Denetlemediğiniz DLP Kör Noktası
DLP araçları ağ trafiğini, e-posta dosyalarını ve dosya transferlerini izler. SSN sütunları içeren elektronik tabloları yakalar. Müşteri listeleri içeren e-postaları işaretler. Tıbbi kayıtlarla yapılan yüklemeleri engeller.
Ekran görüntülerini yakalamaz.
Bir ekran görüntüsü, piksel olarak çizilmiş bir resim dosyasıdır. İçindeki KKB metin olarak saklanmaz. KKB desenlerini tarayan DLP motorları hiçbir şey bulamaz.
Her gün çalışanlar ekran görüntülerini Slack, Jira, Teams ve e-posta zincirlerine yapıştırır. Sıfır DLP uyarısı tetiklenir.
Ekran Görüntüleri İş Yerinde KKB'yi Nasıl Yayar
Uzaktan ve hibrit çalışma, görüntü paylaşımını yaygınlaştırdı. Dahili araçlar her gün bunlarla dolup taşmaktadır.
Ekip üyeleri hızlı bağlam için görüntü paylaşır:
- Destek temsilcileri, ekip liderleriyle paylaşmak için müşteri hesap görünümlerini yakalar.
- Geliştiriciler, kullanıcı girdi verilerini içeren hata günlüklerini paylaşır.
- Hesap yöneticileri, finans ekiplerine bağlam sağlamak için CRM kayıtlarını gönderir.
- BT yöneticileri, yükleniciler için kurulum belgelerini oluşturmak amacıyla sistem görünümlerini yakalar.
- Ürün ekipleri, paydaş güncellemelerinde gösterge paneli görünümlerini paylaşır.
Her ek kişisel bilgi taşıyabilir. Bir müşteri hesabı görüntüsü ad, e-posta, durum ve fatura adresi içerir. Hata günlüğü dosyası, kullanıcılar tarafından girilen adları, adresleri veya telefon numaralarını içerebilir. Bir CRM kaydı görüntüsü, tam hesap profilini barındırır. Bir gösterge paneli dosyası grafik etiketlerinde kullanıcı kimliklerini gösterebilir.
Erişim Kontrolü Sorunu
Ekran görüntüsü paylaşımı aynı zamanda bir erişim kontrolü sorunu yaratır.
Çoğu kuruluş, üretim sistemlerindeki kimin neleri görebileceğini sınırlamak için rol tabanlı erişim kontrollerini (RBAC) uygular. Bir destek temsilcisi yalnızca kendi kuyruğundaki kayıtları görür. Yüklenici yalnızca atanmış proje dosyalarını görür.
Bir temsilci müşteri kaydını yakalayıp yüklenicilerin bulunduğu bir Slack kanalına yapıştırdığında, erişim kontrolü atlatılmış olur. Yüklenici, normal yollardan erişemeyeceği kişisel verilere kavuşur. Yüklenici çalışması için imzalanan VİS bu transferi kapsamıyor olabilir. Müşterinin GDPR hakları o yüklenici için geçerli olmayabilir.
Bu atlatma bir GDPR Madde 5(1)(f) sorunudur. Bütünlük ve gizliliği kapsar. Yükleniciler uygun VİS olmaksızın KKB aldığında Madde 28 uyum sorunları da yaratabilir. GDPR uyum rehberimize bakın.
Teknik Tedbir Olarak Görüntü KKB Tespiti
Görüntü tabanlı KKB maruziyetinin teknik tedbiri, OCR artı NLP tespitidir. Adımlar basittir.
- Çalışan bir müşteri arayüzünün ekran görüntüsünü alır.
- Paylaşmadan önce: görüntüyü bir tespit aracına yükler.
- Araç, OCR aracılığıyla görünür metni çıkarır.
- NLP, metindeki KKB varlıklarını bulur.
- Çalışan bir rapor görür: "Bu görüntü şunları içeriyor: [müşteri adı], [e-posta adresi], [hesap kimliği]."
- Çalışan ardından KKB'yi redakte eder, paylaşım kapsamını daraltır ya da yazılı bir gerekçeyle devam eder.
Bu tüm paylaşımları engellemez. Kişisel bilgiyi hareket etmeden önce gösterir. Böylece insanlar bilinçli seçimler yapabilir. Bunun koruma yığınınıza nasıl uyduğunu güvenlik önlemleri sayfasında inceleyin.
Kullanım Senaryosu: SaaS Yardım Masası Jira Görüntü Politikası
Bir SaaS şirketinin yardım masası, hesap sorunlarını kaydetmek için Jira kullandı. Bu biletlere eklenen dosyalar kullanıcı KKB içeriyordu. Özellikle:
- Hesap yönetim ekranlarındaki kullanıcı e-posta adresleri.
- Abonelik plan ayrıntıları.
- Fatura tutarları ve tarihleri.
- Bazı durumlarda kısmi ödeme verisi.
Bir GDPR denetimi, 18 aylık süreçte oluşturulan 847 Jira bileti buldu. Tamamı KKB ekleri içeriyordu. Jira, 200 mühendisinin tamamına açıktı. Bazıları, müşteri fatura kayıtları için VİS imzalamayan yüklenicilerdi.
Düzeltme adımları:
- Geriye dönük denetim: mevcut tüm eklerde KKB tespiti. 312 bilet VKS incelemesi için işaretlendi.
- Bilet temizleme: 89 bilet, dosyalar yeniden eklenmeden önce maskelendi.
- Süreç değişikliği: Jira ekinden önce KKB kontrolü gerektiren yeni iş akışı.
- Eğitim: tüm yardım masası personeli için 15 dakikalık oturum.
90 gün sonraki sonuçlar:
- Jira'daki KKB olayları: yüzde 90 azaldı.
- Kalan olaylar: personelin yazılı tanısal gerekçeyle devam ettiği durumlar.
- VİS kapsamı: yükleniciler için gereksiz kişisel veri maruziyetini azaltacak şekilde güncellendi.
312 tarihsel bilet bir uygunluk bulgusuydu. Yüzde 90'lık düşüş, denetim yanıtında düzeltme kanıtı olarak kullanıldı.
Ekip İş Akışlarına Görüntü İncelemesi Entegre Etme
Operasyonları yavaşlatmadan KKB kontrolleri isteyen kuruluşlar için çeşitli seçenekler mevcuttur.
Hafif seçenek: Çalışanların Slack veya Jira'ya yapıştırmadan önce kullandığı bir tarayıcı aracı. Görüntüyü sürükleyin, beş saniyede KKB raporu alın, ardından devam edin ya da redakte edin.
Jira veya ServiceNow kancası: Dosyalar biletlere ulaşmadan önce çalışan tespit. Dosya yüklemeden önce virüs taraması gibi çalışır.
Slack botu: Seçilen kanallarda görüntü yüklemelerini alan bir bot. KKB tespiti çalıştırır. Tespit edilen varlıklarla iş parçacığı yanıtı yayınlar. Bu, iş akışını engellemeden kişisel bilgiyi görünür kılar.
Ekip normu artı örnekleme: Haftalık otomatik kontrol. İşbirliği araçlarındaki görüntülerin yüzde 10'unu örnekleyin. Tespit çalıştırın. Bulguları ekip liderine bildirin. Bu, herhangi bir iş akışını engellemeden hesap verebilirliği oluşturur.
GDPR kayıtları için: görüntü KKB kontrolü, Madde 32 kapsamında bir "organizasyonel tedbir" sayılır. Güvenceyi yazın — politika artı teknik araç. Kullanım kanıtı ekleyin. Bu, Madde 5(2) hesap verebilirlik kuralını karşılar. Uyum sayfamıza bakın.
anonym.legal'ın bunu ekibiniz için nasıl çözdüğünü görmek ister misiniz? Plan sayfamızı ziyaret edin.
Kaynaklar
- GDPR Madde 5: Veri İşleme İlkeleri. DOĞRULANDI-HARİCİ.
- GDPR Madde 32: İşlemenin Güvenliği. DOĞRULANDI-HARİCİ.
- ICO: Tasarımla Veri Koruma. DOĞRULANDI-HARİCİ.