Whitepaper di LayerT
Registrare le sessioni in modo responsabile
Registrare ciò che le persone fanno al lavoro è delicato, ed è giusto che lo sia. LayerT può registrare le sessioni sugli account condivisi, perché per un portale finanziario o per l’account social di un’azienda, sapere “chi ha fatto cosa” a volte richiede più di una riga di log. Questo documento è per chi deve decidere se ciò è accettabile: responsabili della privacy, consulenti legali, rappresentanze dei lavoratori e i dipendenti stessi.
I principi
- Disattivata, a meno che non decidiate diversamente. Nessun account viene registrato finché la vostra organizzazione non ha attestato una base giuridica e attivato la registrazione per quello specifico account.
- Circoscritta. Solo le sessioni degli account condivisi, solo sul sito dell’account stesso. Mai la navigazione in generale.
- Visibile. La persona sa sempre che una sessione viene registrata.
- Minima. Ciò che le persone digitano è mascherato nel punto in cui lo digitano, nei campi dei moduli e negli editor di testo formattato. I campi di login sono esclusi del tutto. Nessuna immagine, font, corpo o intestazione delle richieste. Una registrazione mostra comunque ciò che la pagina mostra a sua volta.
- Protetta. Cifrata sul dispositivo prima di lasciarlo, archiviata come testo cifrato, decifrata solo per chi è autorizzato a guardarla, o per l’esportazione dell’organizzazione da parte dell’Owner.
- Responsabile. Ogni visualizzazione richiede una motivazione e viene registrata nel log. Le registrazioni si eliminano da sole secondo i tempi previsti.
Prima che venga registrato qualsiasi cosa
La registrazione richiede due decisioni distinte.
L’attestazione dell’Owner. Prima che qualsiasi account della vostra organizzazione possa essere registrato, l’Owner deve dichiarare per iscritto:
- la base giuridica per la registrazione,
- che è stata svolta una valutazione d’impatto sulla protezione dei dati, e
- se sono state consultate le rappresentanze dei lavoratori, oppure se la consultazione non è richiesta.
L’attestazione, e chi l’ha resa, vengono scritti nel registro di audit. Ritirarla disattiva la registrazione su tutti gli account contemporaneamente.
L’attivazione per singolo account. Un Owner o un IT Admin sceglie poi quali account condivisi registrare. L’attestazione da sola non fa registrare nulla.
Cosa viene registrato
LayerT usa rrweb, una libreria open source molto diffusa, per catturare una riproduzione della pagina anziché un video. Una riproduzione è una traccia della struttura della pagina e delle sue modifiche. Quando viene riprodotta, appare come appariva la pagina.
| Registrato | Mai registrato |
|---|---|
| Il sito dell’account stesso, nella scheda in cui viene usato | Altre schede e altri siti |
| La pagina così come viene mostrata: la sua struttura, il testo e gli stili, a meno che il mascheramento del testo non sia attivo. Questo comprende ciò che la pagina mostra a sua volta dopo che è stato digitato | Ciò che le persone digitano, nel punto in cui lo digitano: i campi dei moduli (input, aree di testo e select) e gli editor di testo formattato sono sempre mascherati, qualunque sia l’impostazione di mascheramento del testo dell’account |
| Clic, scorrimento e movimenti del mouse | I campi password, codice monouso e login, e i campi nascosti dei moduli, che vengono esclusi completamente |
| Quali caselle sono state spuntate, quale opzione radio è stata scelta e il nome di un file scelto | Il contenuto di un file scelto, e quale opzione è stata selezionata in un elenco a discesa |
| Gli indirizzi delle pagine e delle richieste di rete, con stato e tempi di ogni richiesta | Corpi e intestazioni di richieste e risposte |
| Immagini, font e disegni su canvas | |
| I prompt di LayerT, e qualsiasi cosa al di fuori del browser |
La registrazione viene anche messa in pausa mentre LayerT compila un modulo di login, quindi la compilazione non compare mai in una riproduzione.
Informare la persona
- Mentre una sessione viene registrata, il chip della sessione LayerT nella pagina riporta “recording”.
- La prima sessione registrata mostra un avviso che non scompare da solo. Resta finché la persona non lo chiude.
- Se la registrazione non riesce ad avviarsi, il chip riporta “recording off” e il lavoro della persona prosegue. LayerT non blocca la sessione perché la registrazione non è riuscita.
Come sono protette le registrazioni
- BrowserChiave di sessioneUna nuova chiave AES-256 per questa registrazione, conservata solo nella memoria di sessione del browser.
- BrowserCifraturaGli eventi vengono compressi e cifrati in frammenti, ciascuno con il proprio nonce casuale, prima del caricamento.
- Cloud di LayerTWrapping della chiaveLa chiave viene inviata una sola volta e cifrata (wrap) immediatamente. Viene archiviata solo la chiave cifrata.
- StorageSolo testo cifratoIl bucket di archiviazione non contiene mai una registrazione leggibile.
I frammenti che non possono ancora essere caricati restano in attesa sul dispositivo, sempre cifrati. La chiave di cifratura delle chiavi è custodita in un servizio di gestione delle chiavi, dove può essere usata ma non estratta. Il servizio di gestione delle chiavi è realizzato e in uso nell’ambiente di test di LayerT, ma lì non è stata archiviata alcuna registrazione: la registrazione è stata testata solo in fase di sviluppo. Per la produzione, che userà il servizio di gestione delle chiavi di Google Cloud nell’UE, non c’è alcun deploy.
Chi può guardarle
- Solo l’Owner, gli IT Admin e i Compliance Officer della vostra organizzazione.
- Ogni visualizzazione richiede una motivazione scritta, che viene scritta nel registro di audit con il nome di chi guarda.
Per quanto tempo vengono conservate le registrazioni
90 giorni di default. L’Owner può impostare un valore da 7 a 365 giorni. Un job giornaliero elimina le registrazioni scadute (prima i dati archiviati, poi l’indice) e registra nel log ogni eliminazione.
La filigrana
Per gli account in cui la preoccupazione sono gli screenshot, LayerT può disegnare sul sito del fornitore una filigrana tenue con il nome della persona, l’email, un riferimento di sessione e l’ora. Non blocca nulla, ricompare se la pagina la rimuove e viene stampata. È deterrenza e attribuzione, non prevenzione: i DevTools, la disattivazione dell’estensione o la fotocamera di un telefono la aggirano, ed è poco visibile sulle pagine scure.
I limiti, onestamente
- Una registrazione è un’evidenza, non una prova. Il registratore gira all’interno della pagina del fornitore, che in linea di principio potrebbe interferire con esso. Usate le registrazioni insieme al registro di audit.
- Alcune pagine non possono essere registrate, per esempio quando le impostazioni di sicurezza del sito impediscono il caricamento del registratore. Il chip lo segnala.
- L’ultimo istante prima di lasciare una pagina può andare perso.
- La digitazione è mascherata nella casella, non in ciò che il sito ne fa. Un messaggio inviato, un’intestazione di ricerca o un’anteprima sono testo della pagina, ed è il mascheramento del testo a nasconderli. Gli indirizzi vengono registrati così come sono, qualunque sia l’impostazione.
- I terminali non vengono riconosciuti come editor. I comandi digitati in un terminale web vengono registrati come testo della pagina, a meno che il mascheramento del testo non sia attivo. Lo stesso vale per un’area resa modificabile solo tramite lo stile.
- L’avviso di registrazione descrive la conservazione predefinita di 90 giorni. Se modificate la conservazione, informatene le vostre persone.
- Richieste di esercizio dei diritti. Non esiste ancora uno strumento self-service con cui le persone possano richiedere le proprie registrazioni. Il vostro Owner può esportare le registrazioni dell’organizzazione, decifrate, e gestire le richieste a partire da quell’esportazione. Tenete presente che l’esportazione contiene le registrazioni di tutti, quindi conservatela con la stessa cura.
Domande per la vostra valutazione d’impatto
- Quali account richiedono la registrazione, e perché il solo registro di audit non basta?
- Il sito del fornitore mostra dati personali di clienti o colleghi, o mostra a sua volta ciò che le persone vi scrivono (una conversazione di messaggi, un’intestazione di ricerca, un terminale web)? In tal caso, attivate il mascheramento del testo.
- I termini del fornitore consentono di registrare la loro interfaccia?
- Quale periodo di conservazione è giustificato? Più breve è meglio.
- Chi dovrebbe poter guardare, e questo dovrebbe includere l’IT?
- Come informerete i dipendenti e, dove necessario, consulterete le loro rappresentanze?
Se il vostro team privacy vuole vedere la registrazione e i relativi controlli all’opera, chiedetelo durante una demo.