A munkamenet-visszajátszás adatvédelmi irányítása GDPR és ISO 27701 szerint

A demó, amely a termékismeretet adatvédelmi bizonyítékká alakította

A demóképernyő áttörésnek tűnt. Sarah, egy gyorsan növekvő SaaS-vállalat CISO-ja azt figyelte, ahogy a termékcsapat az új analitikai platformjukon visszajátszik egy valós beléptetési munkamenetet. A kurzor végighaladt a felületen, a felhasználó a harmadik lépésnél elbizonytalanodott, kétszer visszakattintott, megnyitott egy súgó tooltipet, majd megszakította a folyamatot.

A termékmenedzser lelkes volt. A munkamenet-visszajátszás pontosan megmutatta volna, hol akadnak el az ügyfelek. A hőtérképek feltárták volna, mely mezők okoznak súrlódást. Az összeomlásdiagnosztika megmutatta volna a fejlesztőknek, mely böngészők hibáznak. A mobil telemetria segített volna eszközverzió szerint priorizálni a javításokat. Felhasználói élmény szempontjából aranybányának tűnt.

Aztán Sarah meglátta, mit rögzített ténylegesen az eszköz.

Az egyik felhasználó véletlenül jelszót írt a felhasználónév mezőbe. Egy másik nemzeti azonosítószámot másolt be egy szabadszöveges mezőbe. Egy támogatási munkatárs hibaelhárítás közben megnyitott egy ügyfélfiókot, és pénzügyi adatok jelentek meg a képernyőn. Az összeomlási naplók e-mail-címeket, IP-címeket, útvonalneveket, hitelesítési állapotot, eszközazonosítókat és funkciójelzőket tartalmaztak, amelyek feltárták az ügyfél belső munkafolyamatát.

Az analitikai beszállító adatfeldolgozónak minősítette magát. Az ügyfélszerződés kimondta, hogy éles környezetből származó személyes adatok/PII jóváhagyás nélkül nem használhatók analitikára. Az adatvédelmi tájékoztató csak annyit közölt, hogy a vállalat analitikát használ a szolgáltatás fejlesztésére. Nem említette a munkamenet-visszajátszást, a viselkedésalapú megfigyelést, az eszközazonosítókat, a maszkolást, a megőrzést, a címzetteket vagy a nemzetközi adattovábbításokat.

A termékcsapat ártalmatlan működési adatokat látott. Sarah strukturálatlan, maszkolatlan és irányítás nélküli személyazonosításra alkalmas információkat, PII-t látott egy olyan felhőplatformon belül, amelyhez széles körű belső hozzáférés tartozott, és amelynek jogalapja nem volt egyértelmű.

Ez a terméktelemetria és a munkamenet-visszajátszás adatvédelmi irányításának valódi problémája. A kockázat nem az, hogy létezik telemetria. A kockázat az, hogy alacsony kockázatú technikai melléktermékként kezelik, nem pedig olyan irányított adatkezelési tevékenységként, amely jogalapot, adatvédelmi tájékoztatót, DPIA-előszűrést, beszállítói szerződéseket, maszkolást, hozzáférés-szabályozást, megőrzést, incidensreagálást és auditbizonyítékot érint.

Az ISO/IEC 27701:2025 szerint a szervezeteknek olyan PIMS-re, adatvédelmi információmenedzsment-rendszerre van szükségük, amely az adatvédelmet működési modellként kezeli. A GDPR szerint az adatkezelőknek igazolniuk kell az olyan elveknek való megfelelést, mint a jogszerűség, tisztességesség, átláthatóság, célhoz kötöttség, adattakarékosság, tárolási korlátozás, sértetlenség, bizalmasság és elszámoltathatóság. A munkamenet-visszajátszás és a terméktelemetria közvetlenül ebbe az elszámoltathatósági körbe tartozik, mert gyakran azt figyeli, hogyan viselkednek azonosítható személyek egy digitális szolgáltatáson belül.

A Clarysec megközelítése az, hogy a telemetriát kiemeli az árnyékból, és visszakövethető irányítási láncba helyezi: nyilvántartás, szerepkör-besorolás, jogalap, DPIA-előszűrés, adatvédelmi tájékoztató, beszállítói értékelés, maszkolás, megőrzés, hozzáférés-szabályozás, bizonyítékok és folyamatos felülvizsgálat. Ezt a láncot a Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, a Clarysec PIMS-szabályzatai és a Zenith Controls: The Cross-Compliance Guide Zenith Controls támogatják.

Miért nem pusztán analitika a terméktelemetria a GDPR szerint

A GDPR tágan határozza meg a személyes adatot, beleértve az online azonosítókat és az azonosított vagy azonosítható természetes személyre vonatkozó információkat. Az adatkezelést is tágan értelmezi, ideértve a gyűjtést, tárolást, felhasználást, közlést, törlést és megsemmisítést. A terméktelemetria ezért személyesadat-kezeléssé válhat, ha felhasználókra, bérlőkre, rendszergazdákra, munkavállalókra vagy ügyfelek végfelhasználóira vonatkozó adatokat tartalmaz, azokhoz kapcsolódik, vagy azokkal észszerűen összekapcsolható.

Gyakori telemetriai adatpontok:

• Felhasználói azonosítók, e-mail-címek, bérlőazonosítók és fiókazonosítók
• IP-címek, eszközazonosítók, böngésző-ujjlenyomatok és mobil hirdetési azonosítók
• Funkcióhasználat, kattintási útvonalak, görgetési mélység, űrlapinterakció és hibaviselkedés
• Összeomlási dumpok, útvonalnevek, API hasznos teher töredékek és diagnosztikai naplók
• Munkamenet-visszajátszási felvételek, DOM-pillanatképek, billentyűleütési események és hőtérképek
• Támogatási metaadatok, képernyőképek, képernyőfelvételek és felhasználói visszajelzés
• Fiókhoz, szerepkörhöz, földrajzi helyhez vagy ügyfélszegmenshez kapcsolt teljesítményesemények

Az adatvédelmi kérdés súlyosabbá válik, amikor a telemetria viselkedést tár fel. A GDPR Article 3 még nem uniós SaaS-szolgáltatókra is alkalmazható lehet, ha az Unióban tartózkodó személyeknek kínálnak árukat vagy szolgáltatásokat, vagy az Unión belüli viselkedésüket figyelik. A munkamenet-visszajátszás, a hőtérképek és a termékanalitika hétköznapi értelemben gyakran viselkedésalapú megfigyelésnek minősülnek, még akkor is, ha az üzleti cél a termékfejlesztés, nem pedig a hirdetés.

A GDPR Article 6 minden adatkezelési célhoz jogalapot követel meg. A hozzájárulás akkor lehet megfelelő, ha a nyomkövetés opcionális, beavatkozó jellegű, vagy helyi ePrivacy-szabályok hatálya alá tartozik. A jogos érdek korlátozott telemetria esetén lehetséges lehet, de csak a szükségesség, az arányosság, valamint az érintettek jogainak és szabadságainak értékelése után. A szerződés teljesítése támogathatja a szolgáltatás nyújtásához szigorúan szükséges telemetriát, de nem minden termékoptimalizálási vagy visszajátszási felhasználási eset illeszkedik egyértelműen a szerződéses jogalap alá.

A különleges kategóriájú adatok kockázata szintén lényeges. A GDPR Article 9 korlátozza az egészségügyi, biometrikus, politikai, vallási vagy más érzékeny kategóriákat feltáró adatok kezelését. Sok SaaS-beszállító feltételezi, hogy nem gyűjt ilyen adatokat, majd később azt tapasztalja, hogy az ügyfelek támogatási űrlapokba, munkafolyamatmezőkbe, jegyzetekbe, HR-nyilvántartásokba, jogi ügyek leírásaiba, egészségügyi igényekbe vagy visszajátszási eszközök által rögzített képernyőképekbe illesztik be azokat.

A Clarysec vállalati Adatvédelmi és magánszféra-védelmi szabályzat Adatvédelmi és magánszféra-védelmi szabályzat egyértelművé teszi a jogalapot és az adattakarékosságot:

Minden adatkezelésnek érvényes jogalapon kell alapulnia (pl. hozzájárulás, szerződés, jogi kötelezettség).

A „A szabályzat végrehajtásának követelményei” szakaszból, 6.1.1. szabályzati pont.

Csak egy konkrét, jogszerű üzleti célhoz szükséges adatok gyűjthetők és kezelhetők.

A „A szabályzat végrehajtásának követelményei” szakaszból, 6.2.1. szabályzati pont.

Kisebb csapatok számára a Data Protection and Privacy Policy-sme Adatvédelmi és magánszféra-védelmi szabályzat - SME nyilvántartási fegyelmet ír elő:

Az adatvédelmi koordinátornak nyilvántartást kell vezetnie valamennyi személyesadat-kezelési tevékenységről, beleértve az adatkategóriákat, a célt, a jogalapot és a megőrzési időket.

Az „irányítási követelmények” szakaszból, 5.2.1. szabályzati pont.

Emellett világos beépített és alapértelmezett adatvédelmi alapkövetelményt ad a termék- és mérnöki csapatoknak:

Minden új rendszerben és szolgáltatásban érvényesíteni kell a beépített és alapértelmezett adatvédelmet.

Az „irányítási követelmények” szakaszból, 5.3.1. szabályzati pont.

Az irányítási korrekció egyszerű: ne azt kérdezzük, hogy a telemetria „analitika”-e. Azt kérdezzük, hogy olyan adatkezelési tevékenység-e, amely személyes adatokat/PII-t, viselkedésalapú megfigyelést, profilalkotást, beszállítói hozzáférést, megőrzést és biztonsági kontrollokat érint.

Szerepkörök tisztázása ISO 27701:2025 szerint

Az ISO/IEC 27701:2025 szerinti adatvédelmi irányítás akkor működik a legjobban, ha a szervezet először meghatározza a szerepét. PII-adatkezelőként jár el, és ő dönti el, miért használ munkamenet-visszajátszást és milyen adatokat rögzít? Adatfeldolgozóként rögzít telemetriát egy ügyfél nevében, dokumentált utasítások alapján? Vagy mindkét szerepet betölti, a funkciótól és az ügyfél konfigurációjától függően?

A Clarysec PIMS-szabályzatkészlete szerepkörcímkékkel teszi ezt működtethetővé. A „Both” attól függetlenül alkalmazandó, hogy a szervezet adatkezelőként vagy adatfeldolgozóként jár-e el. A „Controller” akkor alkalmazandó, ha a szervezet határozza meg a célokat és az eszközöket. A „Processor” akkor alkalmazandó, ha az adatkezelés dokumentált utasítások alapján történik.

Egy SaaS-szolgáltató adatkezelő lehet a saját terméke fejlesztésére, UX-súrlódások észlelésére vagy ütemtervi döntések priorizálására használt telemetria esetében. Ugyanez a szolgáltató adatfeldolgozó lehet az ügyfél által kontrollált munkaterületen rögzített telemetria esetében, ahol a célt az ügyfél határozza meg. Ritka esetekben közös adatkezelői helyzet állhat elő, ha mindkét fél közösen határozza meg a célokat és az eszközöket. Más láncokban a szolgáltató al-adatfeldolgozó lehet, amely egy másik adatfeldolgozó számára kezel telemetriát.

A vállalati PII Processing Inventory and Lawful Basis Policy PII-adatkezelési nyilvántartási és jogalap-szabályzat konkréttá teszi az első kaput:

[Both] A folyamatgazdának / üzlettulajdonosnak minden új PII-adatkezelési tevékenység megkezdése előtt létre KELL hoznia egy REG02 adatkezelési nyilvántartási bejegyzést.

Az „adatkezelési tevékenységek nyilvántartásának alapkövetelményei” szakaszból, 4.1.1. szabályzati pont.

Terméktelemetria esetén a REG02 nem tartalmazhat homályos „analitika” sort. El kell különítenie a célokat és az adatáramlásokat.

Az ISO/IEC 27001:2022 úgy támogatja ezt a PIMS-munkát, hogy szervezeti keretet ad a kontextushoz, az érdekelt felek követelményeihez, a hatályhoz, a vezetéshez, a szerepkörökhöz, a kockázatértékeléshez, a kockázatkezelési tervezéshez, az operatív kontrollhoz és a külső szolgáltatásokhoz. Az IBIR azt kérdezi, melyek az eszközök, kockázatok, felelősök, kontrollok és bizonyítékok. A PIMS azt kérdezi, milyen PII-t kezelnek, miért, milyen szerepkörben, milyen jogokkal, védelmi intézkedésekkel és tájékoztatókkal.

Együtt megakadályozzák azt a klasszikus adatvédelmi hiányosságot, amikor a termékcsapatok gyorsabban kapcsolják be a nyomkövetést, mint ahogy az irányítás képes lenne besorolni azt.

DPIA-kiváltó tényezők: amikor a termékismeret magas kockázatú adatkezeléssé válik

Nem minden telemetriai esemény igényel teljes DPIA-t. A munkamenet-visszajátszás és a viselkedésalapú analitika azonban gyakran DPIA-előszűrést igényel, mert szisztematikus megfigyelést, profilalkotást, nagy léptékű adatkezelést, érzékeny tartalmat, sérülékeny felhasználókat, innovatív technológiát vagy lényegesen megváltozott adatkezelést foglalhat magában.

A Privacy Risk Assessment and DPIA Policy Adatvédelmi kockázatértékelési és DPIA-szabályzat az adatkezelők számára egyértelmű:

[Controller] A folyamatgazdának / üzlettulajdonosnak a nagy léptékű, szisztematikus megfigyelést, profilalkotást, automatizált döntéseket, különleges kategóriájú PII-t, büntetőítéletekre vagy bűncselekményekre vonatkozó adatokat, sérülékeny PII-alanyokat, innovatív technológiát vagy lényegesen megváltozott adatkezelést érintő adatkezelést a megkezdés előtt REG04-ben az adatvédelmi vezetőhöz / PIMS-vezetőhöz KELL utalnia.

A „DPIA-kiváltó tényezők és követelménymeghatározás” szakaszból, 4.2.2. szabályzati pont.

A munkamenet-visszajátszás DPIA-előszűrésének gyakorlati kérdéseket kell feltennie:

• Rögzít-e a visszajátszás űrlapbevitelt, oldaltartalmat, chat-szöveget, feltöltött dokumentumokat vagy hiba-hasznos terheket?
• A maszkolás még azelőtt megtörténik, hogy az adat elhagyná a böngészőt, vagy csak a betöltés után?
• Rögzíthet-e az eszköz jelszavakat, tokeneket, titkos adatokat, egyszer használatos kódokat vagy fizetési mezőket?
• Kapcsolódnak-e a munkamenetek név szerinti felhasználókhoz, fiókokhoz, IP-címekhez vagy eszközazonosítókhoz?
• Kereshetnek-e a munkavállalók visszajátszásokat felhasználó, ügyfél, szegmens, hiba, URL vagy viselkedés alapján?
• Használja-e a beszállító az adatokat analitikára, AI-képzésre, benchmarkingra vagy termékfejlesztésre?
• Érintettek-e nemzetközi adattovábbítások?
• Milyen megőrzési idő van beállítva, és kikényszeríthető-e a törlés bérlő vagy felhasználó szerint?
• Letilthatják-e az ügyfelek a visszajátszást, konfigurálhatják-e a maszkolást, vagy kérhetnek-e törlést?
• Lefedik-e a tájékoztatók a munkavállalókat, rendszergazdákat és ügyféloldali végfelhasználókat?
• Fennáll-e gyermekek adatainak, egészségügyi adatoknak, pénzügyi adatoknak vagy HR-adatoknak a rögzítésének kockázata?

A vállalati Adatvédelmi és magánszféra-védelmi szabályzat megerősíti a magas kockázati küszöböt:

A fenyegetésmodellezés és az adatvédelmi hatásvizsgálatok (DPIA) kötelezők a magas kockázatú adatkezelési rendszerek esetében.

A „A szabályzat végrehajtásának követelményei” szakaszból, 6.3.4. szabályzati pont.

A Clarysec auditokból származó fontos tanulsága, hogy a munkamenet-visszajátszás kockázata nem csupán adatvédelmi kérdés. Biztonsági architektúra-kérdés is. Ha a DOM-pillanatképek bearer tokeneket, belső azonosítókat, rejtett mezőket vagy érzékeny ügyfél-munkafolyamatokat rögzítenek, a szervezet új, nagy értékű adattárat hozott létre a szokásos naplózási, DLP- és hozzáférés-felülvizsgálati peremén kívül.

A visszajátszási eszköz auditálható vagyonelemmé alakítása

A telemetriai kockázat csökkentésének leggyorsabb módja, ha az eszközöket nem kezeljük láthatatlan termékinfrastruktúraként. A Zenith Blueprint Kockázatkezelési szakaszának 9. lépésében, „Identifying Assets, Threats, and Vulnerabilities”, a Clarysec előírja a szervezeteknek az eszközök nyilvántartásba vételét, valamint a felelős, a hely és a besorolás rögzítését. Kifejezetten megjegyzi, hogy a személyes adatokat tartalmazó eszközöket GDPR-relevanciával kell megjelölni, a kritikus szolgáltatási eszközöknél pedig jelezni kell a lehetséges NIS2-alkalmazhatóságot.

A Blueprint szerint információs vagyonelem minden olyan érték, amelyet egy biztonsági incidens károsíthat, ideértve az információkat, szoftvereket, felhőszolgáltatásokat, szolgáltatásokat/folyamatokat és harmadik fél szolgáltatásokat. A telemetria irányítása szempontjából minden analitikai platform, visszajátszási beszállító, SDK, eseménypipeline, data lake, irányítópult, export és támogatási felvételtár auditálható vagyonelemmé válik.

Ez összekapcsolja az adatvédelmi irányítást az IBIR-bizonyítékokkal. A termék-, adatvédelmi, mérnöki és auditcsapatok ugyanarra a bejegyzésre hivatkozhatnak, ahelyett hogy külön narratívákat tartanának fenn.

A Zenith Controls használata megfelelőségi gerincként

A Clarysec a Zenith Controls-t megfelelőségi keretrendszerek közötti útmutatóként használja, nem pedig a hivatalos keretrendszerek helyettesítőjeként. Telemetria és munkamenet-visszajátszás esetén az ISO/IEC 27002:2022 központi témái a magánszféra védelme és a PII védelme, a felhőszolgáltatások irányítása, a beszállítói kapcsolatok, az adatmaszkolás, az eszköznyilvántartás, az osztályozás, a hozzáférés-szabályozás és a változáskezelés.

A Zenith Controls rendszerben az ISO/IEC 27002:2022 5.34 kontroll, a Privacy and protection of PII, a horgony. Gyakorlati alapja az adattudatosság:

Ennek a kontrollnak az alapja az adattudatosság. A szervezetnek tudnia kell, milyen PII-t gyűjt, hol található, miért kezelik, és ki férhet hozzá.

A Zenith Blueprint „Controls in Action” szakaszából, 23. lépés, 5.34 kontroll, Privacy and Protection of Personally Identifiable Information.

A Zenith Controls az 5.34-et olyan támogató ISO/IEC 27002:2022 kontrollokhoz rendeli, mint az 5.9 információk és más kapcsolódó eszközök nyilvántartása, 8.11 adatmaszkolás, 5.23 információbiztonság felhőszolgáltatások használatához, 5.12 információosztályozás, 5.14 információátadás, 5.15 hozzáférés-szabályozás, 5.16 identitáskezelés, 5.19 információbiztonság a beszállítói kapcsolatokban, 5.8 információbiztonság a projektmenedzsmentben és 8.32 változáskezelés.

Az adatmaszkolásnál a Zenith Controls az ISO/IEC 27002:2022 8.11 kontrollt megelőző, bizalmasságra fókuszáló kontrollként azonosítja. A maszkolást összekapcsolja továbbá a 8.3 információhozzáférés-korlátozással, a 8.10 információtörléssel, a 8.12 adatvesztés-megelőzéssel, a 8.24 kriptográfia használatával és a 8.33 tesztinformációval. Ez azért fontos, mert a munkamenet-visszajátszás maszkolása nem lehet kozmetikai jellegű. Meg kell tervezni, tesztelni kell, és bizonyítékokkal kell alátámasztani.

A Data Masking and Pseudonymization Policy-sme Adatmaszkolási és pszeudonimizálási szabályzat - SME egyszerű szabályt ad, amely a termékanalitikára is alkalmazandó:

Éles személyes adat nem használható tesztelésben, külső eszközökben vagy analitikában, kivéve ha azt formálisan engedélyezték.

A „Szerepkörök és felelősségek” szakaszból, 4.4.1. szabályzati pont.

Gyakorlati Clarysec-munkafolyamat munkamenet-visszajátszás jóváhagyásához

Tegyük fel, hogy a termékcsapat egy fintech alkalmazásban minden sikertelen fizetési folyamatra szeretné engedélyezni a visszajátszást. Az üzleti indok valós: az elhagyott fizetési folyamat hatással van a bevételre és az ügyfél-elégedettségre. Az irányítási kérdés az, hogy ez az ismeret jogszerűen, arányosan és biztonságosan gyűjthető-e.

1. lépés: REG02 létrehozása az SDK élesítése előtt

Használja a REG02-t a PII Processing Inventory and Lawful Basis Policy alapján. Rögzítse a célt, az adatkategóriákat, a felhasználói kategóriákat, a forrást, a címzetteket, a megőrzést, az adattovábbításokat, a rendszergazdát, a jogalapot és a szerepkört.

Ne azt írja, hogy „analitika”. Azt írja: „munkamenet-visszajátszás sikertelen fizetési folyamatok hibaelhárításához és konverziójavításhoz”. Sorolja fel a konkrét mezőket, beleértve a felhasználói azonosítót, bérlőazonosítót, IP-címet, eszközazonosítót, kattintási eseményeket, oldalútvonalakat, DOM-pillanatképeket, maszkolt űrlapmezőket, hibakódokat és fizetési folyamat státuszát.

2. lépés: Jogalap meghatározása

Alapvető összeomlásdiagnosztika és aggregált teljesítménymutatók esetén a jogos érdek igazolható lehet, ha a szervezet dokumentálja a szükségességet, az arányosságot, a védelmi intézkedéseket és a felhasználói elvárásokat. Teljes munkamenet-visszajátszás esetén, különösen hitelesített képernyőkön, a hozzájárulás egyértelműbb lehet, ha a helyi szabályok vagy a beavatkozás mértéke ezt indokolja.

Gyakran a hibrid megközelítés a legpraktikusabb: korlátozott, nem beavatkozó, maszkolt telemetria esetén jogos érdek alkalmazása, munkamenet-visszajátszás esetén pedig kifejezett opt-in vagy bérlőszintű engedélyezés megkövetelése. Bármi legyen a válasz, azt dokumentálni kell, és tükröznie kell a tájékoztatókban, szerződésekben és konfigurációban.

3. lépés: DPIA-kiváltó tényezők előszűrése REG04-ben

A sikertelen fizetési folyamat visszajátszása pénzügyi viselkedést, hitelesítést, fizetési képernyőket és szisztematikus megfigyelést érinthet. A folyamatgazda az adatvédelmi vezetőhöz utalja a tevékenységet. Az előszűrés értékeli a szükségességet, az arányosságot, az egyéni elvárásokat, a maszkolást, a hozzáférés-szabályozást, a beszállítói felhasználást, a megőrzést és az alternatívákat, például az aggregált funnel-mutatókat.

A Beépített és alapértelmezett adatvédelem szabályzata Beépített és alapértelmezett adatvédelem szabályzata konkrét adattakarékossági elemzést ír elő:

[Both] A folyamatgazdának / üzlettulajdonosnak REG04-ben dokumentálnia KELL az azonosíthatóság megszüntetése, a pszeudonimizálás, az aggregálás vagy a nem azonosítható adatkezelés megvalósíthatóságát, mielőtt azonosítható PII-t hagy jóvá teszteléshez, analitikához, jelentéstételhez vagy másodlagos operatív felhasználáshoz.

Az „adattakarékosság és alapértelmezett adatvédelmi tervezés” szakaszból, 4.2.5. szabályzati pont.

4. lépés: Adatvédelmi alapbeállítások konfigurálása éles rögzítés előtt

A mérnöki csapatnak úgy kell konfigurálnia az SDK-t, hogy:

• Alapértelmezetten tiltsa a billentyűleütések rögzítését
• Minden beviteli mezőt maszkoljon, kivéve ha kifejezetten jóváhagyták
• Tiltsa a visszajátszás rögzítését fizetési, jelszó-, MFA-, egészségügyi, HR- vagy érzékeny szabadszöveges oldalakon
• Távolítsa el a tokeneket, az engedélyezési fejléceket és a rejtett mezőket
• Ahol megvalósítható, a felhasználói azonosítót álnevesített analitikai azonosítóval helyettesítse
• Csonkolja az IP-címeket, vagy elkülönítve, korlátozott hozzáféréssel tárolja őket
• Rövid nyers visszajátszási megőrzési időt alkalmazzon
• Szerződéses követelmény esetén tegye lehetővé a bérlőszintű opt-outot
• A hozzáférést SSO-n, MFA-n és szerepköralapú jóváhagyáson keresztül irányítsa
• Engedélyezze az auditnaplókat a visszajátszás megtekintésére, exportjára és törlésére

5. lépés: Adatvédelmi tájékoztató és ügyféldokumentáció frissítése

A Privacy Notice and Transparency Policy Adatvédelmi tájékoztató és átláthatósági szabályzat előírja, hogy a tájékoztató tartalma a REG02-ből származzon:

[Controller] A folyamatgazdának / üzlettulajdonosnak a PII-kategóriákat, a PII-alany kategóriáit, közvetett adatgyűjtés esetén a forráskategóriát, a címzettek kategóriáit, a megőrzési hivatkozást és az adattovábbítási hivatkozást REG02-ből REG07-be KELL beemelnie, mielőtt jóváhagyásra benyújtja az adatvédelmi tájékoztatót.

Az „adatvédelmi tájékoztató tartalma és átlátható tájékoztatás” szakaszból, 4.2.3. szabályzati pont.

A tájékoztatónak közérthetően kell ismertetnie a termékanalitikát és a visszajátszást: mit rögzít, miért rögzíti, opcionális-e, ki kapja meg, meddig őrzik meg, hová továbbítják, és hogyan gyakorolhatják a felhasználók jogaikat.

6. lépés: A beszállító értékelése és a szerződéses követelmények továbbadása

Beszerzés, beléptetés, megújítás vagy lényeges funkcióváltozás előtt használja a REG08-at a Processor, Subprocessor and Third-Party Privacy Management Policy Adatfeldolgozói, al-adatfeldolgozói és harmadik fél adatvédelmi menedzsment szabályzat alapján:

[All] A folyamatgazdának / üzlettulajdonosnak REG08-ban azonosítania KELL minden javasolt harmadik féllel fennálló kapcsolatot, amely PII-t kezel, hozzáfér ahhoz, fogadja, tárolja, továbbítja, támogatja vagy más módon érinti, még a beszerzés, beléptetés, megújítás vagy lényeges harmadik féllel fennálló adatvédelmi kapcsolat lényeges változása előtt.

A „kapcsolat azonosítása és besorolása” szakaszból, 4.1.2. szabályzati pont.

A beszállítói felülvizsgálatnak ki kell terjednie az adatok helyére, az al-adatfeldolgozókra, a titkosításra, a hozzáférés-szabályozásra, az incidensbejelentésre, a törlésre, az auditálási jogokra, az ügyféladatok felhasználására, az AI-képzés kizárására, a támogatási hozzáférésre, a megőrzésre, az exportkontrollokra és az incidens-együttműködésre.

A vállalati Adatvédelmi és magánszféra-védelmi szabályzat is emlékezteti a csapatokat:

Az adatfeldolgozókkal kötött szerződéseknek tartalmazniuk kell:

A „betartatás és megfelelés” szakaszból, 8.5.1. szabályzati pont.

Az SME Third-Party and Supplier Security Policy-sme Harmadik fél és beszállítói biztonsági szabályzat - SME megerősíti, hogy:

A szerződéseknek kötelező záradékokat kell tartalmazniuk a következőkre:

Az „irányítási követelmények” szakaszból, 5.3. szabályzati pont.

Az auditkérdés egyszerű: tudja-e bizonyítani, hogy a visszajátszási beszállító köteles teljesíteni az Ön adatvédelmi, biztonsági, megőrzési, törlési, segítségnyújtási és incidenskezelési kötelezettségeit?

7. lépés: A technikai kontrollok bizonyítása

A Zenith Blueprint „Controls in Action” szakaszának 19. lépésében, „Technological Controls I”, a Clarysec arra utasítja a csapatokat, hogy ellenőrizzék az automatizált törlést és megőrzést, vizsgálják felül a maszkolást és pszeudonimizálást tesztelésben és analitikában, valamint értékeljék a DLP-kontrollokat.

Visszajátszás esetén őrizzen meg például ilyen bizonyítékokat:

• SDK-konfigurációs képernyőképek
• Maszkolási szabálydefiníciók
• Érzékeny mezők blokkolását bemutató tesztrögzítések
• Megőrzési konfiguráció
• Törlési naplók
• Hozzáférés-felülvizsgálati feljegyzések
• Beszállítói DPA és al-adatfeldolgozói lista
• Visszajátszás-megtekintési auditnaplók
• DPIA-jóváhagyás vagy dokumentált előszűrési eredmény
• Adatvédelmi tájékoztató jóváhagyása

Ez változtatja a beépített adatvédelmet szlogenből auditálható bizonyítékokká.

Megfelelőségi keretrendszerek közötti megfeleltetés a telemetria irányításához

A telemetria irányítása gyakran GDPR-kérdésként indul, de ritkán marad kizárólag az.

A GDPR Article 5 jogszerűséget, tisztességességet, átláthatóságot, célhoz kötöttséget, adattakarékosságot, pontosságot, tárolási korlátozást, biztonságot és elszámoltathatóságot követel meg. Az Article 6 jogalapot ír elő. Az Article 4 tisztázza az adatkezelői, adatfeldolgozói és adatsértési szerepeket. Az Article 9 magasabb mércét állít, ha a rögzített tartalomban különleges kategóriájú adatok jelennek meg. Munkamenet-visszajátszás esetén ezek az elvek világos tájékoztatókban, minimalizált rögzítésben, maszkolt mezőkben, korlátozott megőrzésben, hozzáférés-szabályozásban, beszállítói szerződésekben és DPIA-bizonyítékokban jelennek meg.

A NIS2 relevánssá válhat SaaS, felhő, digitális infrastruktúra, MSP, MSSP és egyes digitális szolgáltatók esetén, a mérettől, ágazattól és a szolgáltatás kritikus jellegétől függően. Az Article 20 a kiberbiztonsági irányítást a vezető testület felelősségévé teszi. Az Article 21 kockázatkezelési intézkedéseket ír elő, beleértve a szabályzatokat, az incidenskezelést, a folytonosságot, az ellátási lánc biztonságát, a biztonságos fejlesztést, a kontrollhatékonyságot, a kiberhigiéniát, a kriptográfiát, a HR-biztonságot, a hozzáférés-szabályozást és az eszközkezelést.

A DORA számos pénzügyi szervezetre alkalmazandó, és 2025. január 17-től ágazatspecifikus digitális működési reziliencia keretrendszert hoz létre. IKT-kockázatkezelési elvárásai lefedik az irányítást, az eszköz- és függőségfeltérképezést, a védelmet, az észlelést, a folytonosságot, a helyreállítást, a képzést és a harmadik felek felügyeletét. Fintech telemetria esetén a DORA-szemlélet azt kérdezi, hogy a visszajátszási eszközök támogatnak-e vagy érintenek-e kritikus vagy fontos funkciókat, a beszállító IKT-szolgáltatást nyújtó harmadik fél-e, és a szerződések tartalmaznak-e audit- és incidenssegítségnyújtást.

A NIST CSF 2.0 gyakorlati integrációs réteget ad. GOVERN funkciója megköveteli az érdekelt felek, függőségek, jogi, szabályozási, szerződéses és adatvédelmi kötelezettségek megértését. Az IDENTIFY, PROTECT, DETECT, RESPOND és RECOVER eredmények természetesen leképezhetők a telemetriai eszközökre, adatáramlásokra, hozzáférés-szabályozásra, naplózásra, incidensek elsődleges értékelésére, elszigetelésre és helyreállításra.

A COBIT 19 auditorai, illetve az irányítási elveket alkalmazó ISACA-képzett értékelők jellemzően azt kérdezik, hogy a telemetria támogatja-e a vállalati célkitűzéseket, egyértelmű-e a kockázattulajdonosi felelősség, a hasznok arányban állnak-e a kockázattal, a szabályzatokat betartatják-e, és a monitorozás bizonyítja-e a kontrollteljesítményt.

Hogyan tesztelik az auditorok ugyanazt a visszajátszási munkafolyamatot

Egy adatvédelmi auditor a REG02-vel, REG04-gyel és REG07-tel kezd. Kiválaszt egy visszajátszási tevékenységet, és bekéri a célt, a jogalapot, a PII-kategóriákat, a PII-alany kategóriáit, a címzetteket, a megőrzést, az adattovábbításokat, a DPIA-előszűrést, a tájékoztató szövegét és az adatfeldolgozói megállapodásokat. Teszteli, hogy a tényleges SDK-konfiguráció megfelel-e a jóváhagyott adatkezelési nyilvántartási bejegyzésnek. Ha a bejegyzés szerint a beviteli mezők maszkoltak, bizonyítékot kér.

Egy ISO/IEC 27001:2022 auditor a hatállyal, a kockázatértékeléssel, az alkalmazhatósági nyilatkozattal, a beszállítói kontrollokkal és a működési bizonyítékokkal kezd. A telemetriát összekapcsolhatja az eszköznyilvántartással, a hozzáférés-szabályozással, a felhőszolgáltatásokkal, a beszállítói kapcsolatok kezelésével, a biztonságos fejlesztéssel és az incidenskezelésre való felkészültséggel. Ha a visszajátszást termékváltoztatással vezették be, megkérdezi, frissítették-e a kockázatértékelést, és kontrollálták-e a külső szolgáltatásokat.

Egy DORA-auditor fintech környezetben azt kérdezi, szerepel-e a telemetria beszállítója az IKT harmadik fél nyilvántartásban, támogat-e a szolgáltatás kritikus vagy fontos funkciót, valamint tartalmazzák-e a szerződések a helyszíneket, az adatkezelési régiókat, az incidenssegítséget, az auditálási jogokat, a megszüntetési jogokat, az üzletmenet-folytonossági követelményeket és az átállási támogatást.

Egy NIST CSF értékelő a jelenlegi profillal kezd. Dokumentálták-e a munkamenet-visszajátszást technológiai függőségként és adatkezelési tevékenységként? Van-e célállapot? Nyomon követik-e a hiányosságokat kockázati nyilvántartásban vagy intézkedési tervben? A beszállítói követelményeket szerződésekben rögzítették-e? Meghatározták-e az észlelési és reagálási szerepköröket, ha a visszajátszási adatok kitettséget szenvednek?

Egy COBIT 19 vagy ISACA-stílusú auditor azt kérdezi, hatékony-e az irányítás. Meghatározta-e az irányítási rendszer a felelősséget? Konzultáltak-e az érdekelt felekkel? Megfelelő szinten fogadták-e el a kockázatot? Felülvizsgálják-e a kontrollmutatókat? Láthatók-e a kivételek a vezetés számára? Megéri-e a termékismeret az adatvédelmi és beszállítói kockázatot?

A Zenith Controls értéke az, hogy egyetlen visszajátszási munkafolyamat leképezhető adatvédelmi és biztonsági kontrollokra anélkül, hogy egymástól elszakított bizonyítékcsomagok jönnének létre. Ugyanaz a maszkolási bizonyíték támogatja a PII védelmét, az adatvesztés-megelőzést, a hozzáféréskorlátozást és a beépített adatvédelmet. Ugyanaz a beszállítói felülvizsgálat támogatja a felhőszolgáltatások irányítását, az adatfeldolgozói irányítást, a NIS2 ellátásilánc-biztonságát és a DORA szerinti IKT harmadik fél kockázatot. Ugyanaz a nyilvántartás támogatja a GDPR szerinti elszámoltathatóságot, az ISO 27701:2025 PIMS-bejegyzéseket, az ISO/IEC 27001:2022 szerinti eszközkezelést és a NIST CSF eszközeredményeit.

Gyakori megállapítások telemetriai felülvizsgálatokban

A telemetriai auditok rendszerint ismétlődő mintákat tárnak fel.

Először: az adatkezelési tevékenységek nyilvántartása „analitikát” említ, de nem különbözteti meg az összeomlásjelentést, a hőtérképeket, a visszajátszást, a támogatási felvételeket és az AI-alapú termékismereteket. Így a jogalap, a tájékoztató és a megőrzés nem ellenőrizhető.

Másodszor: létezik maszkolás, de nem tesztelik. A csapatok feltételezik, hogy a beszállító maszkolja a jelszavakat, de a szabadszöveges mezők, rejtett mezők, automatikus kitöltés, egyedi komponensek vagy mobil képernyők megkerülik a szabályokat.

Harmadszor: a visszajátszási hozzáférés túl széles. A termék-, mérnöki, támogatási és customer success csapatok mind hozzáférnek az irányítópulthoz, de nincs üzleti indoklás, időszakos felülvizsgálat vagy auditnapló-felülvizsgálat.

Negyedszer: a megőrzési alapbeállítások túlzottak. A nyers munkamenet-felvételeket hónapokig megőrzik, mert a beszállítói alapértelmezést soha nem módosították, pedig a hibaelhárítási érték gyorsan csökken.

Ötödször: a beszállítói szerződések lemaradnak a tényleges használattól. A beszállítót termékanalitikai eszközként vonták be, később azonban visszajátszást, AI-összefoglalókat, támogatási integrációkat vagy adatexportokat engedélyeztek frissített adatvédelmi felülvizsgálat nélkül.

Hatodszor: az adatvédelmi tájékoztatók általánosak. Analitikát említenek, de viselkedésalapú visszajátszást, eszközazonosítókat, címzetteket, megőrzést vagy felhasználói választási lehetőségeket nem.

Hetedszer: a termékváltozások megkerülik a DPIA-előszűrést. Az új SDK-funkciókat konfigurációs kapcsolókkal engedélyezik, nem beszerzésen keresztül, ezért az adatvédelmi és biztonsági csapatok nem látják a változást.

A Clarysec megoldása nem a telemetria tiltása. A megoldás egy könnyű, de kötelező kontrollkapu kialakítása a telemetriai változásokhoz.

Gyakorlati telemetria-irányítási ellenőrzőlista

Használja ezt az ellenőrzőlistát terméktelemetria, mobil analitika, összeomlásjelentés, hőtérképek vagy munkamenet-visszajátszás engedélyezése, bővítése vagy megújítása előtt.

Kapcsolja az ellenőrzőlistát a Zenith Blueprint lépéseihez: 9. lépés az eszközazonosításhoz, 19. lépés a törlési, maszkolási és DLP-bizonyítékokhoz, valamint 23. lépés a PII-védelem gyakorlati működéséhez. Ezután használja a Zenith Controls-t az ISO/IEC 27002:2022 5.34, 5.23, 5.19, 8.11, 5.15, 5.16, 5.8 és 8.32 kontrollok megfeleltetésére, hogy ugyanazok a bizonyítékok támogassák a GDPR, ISO 27701:2025 PIMS, ISO/IEC 27001:2022 IBIR, NIST CSF, NIS2 és DORA megbeszéléseket.

Igazgatósági üzenet: a telemetria bizalmi kontroll

A terméktelemetria valós értéket ad a szervezeteknek. Segít a csapatoknak kijavítani a hibás munkafolyamatokat, javítani az akadálymentességet, csökkenteni a támogatási terhelést, észlelni az összeomlásokat, priorizálni a mérnöki munkát és megérteni az ügyféleredményeket. A munkamenet-visszajátszás azonban megfigyelési réteggé is válhat, ha láthatatlan, túlzott vagy nem megfelelően védett.

A CISO-k és megfelelési vezetők igazgatóságnak szóló üzenete egyszerű: a telemetria nem csupán termékoptimalizálási képesség. Bizalmi kontroll. Ha jól irányítják, javítja a szolgáltatásminőséget, miközben tiszteletben tartja az adatvédelmet. Ha rosszul irányítják, dokumentálatlan megfigyelést, kontrollálatlan beszállítói kockázatot és elkerülhető adatsértési kitettséget hoz létre.

A NIS2 megerősíti a vezetői elszámoltathatóságot a kiberbiztonsági kockázatkezelésért. A DORA központi elemmé teszi az IKT harmadik felek és a reziliencia irányítását a pénzügyi szervezeteknél. A GDPR az adatkezelőre helyezi az elszámoltathatóságot. Az ISO 27701:2025 segít működésbe ültetni az adatvédelmi szerepköröket, nyilvántartásokat, tájékoztatókat, DPIA-kat és adatfeldolgozói irányítást. Az ISO/IEC 27001:2022 biztosítja az IBIR motorját a kockázathoz, a felelősséghez, a kontrollokhoz és a bizonyítékokhoz.

A Clarysec ezt szabályzatokon, nyilvántartásokon, a Zenith Blueprint-en és a Zenith Controls-on keresztül kapcsolja össze.

Tegye auditálhatóvá a telemetriát a következő kiadás előtt

Ha szervezete termékanalitikát, munkamenet-visszajátszást, összeomlásjelentést, hőtérképeket, mobil telemetriát vagy támogatási képernyőfelvételeket használ, kezdje egy kérdéssel: tudja-e bizonyítani, mit rögzít, miért, milyen jogalapon, mennyi ideig, ki által, mely beszállítón keresztül és milyen maszkolással?

Használja a Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint útmutatót a telemetriai eszközök nyilvántartásba vételéhez, a maszkolási és törlési kontrollok felülvizsgálatához, valamint a beszállítói irányítás értékeléséhez. Használja a Zenith Controls: The Cross-Compliance Guide Zenith Controls útmutatót az adatvédelmi, felhő-, maszkolási, hozzáférési és beszállítói kontrollok keretrendszerek közötti megfeleltetéséhez. Használja a Clarysec PIMS-szabályzatait, köztük a PII-adatkezelési nyilvántartási és jogalap-szabályzatot, az Adatvédelmi kockázatértékelési és DPIA-szabályzatot, a Beépített és alapértelmezett adatvédelem szabályzatát, az Adatvédelmi tájékoztató és átláthatósági szabályzatot, valamint az Adatfeldolgozói, al-adatfeldolgozói és harmadik fél adatvédelmi menedzsment szabályzatot, hogy minden telemetriai munkafolyamat visszakövethető legyen.

A következő SDK-kapcsoló élesítése előtt végezzen telemetriai adatvédelmi irányítási felülvizsgálatot. A termékcsapat továbbra is megkapja a szükséges betekintést, auditorai, ügyfelei és felhasználói pedig valami értékesebbet kapnak: a bizalom bizonyítékát.