DLP aklais punkts, kas vēl nav revidēts
DLP rīki uzrauga tīkla trafiku, e-pasta failus un failu pārsūtīšanu. Tie nozvejojas izklājlapas ar SSN kolonnām. Tie atzīmē e-pastus ar klientu sarakstiem. Tie bloķē augšupielādes ar medicīniskajiem ierakstiem.
Tie nenozvejo ekrānuzņēmumus.
Ekrānuzņēmums ir attēla fails. PII tajā ir attēlots kā pikseļi. Tas nav saglabāts kā teksts. DLP dzinēji, kas skenē PII rakstus, neko neatrod.
Katru dienu darbinieki ielīmē ekrānuzņēmumus Slack, Jira, Teams un e-pasta ķēdēs. Neviens DLP brīdinājums netiek aktivizēts.
Kā ekrānuzņēmumi izplata PII darbā
Attālinātais un hibrīdais darbs padarīja uzņēmumu apmaiņu ikdienišķu. Iekšējie rīki katru dienu piepildās ar tiem.
Komandas locekļi dalās ar uzņēmumiem, lai nodrošinātu ātru kontekstu:
- Atbalsta aģenti satver klientu konta skatus, lai kopīgotu ar komandas vadītājiem.
- Izstrādātāji dalās ar kļūdu žurnāliem, kas ietver lietotāja ievadītos datus.
- Konta vadītāji nosūta CRM ierakstus, lai sniegtu kontekstu finanšu komandām.
- IT administratori uzņem sistēmas skatus, lai dokumentētu iestatījumus darbuzņēmējiem.
- Produktu komandas dalās ar informācijas paneļa skatiem ieinteresēto personu atjauninājumos.
Katra pielikums var saturēt personas informāciju. Klientu konta uzņēmumā ir vārds, e-pasts, statuss un norēķinu adrese. Kļūdu žurnāla failā var būt vārdi, adreses vai tālruņu numuri, ko ievadījuši lietotāji. CRM ierakstu uzņēmumā ir pilns konta profils. Informācijas paneļa failā var parādīties lietotāju ID diagrammu etiķetēs.
Piekļuves kontroles problēma
Ekrānuzņēmumu koplietošana rada arī piekļuves kontroles problēmu.
Vairums organizāciju ievieš lomu bāzētu piekļuves kontroli (RBAC) ražošanas sistēmām. Atbalsta aģents redz tikai savas rindas ierakstus. Darbuzņēmējs redz tikai piešķirtos projektu failus.
Kad aģents satver klientu ierakstu un ielīmē to Slack kanālā ar darbuzņēmējiem, piekļuves kontrole tiek apieta. Darbuzņēmējs saņem personas datus, kuriem viņš nevarēja piekļūt caur parastiem ceļiem. DPA par darbuzņēmēja darbu var neattiekties uz šo pārsūtīšanu. GDPR tiesības klientam var neattiekties uz šo darbuzņēmēju.
Šī apiešana ir GDPR 5. panta 1. punkta f) apakšpunkta jautājums. Tas aptver integritāti un konfidencialitāti. Tas var arī radīt 28. panta saskaņošanas problēmas, ja darbuzņēmēji saņem PII bez pareiziem DPA. Skatiet mūsu GDPR atbilstības rokasgrāmatu, lai iegūtu 28. panta pienākumu kontrolsarakstu.
Attēlu PII noteikšana kā tehniskais aizsardzības pasākums
Tehniskais aizsardzības pasākums uzņēmumu bāzētai PII iedarbībai ir OCR kopā ar NLP noteikšanu. Soļi ir vienkārši.
- Darbinieks uzņem klientu saskarnes ekrānu.
- Pirms kopīgošanas: augšupielādē uzņēmumu noteikšanas rīkā.
- Rīks izvelk redzamo tekstu, izmantojot OCR.
- NLP atrod PII entītijas tekstā.
- Darbinieks redz ziņojumu: "Šis uzņēmums satur: [klienta vārds], [e-pasta adrese], [konta ID]."
- Darbinieks pēc tam rediģē PII, sašaurina koplietošanas jomu vai turpina ar rakstisku iemeslu.
Tas nebloķē visu koplietošanu. Tas parāda personas informāciju pirms tās pārvietošanās. Cilvēki pēc tam var pieņemt apzinātus lēmumus. Skatiet, kā tas iekļaujas jūsu aizsardzības stekā aizsardzības pasākumu lapā.
Lietošanas gadījums: SaaS helpdesk Jira uzņēmumu politika
SaaS uzņēmuma helpdesk izmantoja Jira, lai reģistrētu konta problēmas. Tiem biļetiem pievienotie faili saturēja lietotāju PII. Konkrēti:
- Lietotāju e-pasta adreses no konta pārvaldības ekrāniem.
- Abonementa plāna informācija.
- Norēķinu summas un datumi.
- Daļēji maksājumu dati dažos gadījumos.
GDPR audits atklāja 847 Jira biļetus, kas izveidoti 18 mēnešu laikā. Visi saturēja PII pielikumus. Jira bija pieejama visiem 200 inženieriem. Daži bija darbuzņēmēji bez DPA klientu norēķinu ierakstiem.
Sanācijas soļi:
- Retrospektīvs audits: PII noteikšana visiem esošajiem pielikumiem. 312 biļeti atzīmēti DPO pārskatam.
- Biļetu tīrīšana: 89 biļetiem faili tika aizsegti pirms atkārtotas pievienošanas.
- Procesa maiņa: jauna darbplūsma, kas prasa PII pārbaudi pirms Jira pielikuma.
- Apmācība: 15 minūšu sesija visiem helpdesk darbiniekiem.
Rezultāti pēc 90 dienām:
- PII incidenti Jira: samazināti par 90 procentiem.
- Atlikušie incidenti: gadījumi, kad darbinieki turpināja ar rakstisku diagnostikas iemeslu.
- DPA darbības joma: atjaunināta, lai samazinātu nevajadzīgu personas datu iedarbību darbuzņēmējiem.
312 vēsturiskie biļeti bija atbilstības konstatējums. 90 procentu kritums kalpoja kā sanācijas pierādījums audita atbildē.
Uzņēmumu pārskata iekļaušana komandas darbplūsmās
Organizācijām, kas vēlas PII kontroli, nepalēninot darbību, pastāv vairākas iespējas.
Viegla opcija: Pārlūkprogrammas rīks, ko darbinieki izmanto pirms ielīmēšanas Slack vai Jira. Ievelciet uzņēmumu, iegūstiet PII ziņojumu piecu sekunžu laikā, pēc tam turpiniet vai rediģējiet.
Jira vai ServiceNow āķis: Noteikšana, kas darbojas pirms failu nonākšanas biļetos. Tas darbojas kā vīrusu skenēšana pirms faila augšupielādes.
Slack robots: Robots, kas saņem uzņēmumu augšupielādes izvēlētos kanālos. Tas palaiž PII noteikšanu. Tas publicē pavediena atbildi ar atklātajām entītijām. Tas padara personas informāciju redzamu, nebloķējot darbplūsmu.
Komandas norma plus izlase: Iknedēļas automatizēta pārbaude. Izlasiet 10 procentus uzņēmumu sadarbības rīkos. Palaidiet noteikšanu. Ziņojiet par konstatējumiem komandas vadītājam. Tas veido atbildību, nebloķējot nevienu darbplūsmu.
GDPR ierakstiem: uzņēmumu PII kontrole tiek skaitīta kā "organizatorisks pasākums" saskaņā ar 32. pantu. Uzrakstiet aizsardzības pasākumu — politika un tehniskais rīks. Pievienojiet lietošanas pierādījumu. Tas apmierina 5. panta 2. punkta atbildības noteikumu. Skatiet mūsu atbilstības lapu un vārdnīcas ierakstu par 32. pantu.
Vēlaties redzēt, kā anonym.legal rīkojas ar to jūsu komandai? Apmeklējiet mūsu plānu lapu vai lasiet dibinātāja paziņojumu par de-identifikāciju.
Avoti
- GDPR 5. pants: Datu apstrādes principi. PĀRBAUDĪTS-ĀRĒJS.
- GDPR 32. pants: Apstrādes drošība. PĀRBAUDĪTS-ĀRĒJS.
- ICO: Datu aizsardzība pēc dizaina un noklusējuma. PĀRBAUDĪTS-ĀRĒJS.