일에는 사용자가 입력한 이름, 주소 또는 전화번호가 포함될 수 있습니다. CRM 기록 캡처에는 전체 계정 프로필이 있습니다. 대시보드 파일에는 차트 레이블에 사용자 ID가 표시될 수 있습니다.
접근 제어 문제
화면 캡처 공유는 접근 제어 문제도 만듭니다.
대부분의 조직은 프로덕션 시스템에 역할 기반 접근 제어(RBAC)를 적용합니다. 지원 담당자는 자신의 대기열 기록만 볼 수 있습니다. 계약업체는 배정된 프로젝트 파일만 볼 수 있습니다.
담당자가 고객 기록을 캡처해서 계약업체가 포함된 Slack 채널에 붙여넣으면 접근 제어가 우회됩니다. 계약업체는 정상적인 경로로는 접근할 수 없는 개인정보를 얻게 됩니다. 계약업체 업무에 대한 DPA가 이 전송을 포함하지 않을 수 있습니다. 해당 계약업체에 대해 고객의 GDPR 권리가 적용되지 않을 수 있습니다.
이 우회는 GDPR 제5조 제1항 (f)호 문제입니다. 무결성과 기밀성을 다룹니다. 또한 계약업체가 적절한 DPA 없이 PII를 받는 경우 제28조 정렬 문제가 발생할 수 있습니다. 제28조 의무 체크리스트는 GDPR 준수 가이드를 참조하십시오.
기술적 보호 수단으로서의 이미지 PII 탐지
캡처 기반 PII 노출에 대한 기술적 보호 수단은 OCR 및 NLP 탐지입니다. 단계는 간단합니다.
- 직원이 고객 인터페이스 화면을 캡처합니다.
- 공유 전: 탐지 도구에 캡처를 업로드합니다.
- 도구가 OCR을 통해 보이는 텍스트를 추출합니다.
- NLP가 텍스트에서 PII 엔터티를 찾습니다.
- 직원이 보고서를 봅니다: "이 캡처에는 [고객 이름], [이메일 주소], [계정 ID]가 포함되어 있습니다."
- 직원이 PII를 비식별화하거나 공유 범위를 좁히거나 서면 사유와 함께 진행합니다.
이것은 모든 공유를 차단하지 않습니다. 이동하기 전에 개인정보를 보여줍니다. 사람들이 정보에 입각한 선택을 내릴 수 있습니다. 보호 스택 페이지에서 이것이 어떻게 맞아떨어지는지 확인하십시오.
사용 사례: SaaS 헬프데스크 Jira 캡처 정책
SaaS 회사의 헬프데스크는 계정 문제를 기록하기 위해 Jira를 사용했습니다. 해당 티켓에 첨부된 파일에는 사용자 PII가 포함되어 있었습니다. 구체적으로:
- 계정 관리 화면의 사용자 이메일 주소
- 구독 플랜 세부 정보
- 청구 금액 및 날짜
- 일부 경우 부분적인 결제 데이터
GDPR 감사에서 18개월 동안 생성된 847개의 Jira 티켓이 발견되었습니다. 모두 PII 첨부 파일을 포함했습니다. Jira는 200명의 엔지니어 전체에 공개되어 있었습니다. 일부는 고객 청구 기록에 대한 DPA가 없는 계약업체였습니다.
시정 조치:
- 소급 감사: 모든 기존 첨부 파일에 PII 탐지 실행. 312개 티켓이 DPO 검토를 위해 플래그 됨.
- 티켓 정리: 89개 티켓의 파일이 재첨부 전에 비식별화됨.
- 프로세스 변경: Jira 첨부 전 PII 확인을 요구하는 새 워크플로.
- 교육: 모든 헬프데스크 직원을 위한 15분 세션.
90일 후 결과:
- Jira의 PII 사고: 90% 감소.
- 남은 사고: 서면 진단 사유와 함께 진행한 경우.
- DPA 범위: 계약업체에 대한 불필요한 개인정보 노출을 줄이기 위해 업데이트됨.
312개의 과거 티켓은 준수 관련 발견 사항이었습니다. 90% 감소는 감사 응답에서 시정 증거로 활용되었습니다.
팀 워크플로에 캡처 검토 통합하기
운영 속도를 늦추지 않고 PII 제어를 원하는 조직을 위해 여러 옵션이 있습니다.
경량 옵션: Slack이나 Jira에 붙여넣기 전에 직원이 사용하는 브라우저 도구. 캡처를 끌어다 놓으면 5초 내에 PII 보고서가 생성되고 진행하거나 비식별화합니다.
Jira 또는 ServiceNow 훅: 파일이 티켓에 도달하기 전에 실행되는 탐지. 파일 업로드 전 바이러스 검사처럼 작동합니다.
Slack 봇: 선택한 채널에서 캡처 업로드를 받는 봇. PII 탐지를 실행합니다. 감지된 엔터티와 함께 스레드 답글을 게시합니다. 워크플로를 차단하지 않고 개인정보를 가시화합니다.
팀 규범 및 샘플링: 주간 자동 확인. 협업 도구의 캡처 10%를 샘플링합니다. 탐지를 실행합니다. 팀 리더에게 결과를 보고합니다. 워크플로를 차단하지 않고 책임감을 형성합니다.
GDPR 기록을 위해: 캡처 PII 제어는 제32조에 따른 "조직적 조치"로 간주됩니다. 보호 수단 — 정책 및 기술 도구 — 을 문서화하십시오. 사용 증거를 추가하십시오. 이것은 제5조 제2항 책임 규정을 충족합니다. 준수 페이지 및 제32조 용어 사전 항목을 참조하십시오.
anonym.legal이 팀을 위해 이것을 어떻게 처리하는지 보고 싶으신가요? 플랜 페이지를 방문하거나 비식별화에 관한 창립자 성명을 읽어보십시오.