Slepé miesto DLP, ktore ste ešte neauditovali
Nástroje DLP sledujú sietovú prevádzku, e-mailové súbory a prenosy súborov. Zachytávajú tabulky so stlpcami rodných císel. Oznacujú e-maily so zoznamami zákazníkov. Blokujú nahrávanie so zdravotnými záznamami.
Screenshoty nezachytávajú.
Screenshot je obrazkový súbor. Osobné údaje v nom sú vykreslené ako pixely. Nie sú uložené ako text. DLP enginy, ktoré vyhladávajú vzory osobných údajov, nic nenájdu.
Každý den zamestnanci vkladajú screenshoty do Slacku, Jiry, Teams a e-mailových vlákien. Zero DLP upozornení.
Ako sa screenshoty šíria osobné údaje v práci
Práca na dialku a hybridná práca urobili zdielanie screenshotov bežným. Interné nástroje sú nimi denne zaplavené.
Clenovia tímu zdielaju screenshoty pre rýchly kontext:
- Agenti podpory ukladajú pohly na zákaznícke úcty a zdielaju ich s vedúcimi tímov.
- Vývojári zdielaju chybové logy obsahujúce údaje zadané používatelmi.
- Account manažéri posielajú záznamy z CRM pre kontext finanncným tímom.
- IT administrátori zachytávajú systémové pohly na dokumentáciu pre dodávatelov.
- Produktové tímy zdielaju pohly na dashboardy v aktualizáciách pre zainteresované strany.
Každá príloha môže niest osobné informácie. Screenshot zákazníckeho úctu obsahuje meno, e-mail, stav a fakturacnú adresu. Súbor s chybovým logom môže obsahovat mená, adresy alebo telefónne císla zadané používatelmi. Screenshot záznamu z CRM obsahuje celý profil úctu. Súbor dashboardu môže zobrazovat ID používatelov v popiskoch grafov.
Problém s kontrolou prístupu
Zdielanie screenshotov vytvára aj problém s kontrolou prístupu.
Väcšina organizácií presadzuje riadenie prístupu na základe rolí (RBAC) v produkných systémoch. Agent podpory vidí iba záznamy vo vlastnom fronte. Dodávatel vidí iba pridelené projektové súbory.
Ked agent zachytí záznam zákazníka a vloží ho do Slack kanála s dodávatelmi, kontrola prístupu je obídená. Dodávatel dostane osobné údaje, ku ktorým sa nemohol dostat štandardnými cestami. DPA pre dodávatelov nemusí pokrývat tento prenos. Práva zákazníka podla GDPR nemusia platit pre tohto dodávatela.
Toto obchádzanie je problémom podla Clánku 5 ods. 1 písm. f) GDPR. Pokrýva integritu a dôvernost. Môže tiež vytvárat problémy so zladením podla Clánku 28, ak dodávatelia dostanú osobné údaje bez príslušných DPA. Pozrite si náš pruvodca súladom s GDPR pre kontrolný zoznam povinností podla Clánku 28.
Detekcia osobných údajov v obrazkoch ako technické opatrenie
Technickým opatrením pre expozíciu osobných údajov prostredníctvom screenshotov je OCR plus NLP detekcia. Postup je jednoduchý.
- Zamestnanec zachytí obrazovku zákazníckeho rozhrania.
- Pred zdielaním: nahrá screenshot do detekného nástroja.
- Nástroj extrahuje viditelný text cez OCR.
- NLP nájde entity osobných údajov v texte.
- Zamestnanec vidí správu: "Tento screenshot obsahuje: [meno zákazníka], [e-mailovú adresu], [ID úctu]."
- Zamestnanec potom redaguje osobné údaje, zúži rozsah zdielania alebo pokracuje s písomným odôvodnením.
Toto neblokuje všetko zdielanie. Ukazuje osobné informácie predtým, ako sa prenesú. Ludia môžu potom robit informované rozhodnutia. Pozrite si, ako to zapadá do vášho zásobníka ochrany na stránke bezpecnostných opatrení.
Prípadová štúdia: Politika screenshotov v Jire pre zákaznícku podporu SaaS
Zákaznícka podpora jednej SaaS spolocnosti používala Jiru na evidenciu problémov s úctami. Súbory priložené k týmto tiketom obsahovali osobné údaje používatelov. Konkrétne:
- E-mailové adresy používatelov zo správy zákazníckych úctov.
- Detaily predplatného.
- Sumy a dátumy fakturácie.
- V niektorých prípadoch ciastocné platobné údaje.
Audit GDPR odhalil 847 tiketov Jiry vytvorených za 18 mesiacov. Všetky obsahovali prílohy s osobnými údajmi. Jira bola otvorená pre všetkých 200 inžinierov. Niektorí boli dodávatelia bez DPA pre fakturacné záznamy zákazníkov.
Kroky nápravy:
- Retroaktívny audit: detekcia osobných údajov vo všetkých existujúcich prílohách. 312 tiketov oznacených na kontrolu DPO.
- Cistenie tiketov: 89 tiketov malo súbory zakryté pred opätovným priložením.
- Zmena procesu: nový postup vyžadujúci kontrolu osobných údajov pred priložením do Jiry.
- Školenie: 15-minútová relácia pre všetkých zamestnancov zákazníckej podpory.
Výsledky po 90 dnoch:
- Incidenty s osobnými údajmi v Jire: pokles o 90 percent.
- Zostatok incidentov: prípady, kde zamestnanci pokracovali s písomným diagnostickým dôvodom.
- Rozsah DPA: aktualizovaný na zníženie zbytocnej expozície osobných údajov dodávatelom.
312 historických tiketov bolo nálezom súladu. Pokles o 90 percent slúžil ako dôkaz nápravy v odpovedi na audit.
Zabudovanie kontroly screenshotov do tímových procesov
Pre organizácie, ktoré chcú kontroly osobných údajov bez spomalenia operácií, existuje niekolko možností.
Lahká možnost: Nástroj v prehliadaci, ktorý zamestnanci používajú pred vložením do Slacku alebo Jiry. Pretiahnite screenshot, za pät sekúnd dostanete správu o osobných údajoch, a potom pokracujte alebo redagujte.
Hook pre Jiru alebo ServiceNow: Detekcia bežiaca pred priložením súborov k tiketom. Funguje ako antivírové skenovanie pred nahraním súboru.
Slack bot: Bot, ktorý prijíma nahrané screenshoty vo vybraných kanáloch. Spustí detekciu osobných údajov. Príspevok v odpovedi vlákna s detekovanými entitami. To robí osobné informácie viditelné bez blokovania pracovného toku.
Tímová norma plus vzorkovanie: Automatická týždenná kontrola. Vzorka 10 percent screenshotov v nástrojoch spolupráce. Spustenie detekcie. Hlásenie nálezov vedúcemu tímu. Toto buduje zodpovednost bez blokovania akéhokolvek pracovného toku.
Pre záznamy GDPR: kontrola osobných údajov na screenshotoch sa pocíta ako "organizacné opatrenie" podla Clánku 32. Dokumentujte opatrenie — politiku plus technický nástroj. Pridajte dôkaz použitia. Toto spna pravidlo zodpovednosti podla Clánku 5 ods. 2. Pozrite si našu stránku súladu a slovníkový záznam pre Clanok 32.
Chcete vidiet, ako anonym.legal rieši toto pre váš tím? Navštívte našu stránku plánov alebo precítajte vyhlásenie zakladatela o de-identifikácii.
Zdroje
- Clanok 5 GDPR: Zásady spracúvania údajov. VERIFIED-EXTERNAL.
- Clanok 32 GDPR: Bezpecnost spracúvania. VERIFIED-EXTERNAL.
- ICO: Ochrana údajov už od návrhu a štandardne. VERIFIED-EXTERNAL.