Slepa pega DLP, ki je niste revidirali
Orodja DLP nadzorujejo omrezni promet, e-postne datoteke in prenose datotek. Ujamejo preglednice s stolpci SSN. Oznacijo e-poste s seznami strank. Blokirajo nalaganja z medicinskimi kartoni.
Ne ujamejo pa posnetkov zaslona.
Posetek zaslona je slikovna datoteka. Osebni podatki v njej so narisani kot piksli. Niso shranjeni kot besedilo. Motorji DLP, ki izcejo vzorce osebnih podatkov, ne najdejo nicesar.
Vsak dan zaposleni prilepijo posnetke zaslona v Slack, Jiro, Teams in e-postne verige. Brez enega samega opozorila DLP.
Kako se posnetki zaslona sirijo osebni podatki na delovnem mestu
Delo na daljavo in hibridno delo je naredilo deljenje posnetkov pogosto. Interna orodja so jih vsak dan polna.
Clani ekipe delijo posnetke za hiter kontekst:
- Agenti podpore zajamejo poglede na racun stranke in jih delijo z vodji ekip.
- Razvijalci delijo dnevnike napak, ki vkljucujejo podatke, ki so jih vnesli uporabniki.
- Racunovodje posiljajo zapise CRM za kontekst financnim ekipam.
- IT skrbniki zajamejo sistemske poglede za dokumentiranje nastavitev zunanjim izvajalcem.
- Skupin za produkt delijo poglede na nadzorne plosce v posodobitvah za delez.
Vsaka priponka lahko vsebuje osebne podatke. Posnetek racuna stranke vsebuje ime, e-posta, status in naslov za racunanje. Datoteka dnevnika napak lahko vsebuje imena, naslove ali telefonske stevilke, ki so jih vnesli uporabniki. Posnetek zapisa CRM vsebuje celoten profil racuna. Datoteka nadzorne plosce lahko prikazuje ID-je uporabnikov v oznakah grafikonov.
Tezava z nadzorom dostopa
Deljenje posnetkov zaslona prav tako ustvarja tezavo z nadzorom dostopa.
Vecina organizacij uveljavi nadzor dostopa na podlagi vlog (RBAC) na produkcijskih sistemih. Agent podpore vidi samo zapise svoje vrste. Zunanji izvajalec vidi samo dodeljene projektne datoteke.
Ko agent zajame zapis stranke in ga prilepi v kanal Slack z zunanjimi izvajalci, je nadzor dostopa zaobiden. Izvajalec dobi osebne podatke, do katerih po normalnih poteh ne bi mogel dostopati. DPA za delo z zunanjimi izvajalci morda ne pokriva tega prenosa. Pravice stranke po GDPR morda ne veljajo za tega izvajalca.
To zaobidetje je tezava po clenu 5(1)(f) GDPR. Pokriva integriteto in zaupnost. Prav tako lahko povzroci tezave z usklajevanjem po clenu 28, ce izvajalci dobijo osebne podatke brez ustreznih DPA. Oglejte si nas vodnik za skladnost GDPR za kontrolni seznam dolznosti po clenu 28.
Zaznavanje osebnih podatkov v slikah kot tehnicni varovalni ukrep
Tehnicni varovalni ukrep za izpostavljenost osebnih podatkov pri zajemanju je OCR plus zaznavanje NLP. Koraki so preprosti.
- Zaposleni zajame zaslon vmesnika za stranke.
- Pred deljenjem: nalaganje zajema v orodje za zaznavanje.
- Orodje izvlece vidno besedilo prek OCR.
- NLP najde entitete osebnih podatkov v besedilu.
- Zaposleni vidi porocilo: "Ta zajem vsebuje: [ime stranke], [e-postni naslov], [ID racuna]."
- Zaposleni nato redigira osebne podatke, zozi obseg deljenja ali nadaljuje s pisnim razlogom.
To ne blokira vsega deljenja. Prikazuje osebne podatke pred premikanjem. Ljudje lahko nato sprejemajo ozavescene odlocitve. Oglejte si, kako to ustreza vasemu skladu zascite na strani varovalnih ukrepov.
Primer: Politika zajemanja Jira za SaaS helpdesk
Helpdesk SaaS podjetja je uporabil Jiro za belejenje tezav z racuni. Datoteke, pripolozene tem zahtevkom, so vsebovale osebne podatke uporabnikov. Tocno:
- E-postni naslovi uporabnikov z zaslonov upravljanja racuna.
- Podrobnosti narocniskega nacta.
- Zneski in datumi racunarjenja.
- Delni podatki o placilih v nekaterih primerih.
Revizija GDPR je nasla 847 zahtevkov Jira, ustvarjenih v 18 mesecih. Vsi so imeli priponke z osebnimi podatki. Jira je bila dostopna vsem 200 inzenirjem. Nekateri so bili zunanji izvajalci brez DPA za podatke o racunanju strank.
Koraki sanacije:
- Retroaktivna revizija: zaznavanje osebnih podatkov na vseh obstojecih priponkah. 312 zahtevkov je bilo oznacenih za pregled DPO.
- Ciscenje zahtevkov: 89 zahtevkov je imelo datoteke zamaskirane pred ponovnim prilaganjem.
- Sprememba postopka: nov delovni tok, ki zahteva pregled osebnih podatkov pred priponko Jira.
- Usposabljanje: 15-minutna seja za vse osebje helpdeska.
Rezultati po 90 dneh:
- Incidenti z osebnimi podatki v Jiri: zmanjsanje za 90 odstotkov.
- Preostali incidenti: primeri, ko je osebje nadaljevalo s pisnim diagnosticnim razlogom.
- Obseg DPA: posodobljen za zmanjsanje nepotrebne izpostavljenosti osebnih podatkov zunanjim izvajalcem.
312 zgodovinskih zahtevkov je bilo ugotovitev skladnosti. 90-odstotno zmanjsanje je sluzilo kot dokaz sanacije pri odgovoru na revizijo.
Vgradnja pregleda zajetih slik v delovne procese ekipe
Za organizacije, ki zelijo nadzor nad osebnimi podatki brez upocasnitve operacij, obstaja vec moznosti.
Lahka moznost: Brskalniško orodje, ki ga zaposleni uporabijo pred lepljenjem v Slack ali Jiro. Povlecite zajem, dobite porocilo o osebnih podatkih v petih sekundah, nato nadaljujte ali redigirajte.
Kljucna koda za Jiro ali ServiceNow: Zaznavanje, ki deluje, preden datoteke dosezejo zahtevke. Deluje kot protivirusno pregledovanje pred nalaganjem datoteke.
Bot za Slack: Bot, ki prejema nalaganja zajetih slik v izbranih kanalih. Zagene zaznavanje osebnih podatkov. Objavi odgovor v niti z zaznanimi entitetami. To naredi osebne podatke vidne brez blokiranja delovnega toka.
Ekipna norma in vzorcevanje: Tedenski samodejni pregled. Vzorcevanje 10 odstotkov zajetih slik v orodjih za sodelovanje. Zazenite zaznavanje. Porocajte ugotovitve vodji ekipe. To gradi odgovornost brez blokiranja katerega koli delovnega toka.
Za evidence GDPR: nadzor nad osebnimi podatki pri zajemanju steje kot "organizacijski ukrep" po clenu 32. Dokumentirajte varovalni ukrep -- politika plus tehnicno orodje. Dodajte dokaz o uporabi. To zadosti pravilu odgovornosti po clenu 5(2). Oglejte si naso stran o skladnosti in geslosovni vnos za clen 32.
Zelite videti, kako anonym.legal to obvladuje za vaso ekipo? Obisite naso stran s cenami ali preberite izjavo ustanovitelja o de-identifikaciji.