จุดอ่อน DLP ที่คุณยังไม่ได้ตรวจสอบ
เครื่องมือ DLP ตรวจสอบการรับส่งข้อมูลเครือข่าย ไฟล์อีเมล และการถ่ายโอนไฟล์ ตรวจจับสเปรดชีตที่มีคอลัมน์ SSN บล็อกอีเมลที่มีรายชื่อลูกค้า ป้องกันการอัปโหลดที่มีบันทึกทางการแพทย์
แต่ไม่สามารถตรวจจับภาพหน้าจอได้
ภาพหน้าจอคือไฟล์รูปภาพ ข้อมูลส่วนบุคคลที่อยู่ในนั้นถูกวาดเป็นพิกเซล ไม่ได้จัดเก็บเป็นข้อความ เครื่องมือ DLP ที่สแกนหารูปแบบข้อมูลส่วนบุคคลไม่พบอะไรเลย
ทุกวัน พนักงานวางภาพหน้าจอลงใน Slack, Jira, Teams และเธรดอีเมล โดยไม่มีการแจ้งเตือน DLP เลยแม้แต่ครั้งเดียว
ภาพหน้าจอแพร่กระจายข้อมูลส่วนบุคคลในที่ทำงานได้อย่างไร
การทำงานทางไกลและแบบไฮบริดทำให้การแชร์ภาพหน้าจอกลายเป็นเรื่องปกติ เครื่องมือภายในเต็มไปด้วยภาพเหล่านี้ทุกวัน
สมาชิกทีมแชร์ภาพหน้าจอเพื่อความรวดเร็วในการสื่อสาร:
- เจ้าหน้าที่ฝ่ายสนับสนุนจับภาพหน้าบัญชีลูกค้าเพื่อแชร์กับหัวหน้าทีม
- นักพัฒนาแชร์บันทึกข้อผิดพลาดที่รวมข้อมูลที่ผู้ใช้ป้อน
- ผู้จัดการบัญชีส่งบันทึก CRM เพื่อให้บริบทแก่ทีมการเงิน
- ผู้ดูแลระบบ IT จับภาพมุมมองระบบเพื่อบันทึกการตั้งค่าให้ผู้รับเหมา
- ทีมผลิตภัณฑ์แชร์มุมมองแดชบอร์ดในการอัปเดตผู้มีส่วนได้ส่วนเสีย
ไฟล์แนบแต่ละรายการอาจมีข้อมูลส่วนบุคคล การจับภาพบัญชีลูกค้ามีชื่อ อีเมล สถานะ และที่อยู่สำหรับการเรียกเก็บเงิน ไฟล์บันทึกข้อผิดพลาดอาจรวมถึงชื่อ ที่อยู่ หรือหมายเลขโทรศัพท์ที่ผู้ใช้ป้อน
ปัญหาการควบคุมการเข้าถึง
การแชร์ภาพหน้าจอยังสร้างปัญหาการควบคุมการเข้าถึง
องค์กรส่วนใหญ่บังคับใช้การควบคุมการเข้าถึงตามบทบาทในระบบการผลิต เจ้าหน้าที่ฝ่ายสนับสนุนเห็นเฉพาะบันทึกในคิวของตน ผู้รับเหมาเห็นเฉพาะไฟล์โครงการที่ได้รับมอบหมาย
เมื่อเจ้าหน้าที่จับภาพบันทึกลูกค้าและวางลงในช่อง Slack ที่มีผู้รับเหมา การควบคุมการเข้าถึงถูกหลีกเลี่ยง ผู้รับเหมาได้รับข้อมูลส่วนบุคคลที่ไม่สามารถเข้าถึงได้ผ่านช่องทางปกติ DPA สำหรับงานผู้รับเหมาอาจไม่ครอบคลุมการถ่ายโอนนี้
การหลีกเลี่ยงนี้เป็นปัญหา GDPR Article 5(1)(f) ซึ่งครอบคลุมความสมบูรณ์และการรักษาความลับ อาจสร้างปัญหาการสอดคล้องกับ Article 28 หากผู้รับเหมาได้รับข้อมูลส่วนบุคคลโดยไม่มี DPA ที่ถูกต้อง ดู คู่มือการปฏิบัติตาม GDPR ของเรา สำหรับรายการตรวจสอบหน้าที่ Article 28
การตรวจหาข้อมูลส่วนบุคคลในรูปภาพเป็นมาตรการป้องกันทางเทคนิค
มาตรการป้องกันทางเทคนิคสำหรับการรั่วไหลของข้อมูลส่วนบุคคลจากภาพหน้าจอคือ OCR ร่วมกับการตรวจหา NLP ขั้นตอนมีดังนี้:
- พนักงานจับภาพหน้าจอของอินเทอร์เฟซลูกค้า
- ก่อนแชร์: อัปโหลดภาพไปยังเครื่องมือตรวจหา
- เครื่องมือดึงข้อความที่มองเห็นได้ผ่าน OCR
- NLP ค้นหาเอนทิตีข้อมูลส่วนบุคคลในข้อความ
- พนักงานเห็นรายงาน: "ภาพนี้มี: [ชื่อลูกค้า], [ที่อยู่อีเมล], [ID บัญชี]"
- พนักงานจากนั้นแก้ไขข้อมูลส่วนบุคคล จำกัดขอบเขตการแชร์ หรือดำเนินการต่อพร้อมเหตุผลที่เป็นลายลักษณ์อักษร
สิ่งนี้ไม่ได้บล็อกการแชร์ทั้งหมด แต่แสดงข้อมูลส่วนบุคคลก่อนที่จะเคลื่อนย้าย ผู้คนสามารถตัดสินใจอย่างมีข้อมูลได้
กรณีใช้งาน: นโยบายภาพหน้าจอ Jira ของ SaaS Helpdesk
ฝ่ายช่วยเหลือของบริษัท SaaS ใช้ Jira เพื่อบันทึกปัญหาบัญชี ไฟล์ที่แนบกับตั๋วเหล่านั้นมีข้อมูลส่วนบุคคลของผู้ใช้:
- ที่อยู่อีเมลผู้ใช้จากหน้าจัดการบัญชี
- รายละเอียดแผนการสมัครสมาชิก
- ยอดเรียกเก็บเงินและวันที่
- ข้อมูลการชำระเงินบางส่วนในบางกรณี
การตรวจสอบ GDPR พบตั๋ว Jira 847 ใบที่สร้างในช่วง 18 เดือน ทั้งหมดมีไฟล์แนบข้อมูลส่วนบุคคล Jira เปิดให้วิศวกร 200 คนทั้งหมด บางส่วนเป็นผู้รับเหมาที่ไม่มี DPA สำหรับบันทึกการเรียกเก็บเงินลูกค้า
ขั้นตอนการแก้ไข:
- การตรวจสอบย้อนหลัง: การตรวจหาข้อมูลส่วนบุคคลในไฟล์แนบที่มีอยู่ทั้งหมด ตั๋ว 312 ใบถูกระบุสำหรับการตรวจสอบโดย DPO
- การทำความสะอาดตั๋ว: 89 ตั๋วมีไฟล์ที่ถูกบดบังก่อนแนบใหม่
- การเปลี่ยนแปลงกระบวนการ: ขั้นตอนการทำงานใหม่ที่กำหนดให้ตรวจสอบข้อมูลส่วนบุคคลก่อนแนบ Jira
- การฝึกอบรม: เซสชัน 15 นาทีสำหรับเจ้าหน้าที่ฝ่ายช่วยเหลือทั้งหมด
ผลลัพธ์หลัง 90 วัน:
- เหตุการณ์ข้อมูลส่วนบุคคลใน Jira: ลดลง 90 เปอร์เซ็นต์
- เหตุการณ์ที่เหลือ: กรณีที่เจ้าหน้าที่ดำเนินการต่อพร้อมเหตุผลการวินิจฉัยที่เป็นลายลักษณ์อักษร
- ขอบเขต DPA: อัปเดตเพื่อลดการเปิดเผยข้อมูลส่วนบุคคลที่ไม่จำเป็นสำหรับผู้รับเหมา
แหล่งอ้างอิง
- GDPR มาตรา 5: หลักการสำหรับการประมวลผลข้อมูล VERIFIED-EXTERNAL
- GDPR มาตรา 32: ความปลอดภัยของการประมวลผล VERIFIED-EXTERNAL
- ICO: การป้องกันข้อมูลตามการออกแบบและค่าเริ่มต้น VERIFIED-EXTERNAL