Zrzuty ekranu z danymi osobowymi: wycieki w narzędziach wewnętrznych

Martwy punkt DLP, którego jeszcze nie audytowałeś

Narzędzia DLP monitorują ruch sieciowy, pliki e-mail i transfery plików. Wychwytują arkusze kalkulacyjne z kolumnami numerów PESEL. Flagują wiadomości e-mail z listami klientów. Blokują przesyłanie plików z dokumentacją medyczną.

Nie wychwytują zrzutów ekranu.

Zrzut ekranu to plik graficzny. Dane osobowe w nim zawarte są wyrenderowane w postaci pikseli. Nie są przechowywane jako tekst. Silniki DLP skanujące pod kątem wzorców danych osobowych niczego nie znajdują.

Codziennie pracownicy wklejają zrzuty ekranu do Slacka, Jiry, Teams i wątków e-mailowych. Zero alertów DLP.

Jak zrzuty ekranu rozprzestrzeniają dane osobowe w środowisku pracy

Praca zdalna i hybrydowa sprawiła, że udostępnianie zrzutów ekranu stało się powszechne. Narzędzia wewnętrzne zapełniają się nimi każdego dnia.

Członkowie zespołu udostępniają zrzuty, by szybko przekazać kontekst:

• Agenci wsparcia chwytają widoki kont klientów, by udostępnić je przełożonym.
• Deweloperzy udostępniają logi błędów zawierające dane wpisane przez użytkowników.
• Opiekunowie klientów przesyłają rekordy z CRM, by zapewnić kontekst zespołom finansowym.
• Administratorzy IT przechwytują widoki systemów, by dokumentować konfiguracje dla wykonawców.
• Zespoły produktowe udostępniają widoki dashboardów w aktualizacjach dla interesariuszy.

Każdy załącznik może zawierać dane osobowe. Zrzut ekranu konta klienta ujawnia imię i nazwisko, adres e-mail, status i adres rozliczeniowy. Plik z logiem błędów może zawierać imiona i nazwiska, adresy lub numery telefonów wpisane przez użytkowników. Zrzut rekordu CRM zawiera pełny profil konta. Plik z dashboardem może pokazywać identyfikatory użytkowników w etykietach wykresów.

Problem z kontrolą dostępu

Udostępnianie zrzutów ekranu stwarza również problem z kontrolą dostępu.

Większość organizacji stosuje kontrolę dostępu opartą na rolach (RBAC) w systemach produkcyjnych. Agent wsparcia widzi tylko rekordy ze swojej kolejki. Wykonawca widzi jedynie przydzielone mu pliki projektowe.

Gdy agent przechwytuje rekord klienta i wkleja go do kanału Slacka dostępnego dla wykonawców, kontrola dostępu zostaje obejdzie. Wykonawca uzyskuje dostęp do danych osobowych, do których normalnie nie miałby prawa. Umowa DPA dla prac wykonawczych może nie obejmować tego transferu. Prawa klienta wynikające z RODO mogą nie mieć zastosowania wobec tego wykonawcy.

To obejście stanowi naruszenie art. 5 ust. 1 lit. f) RODO dotyczącego integralności i poufności. Może też powodować problemy z art. 28, jeśli wykonawcy uzyskują dostęp do danych osobowych bez właściwych umów DPA. Zapoznaj się z naszym przewodnikiem po zgodności z RODO i listą kontrolną obowiązków wynikających z art. 28.

Wykrywanie danych osobowych w obrazach jako zabezpieczenie techniczne

Technicznym zabezpieczeniem przed ujawnianiem danych osobowych poprzez zrzuty ekranu jest OCR połączony z wykrywaniem NLP. Kroki są proste.

1. Pracownik robi zrzut ekranu interfejsu klienta.
2. Przed udostępnieniem: przesyła zrzut do narzędzia wykrywającego.
3. Narzędzie wyodrębnia widoczny tekst za pomocą OCR.
4. NLP wykrywa encje danych osobowych w tekście.
5. Pracownik widzi raport: „Ten zrzut zawiera: [imię i nazwisko klienta], [adres e-mail], [ID konta].”
6. Pracownik następnie redaguje dane osobowe, zawęża zakres udostępniania lub kontynuuje z pisemnym uzasadnieniem.

Nie blokuje to całego udostępniania. Pokazuje dane osobowe zanim jeszcze zostaną przekazane dalej. Ludzie mogą wówczas podejmować świadome decyzje. Sprawdź, jak to wpisuje się w twoją platformę ochrony na stronie zabezpieczeń.

Przypadek użycia: polityka zrzutów ekranu Jira w helpdesku SaaS

Helpdek firmy SaaS używał Jiry do dokumentowania problemów z kontami. Załączone do zgłoszeń pliki zawierały dane osobowe użytkowników. W szczególności:

• Adresy e-mail użytkowników z ekranów zarządzania kontami.
• Szczegóły planów subskrypcji.
• Kwoty i daty rozliczeń.
• W niektórych przypadkach częściowe dane płatnicze.

Audyt RODO ujawnił 847 zgłoszeń w Jirze powstałych przez 18 miesięcy. Wszystkie zawierały załączniki z danymi osobowymi. Jira była dostępna dla wszystkich 200 inżynierów. Część z nich stanowili wykonawcy nieposiadający umów DPA obejmujących dane rozliczeniowe klientów.

Kroki naprawcze:

1. Audyt retrospektywny: wykrywanie danych osobowych we wszystkich istniejących załącznikach. 312 zgłoszeń oznaczono do przeglądu przez IOD.
2. Czyszczenie zgłoszeń: w 89 zgłoszeniach pliki zostały zanonimizowane przed ponownym załączeniem.
3. Zmiana procesu: nowy przepływ pracy wymagający kontroli danych osobowych przed załączeniem do Jiry.
4. Szkolenie: 15-minutowa sesja dla wszystkich pracowników helpdesku.

Wyniki po 90 dniach:

• Incydenty z danymi osobowymi w Jirze: spadek o 90 procent.
• Pozostałe incydenty: przypadki, w których pracownicy kontynuowali z pisemnym uzasadnieniem diagnostycznym.
• Zakres DPA: zaktualizowany w celu ograniczenia zbędnego ujawniania danych osobowych wykonawcom.

312 historycznych zgłoszeń stanowiło ustalenie w zakresie zgodności. Spadek o 90 procent posłużył jako dowód naprawczy w odpowiedzi na audyt.

Wdrażanie kontroli zrzutów ekranu w procesach zespołowych

Dla organizacji, które chcą kontrolować dane osobowe bez spowalniania operacji, istnieje kilka opcji.

Opcja lekka: Narzędzie przeglądarkowe, z którego pracownicy korzystają przed wklejeniem do Slacka lub Jiry. Przeciągnij zrzut, otrzymaj raport o danych osobowych w pięć sekund, a następnie kontynuuj lub dokonaj redakcji.

Wtyczka Jira lub ServiceNow: Wykrywanie uruchamiane przed dotarciem plików do zgłoszeń. Działa jak skanowanie antywirusowe przed przesłaniem pliku.

Bot Slack: Bot odbierający przesłane zrzuty ekranu w wybranych kanałach. Uruchamia wykrywanie danych osobowych. Publikuje odpowiedź w wątku z wykrytymi encjami. Dzięki temu dane osobowe stają się widoczne bez blokowania przepływu pracy.

Norma zespołowa plus próbkowanie: Cotygodniowa automatyczna kontrola. Próbkowanie 10 procent zrzutów ekranu w narzędziach do współpracy. Uruchomienie wykrywania. Raportowanie wyników do przełożonego zespołu. Buduje odpowiedzialność bez blokowania jakiegokolwiek przepływu pracy.

Dla dokumentacji RODO: kontrola danych osobowych na zrzutach ekranu liczy się jako „środek organizacyjny” w rozumieniu art. 32. Opisz zabezpieczenie — politykę plus narzędzie techniczne. Dodaj dowód użytkowania. To spełnia wymóg rozliczalności z art. 5 ust. 2. Zapoznaj się z naszą stroną dotyczącą zgodności oraz wpisem w słowniku dotyczącym art. 32.

Chcesz zobaczyć, jak anonym.legal obsługuje to dla twojego zespołu? Odwiedź stronę z planami lub przeczytaj oświadczenie założyciela o deidnetyfikacji.

Źródła

• Art. 5 RODO: Zasady przetwarzania danych. ZWERYFIKOWANE ZEWNĘTRZNIE.
• Art. 32 RODO: Bezpieczeństwo przetwarzania. ZWERYFIKOWANE ZEWNĘTRZNIE.
• ICO: Ochrona danych w fazie projektowania i domyślna ochrona danych. ZWERYFIKOWANE ZEWNĘTRZNIE.