LayerT 白皮书
负责任地录制会话
录制人们在工作中的操作是一件敏感的事，也理应如此。LayerT 可以录制共享账号上的会话，因为对于财务门户或公司的社交媒体账号而言，要弄清“谁做了什么”，有时仅靠一行日志是不够的。本文面向需要判断这种做法是否可以接受的人：隐私官、法律顾问、职工委员会以及员工本人。
原则
- 除非您另行决定，否则关闭。 在贵组织书面声明具有合法依据并为某个具体账号开启录制之前，任何账号都不会录制。
- 范围窄。 只录制共享账号会话，并且只在该账号自己的网站上录制。从不录制一般浏览活动。
- 可见。 人员始终知道会话正在被录制。
- 最少化。 人员输入的内容会被遮蔽。登录字段被完全排除。不录制图片、字体、请求正文或标头。
- 受保护。 在离开设备之前加密，以密文形式存储，只为有权观看的人或所有者导出组织数据时解密。
- 可问责。 每次观看都需要说明理由并被记录。录制会按计划自行删除。
录制任何内容之前
录制需要两项独立的决定。
所有者的书面声明。 在贵组织的任何账号可以录制之前，所有者必须书面说明：
- 录制的合法依据；
- 已完成数据保护影响评估；以及
- 是否已征询员工代表的意见，或者无需征询。
该声明及做出声明的人会被写入审计日志。撤回声明会立即关闭所有账号的录制。
按账号开启。 随后，由所有者或 IT 管理员选择哪些共享账号进行录制。仅做出声明本身不会录制任何内容。
录制什么
LayerT 使用广泛使用的开源库 rrweb 捕获页面的回放，而不是视频。回放是对页面结构及其变化的记录。播放时，它看起来就像当时的页面一样。
| 会录制 | 从不录制 |
|---|---|
| 该账号自己的网站，在使用它的标签页中 | 其他标签页和其他网站 |
| 页面结构、文本和样式 | 任何输入的内容：所有输入字段都会被遮蔽 |
| 点击、滚动和鼠标移动 | 密码、一次性验证码和登录字段，这些会被完全排除 |
| 发出了哪些网络请求、其状态和时间 | 请求和响应的正文和标头 |
| 图片、字体和 canvas 绘图 | |
| LayerT 自己的提示，以及浏览器之外的任何内容 |
在 LayerT 填写登录表单期间，录制也会暂停，因此填写过程从不出现在回放中。
告知人员
- 会话被录制期间，页面上的 LayerT 会话标签会显示 “录制中”。
- 第一次被录制的会话会显示一条不会自行消失的通知。它会一直显示，直到人员将其关闭。
- 如果录制无法启动，会话标签会显示“录制已关闭”，人员的工作不受影响。LayerT 不会因为录制失败而阻止会话。
录制如何受到保护
- 浏览器会话密钥为这段录制生成一个新的 AES-256 密钥，仅保存在浏览器的会话内存中。
- 浏览器加密事件在上传之前被压缩并分块加密，每个分块都有自己的随机 nonce。
- LayerT 云端封装密钥密钥只发送一次，并立即被封装。只存储封装后的密钥。
- 存储仅存密文存储桶中从不保存可读的录制。
暂时无法上传的分块会在设备上等待，并始终保持加密。在生产环境中，密钥加密密钥位于 Google Cloud 在欧盟的密钥服务中，在那里它可以被使用，但无法被提取。此功能已构建，并将随 LayerT 的首次生产部署开启；开发环境中以本地密钥代替。
谁可以观看
- 只有贵组织的所有者、IT 管理员和合规官。
- 每次观看都需要输入理由，该理由会连同观看者的姓名一起写入审计日志。
录制保留多久
默认 90 天。所有者可以设置为 7 到 365 天之间的任意期限。每日任务会删除过期的录制（先删除存储的数据，再删除索引），并记录每一次删除。
水印
对于担心截图的账号，LayerT 可以在供应商网站上覆盖一层淡淡的水印，内容包括人员的姓名、电子邮件、会话编号和时间。它不会阻挡任何操作，页面移除它后会重新出现，并且在打印时也会保留。它用于威慑和追溯，而非防止：开发者工具、关闭扩展程序或手机拍照都可以绕过它，而且在深色页面上它比较淡。
坦诚的局限
- 录制是证据，而不是铁证。 录制工具运行在供应商的页面内，页面在理论上可能干扰它。请将录制与审计日志结合使用。
- 有些页面无法录制，例如网站的安全设置阻止录制工具加载时。会话标签会显示这一情况。
- 离开页面前的最后片刻可能会丢失。
- 录制通知描述的是默认的 90 天保留期限。如果您更改了保留期限，请告知您的员工。
- 权利请求。 目前还没有供人员自助申请其录制的工具。贵组织的所有者可以导出组织的录制（已解密），并依据该导出处理请求。请注意，该导出包含所有人的录制，因此请以同样谨慎的方式保存它。
影响评估中需要回答的问题
- 哪些账号需要录制？为什么仅靠审计日志还不够？
- 供应商的网站是否显示关于客户或同事的个人数据？如果是，请开启文本遮蔽。
- 供应商的条款是否允许录制其界面？
- 多长的保留期限是合理的？越短越好。
- 谁应当能够观看？是否应当包括 IT？
- 您将如何告知员工，并在需要时征询其代表的意见？
如果您的隐私团队希望看到录制及其控制措施的实际运行情况，请在演示中提出。