Denetlemediğiniz DLP Kör Noktası
Veri Kaybı Önleme (DLP) araçları, kişisel olarak tanımlanabilir bilgileri (PII) izlemek için ağ trafiğini, e-posta eklerini ve dosya transferlerini denetler. SSN sütunları içeren elektronik tabloları, ekli müşteri listeleri olan e-postaları ve tıbbi kayıtlar içeren dosya yüklemelerini yakalarlar.
Ekran görüntülerini yakalamazlar.
Bir ekran görüntüsü bir görüntü dosyasıdır. Ekran görüntüsündeki PII — bir CRM arayüzünde görünen müşteri adları, bir gelen kutusu görünümündeki e-posta adresleri, bir faturalama sistemindeki hesap numaraları — görüntüde metin olarak saklanmaz. Piksel olarak işlenir. PII desenlerini dosya içeriğinde inceleyen standart DLP motorları hiçbir şey bulamaz.
Sonuç: Her gün, gelişmiş DLP altyapısına sahip organizasyonlarda, çalışanlar müşteri kişisel verilerini içeren ekran görüntülerini Slack kanallarına, Jira biletlerine, Teams mesajlarına ve e-posta zincirlerine yapıştırır — ve sıfır DLP uyarısı tetiklenir.
Modern İşte Ekran Görüntüsü PII Kapsamı
Uzaktan ve karma çalışma, ekran görüntüsü paylaşımını yaygın hale getirmiştir. İç iletişim araçları, bağlam için paylaşılan ekran görüntüleriyle doludur:
- Destek temsilcileri, takım liderleriyle paylaşmak için müşteri hesaplarının ekran görüntülerini alır ("bu garip hesap durumuna bak")
- Geliştiriciler, mühendislik kanallarında paylaşmak için kullanıcı girişi doğrulama hatalarını içeren hata günlüklerinin ekran görüntülerini alır
- Hesap yöneticileri, finansla anlaşma bağlamını paylaşmak için CRM kayıtlarının ekran görüntülerini alır
- BT yöneticileri, yükleniciler için yapılandırmaları belgelemek amacıyla sistem arayüzlerinin ekran görüntülerini alır
- Ürün ekipleri, paydaş güncellemeleri için kullanıcı analitik panolarının ekran görüntülerini alır
Her ekran görüntüsü PII içerebilir. Müşteri hesap ekran görüntüsü, müşterinin adını, e-posta adresini, hesap durumunu ve faturalama adresini içerir. Hata günlüğü ekran görüntüsü, hatayla girilmiş isimler, adresler veya iletişim bilgileri içerebilir. CRM kayıt ekran görüntüsü, hesabın tam profilini içerir. Analitik pano ekran görüntüsü, grafikte görünen temel verilerde bireysel kullanıcı tanımlayıcılarını içerebilir.
Erişim Kontrolü Boyutu
DLP açığının ötesinde, ekran görüntüsü paylaşımı bir erişim kontrolü problemi yaratır.
Çoğu organizasyon, üretim sistemlerinde rol tabanlı erişim kontrollerine (RBAC) sahiptir. Bir destek temsilcisi, destek kuyruğuna ilgili müşteri kayıtlarına erişim sahibidir; ancak tam müşteri veritabanına erişimleri yoktur. Bir yüklenici, belirli proje belgelerine erişim sahibidir; ancak müşteri PII sistemlerine erişimleri yoktur.
Bir destek temsilcisi, bir müşteri kaydının ekran görüntüsünü alıp bunu yüklenicilerle paylaşılan bir Slack kanalına yapıştırdığında, erişim kontrolü atlatılmış olur. Yüklenici, normal sistem erişim yollarıyla erişemeyecekleri müşteri kişisel verilerini alır. Yüklenici veri işleme sözleşmesini (DPA) yöneten düzenleme bu transferi kapsamayabilir. Müşterinin GDPR hakları yükleniciye karşı kullanılamayabilir.
Bu erişim kontrolü atlatması, GDPR Madde 5(1)(f) sorunu (bütünlük ve gizlilik) olup, yüklenicilerin uygun DPA'lar olmadan PII alması durumunda Madde 28 uyumluluk sorunları yaratabilir.
Görüntü PII Tespiti Teknik Kontrol Olarak
Ekran görüntüsü PII sızıntısını ele alan teknik kontrol, görüntü metni tespitidir — görünür metni çıkarmak için görüntü dosyalarına OCR uygulanması ve ardından çıkarılan metin üzerinde NLP PII tespiti yapılmasıdır.
İş akışı:
- Çalışan, müşteri arayüzünün ekran görüntüsünü alır
- Slack/Jira/Teams'de paylaşmadan önce: ekran görüntüsünü görüntü PII tespit aracına yükler
- Araç, ekran görüntüsünden görünür metni OCR ile çıkarır
- NLP, çıkarılan metinde PII varlıklarını tespit eder
- Çalışan bir rapor alır: "Bu ekran görüntüsü şunları içeriyor: [müşteri adı], [e-posta adresi], [hesap ID]"
- Çalışan ya: (a) PII'yi ekran görüntüsünde bulanıklaştırarak anonimleştirir, (b) daha sınırlı bir paylaşım kapsamı seçer, ya da (c) belgelenmiş bir gerekçe ile paylaşım yapar
Bu iş akışı, tüm ekran görüntüsü PII paylaşımını önlemez — PII'yi paylaşmadan önce çalışana görünür hale getirir, böylece bilinçli kararlar almasını sağlar.
Kullanım Durumu: SaaS Yardım Masası Jira Ekran Görüntüsü Politikası
Bir SaaS şirketinin BT yardım masası, kullanıcı hesap sorunlarını belgeleyen Jira biletleri oluşturdu. Jira biletlerine eklenen ekran görüntüleri şunları içeriyordu:
- Kullanıcı e-posta adresleri (hesap yönetim arayüzlerinden)
- Abonelik planı detayları
- Faturalama tutarları ve tarihleri
- Bazen kısmi ödeme bilgileri
Bir GDPR veri denetimi, 18 ayda oluşturulan 847 Jira biletinin PII içeren ekran görüntüleri içerdiğini buldu. Jira erişimi, müşteri faturalama verilerine erişimi kapsayan Veri İşleme Sözleşmeleri (DPA) olmayan yükleniciler de dahil olmak üzere tüm 200 mühendislik personeline açıktı.
Düzeltme yaklaşımı:
- Geriye dönük denetim: mevcut biletlerdeki tüm ekran görüntüleri üzerinde görüntü PII tespiti — 847 bilet gözden geçirildi, 312'si önemli PII içerdiği için DPO incelemesi için işaretlendi
- Bilet düzeltmesi: 89 biletin ekran görüntüleri bulanıklaştırıldı (müşteri e-posta adresleri, faturalama detayları yeniden eklenmeden önce bulanıklaştırıldı)
- Süreç uygulaması: Jira eklemeden önce ekran görüntüsü PII kontrolü gerektiren yeni destek iş akışı
- Eğitim: tüm yardım masası personeli için ekran görüntüsü PII kontrol süreci hakkında 15 dakikalık eğitim
Sonuçlar (uygulama sonrası 90 gün):
- Jira'daki ekran görüntüsü PII olayları: %90 azaldı
- Kalan olaylar: destek personelinin belgelenmiş gerekçe ile incelemeden sonra devam ettiği durumlar (rolüne uygun erişim ile meşru tanı ihtiyacı)
- DPA incelemesi: yüklenici erişim kapsamı gereksiz PII maruziyetini dışlayacak şekilde güncellendi
312 tarihsel Jira bileti, PII ekran görüntüleri ile GDPR denetiminde bir uyumluluk bulgusu temsil etti. %90'lık uygulama sonrası azalma, denetim yanıtı için düzeltme kanıtı olarak belgelenmiştir.
Ekran Görüntüsü İncelemesini İşbirlikçi İş Akışlarına Dahil Etme
Ekran görüntüsü PII kontrollerini operasyonel iş akışlarını kesintiye uğratmadan uygulayan organizasyonlar için:
Hafif entegrasyon: Çalışanların Slack/Jira yapıştırmadan önce kullandığı tarayıcı yer imi veya hafif araç — ekran görüntüsünü sürükle → 5 saniyede PII raporu al → devam et veya anonimleştir
Jira/ServiceNow entegrasyonu: Ekran görüntüleri biletlerine eklenmeden önce PII tespitini tetikleyen ön ekleme kancaları — dosya eklenmeden önce virüs taramasına benzer
Slack bot entegrasyonu: Belirli kanallara ekran görüntüsü yüklemelerini alan, PII tespiti yapan ve tespit edilen varlıklarla bir yanıt dizisi paylaşan bot — PII'yi kanalda görünür hale getirirken iş akışını engellemez
Takım normu yaklaşımı (en düşük sürtünme): Takım normu + haftalık otomatik örnek — işbirliği araçlarındaki ekran görüntülerinin %10'unu rastgele örnek al, görüntü PII tespiti yap, bulguları takım liderine raporla — iş akışlarını engellemeden hesap verebilirlik oluşturur
GDPR belgeleri için: ekran görüntüsü PII kontrolü, Madde 32 kapsamında bir "organizasyonel önlem"dir. Kontrolün (politika + teknik araç) uygulanma kanıtı (eğitim kayıtları, olay azaltma metrikleri) ile belgelenmesi, Madde 5(2) hesap verebilirlik ilkesini karşılar.
Kaynaklar: