機密性の高いスクリーンショットと PDF のプライバシー チェックリスト
スクリーンショットでは、画面中央の被写体以外の部分も記録されます。アカウント メニューでは名前と電子メール アドレスが明らかになり、通知では無関係な会話が明らかになり、URL には識別子が含まれ、QR コードはアクセス トークンをエンコードできます。長いスクリーンショットが多くの画面にまたがる場合、見落とされる詳細がキャプチャされる可能性が高くなります。画像を PDF に変換すると配布が容易になりますが、それだけで情報の安全性が高まるわけではありません。
このガイドは、領収書、ダッシュボード、サポート記録、研究資料、内部文書を作成する人向けに、実践的なプライバシー ワークフローを提供します。法的なアドバイスではありません。健康、教育、財務、雇用、または子供のデータを扱う組織も、独自の保持、アクセス、インシデント対応の要件に従う必要があります。
キャプチャ前にマテリアルを分類する
3 つの質問をしてください。どのような情報が存在するのか、それを本当に必要としているのは誰なのか、そしてどのくらいの期間存在しなければならないのかです。公開 Web ページのコンテンツには、認証された請求画面とは異なるリスク プロファイルがあります。顧客の住所、従業員 ID、またはプライベートな会話を含む文書は、ブラウザーに表示されるという理由だけで通常のイラストとして扱われるべきではありません。
必要最小限の領域を特定します。合計を証明することが目的の場合は、完全なアカウント履歴は必要ない場合があります。ユーザー インターフェイスのバグを文書化することが目的の場合は、可能な場合は合成データを使用してテスト アカウントを作成します。データの最小化は、キャプチャ後にすべての秘密を見つけてカバーしようとするよりも信頼性が高くなります。
クリーンなキャプチャ環境を準備する
メッセージング アプリを閉じ、デスクトップ通知を非表示にし、関連のないタブをビューから削除します。文書化作業を繰り返す場合は、専用のブラウザ プロファイルまたはテスト アカウントを使用してください。ブラウザのツールバー、ブックマーク、アバター、アカウント スイッチャー、および自動入力プロンプトを確認してください。フルページ Web ページ ツールは通常、デスクトップ全体ではなくページ コンテンツをキャプチャしますが、ページ レベルの通知やメニューが表示される場合もあります。
URLを確認してください。クエリパラメータには、電子メールアドレス、注文識別子、検索語、または一時トークンが含まれる場合があります。正確なプライベート URL が必要ない場合は、クリーンアップされた正規 URL を個別に記録します。結果を確認せずに、ページの状態を変更するようなアドレスを編集しないでください。
高リスクのデータパターンを知る
パスワード、リカバリ フレーズ、ワンタイム コード、API キー、セッション トークン、完全な支払いカード番号、銀行口座の詳細、政府識別子、署名、正確な自宅の場所、医療情報、子供に関する個人情報を視覚的に検索します。機械可読フォーム (バーコード、QR コード、磁気ストライプ表現) を装飾ではなくデータとして扱います。
間接的な組み合わせでも誰かを特定できる可能性があります。名前が隠されている場合でも、珍しい役職、タイムスタンプ、都市、プロフィール写真で十分な場合があります。自由記述によるサポート会話は、ユーザーがフォームの対象フィールド以外の詳細を自発的に提供するため、特に危険です。明らかなラベルだけをスキャンするのではなく、キャプチャ全体を読み取ります。
編集よりも防止を優先する
アプリケーションで許可されている場合は、プライベート パネルを折りたたんだり、マスクされたビューに切り替えたり、限定された日付範囲を選択したり、デモ アカウントを使用したりできます。必要な部分だけをキャプチャします。防止機能は、ファイルに入る前にピクセルを削除し、編集されていないコピーが誤ってアップロードまたは添付される可能性を減らします。
ページを共有しやすくするためだけに意味のある事実を変更しないでください。状態を変更することでレコードの目的が損なわれる場合は、保護されたマスターをキャプチャし、編集された派生ファイルを個別に作成し、どのカテゴリが削除されたかを文書化します。マスターを許可されたストレージとユーザーに制限します。
元に戻せない方法で編集する
エディターで黒い四角形を描画しても、自動的に安全になるわけではありません。階層化されたドキュメントでは、長方形は移動可能な注釈として残り、その下に元のコンテンツが含まれる場合があります。トリミングによって変更されるのは、表示されているページ ボックスのみです。ぼかしにより、名前やコードを推測するのに十分な構造が残る可能性があります。安全な編集により、基礎となる情報が削除され、平坦化された出力が生成されます。
編集後、エクスポートされたコピーを別のビューアで開きます。注釈の選択、コピー、移動、非表示のテキストの検索、コメントやレイヤーの検査を試してください。すべての編集の周囲を拡大して、エッジが残っていないことを確認します。ソースが画像の場合は、編集されたピクセルを平坦化し、結果を確認します。 OCR が追加された場合は、隠しテキストが OCR レイヤーにまだ存在していないことを確認してください。
マスター、作業ファイルを分離し、コピーを共有する
元のキャプチャ、一時作業ファイル、および承認された共有コピーには、個別の保存場所またはアクセス許可を使用します。 restricted-master や redacted-share など、中立的な識別子、日付、ステータスを使用して明確に名前を付けます。ファイル名は電子メール ログ、クラウド アクティビティ、および最近のファイル リストに表示されるため、ファイル名に機密性の高い名前やアカウント番号を含めないでください。
タスクが完了したら、適用される保持ルールに従って一時エクスポートを削除します。ブラウザーのタブを空にすることは、ダウンロードされたファイル、バックアップ、同期されたコピー、またはメッセージの添付ファイルを削除することと同じではありません。削除を約束する前に、どのシステムがファイルを複製するかを確認してください。
処理と保存を慎重に選択する
ツールがファイルをブラウザーでローカルに処理するのか、サーバーにアップロードするのかを理解します。ローカル処理により変換プロバイダーへの開示を減らすことができますが、デバイス、ブラウザ拡張機能、オペレーティング システムのバックアップ、保存先ストレージ、共有チャネルは依然として重要です。 「ローカル」は完全なセキュリティを保証するものではありません。
必要に応じて、組織の記録に管理対象デバイスを使用します。デバイスの暗号化、画面ロック、現在のブラウザーの更新、および最小特権のフォルダー アクセスを適用します。機密性の高いマテリアルについては、利便性のために消費者向けサービスを選択するのではなく、承認されたツールとデータの場所に従ってください。オンラインコンバーターが動作するかどうかをテストするためだけに、制限されたデータをアップロードしないでください。
適切な最小人数と共有する
特に電子メール クライアントがアドレスを自動入力する場合は、ファイルを添付する前に受信者を確認してください。ポリシーで許可されている場合は、有効期限とダウンロード制限のあるアクセス制御されたリンクを優先します。組織の標準に従ってパスワード保護または暗号化された転送を使用し、承認された別のチャネルを通じてパスワードを送信します。 PDF パスワードは、受信者リストの制御の代わりにはなりません。
期待される取り扱いを述べます: 機密、内部、期限付き、または公開が承認されています。ラベルでは技術的にコピーを防止できないことを認識しながら、必要に応じて転送しないよう受信者に依頼してください。コラボレーション終了後にパブリック リンクを削除し、プラットフォームがアクセス ログを提供している場合はアクセス ログを確認します。
OCR をプライバシーの変更として扱う
OCR により、画像テキストの検索、選択が可能になり、インデックス付けが容易になります。これによりユーザビリティが向上しますが、検索プレビュー、ドキュメントのインデックス作成、データ損失防止システム、または誤ったコピー アンド ペーストを通じて情報が漏洩する可能性もあります。可能な場合は OCR の前に墨消しを適用し、認識されたレイヤーに制限されたテキストが含まれていないことを確認します。
OCRは不完全です。口座番号や投与量が変更される可能性があり、プライバシーと正確性の両方の問題が発生します。承認された検証用にビジュアル ソースを保持し、OCR コピーに派生物としてラベルを付けます。検索結果が返されなくても、ピクセルに機密テキストが存在しないことが証明されるとは考えないでください。
証拠と事件記録を慎重に扱う
スクリーンショットが紛争、監査、または調査に使用される可能性がある場合は、唯一のコピーを黙って変更することは避けてください。関連する手順、文書の取得時期、出典に従って原本を保存し、派生物に対して編集を実行します。通常の PDF は、ページ番号が付いているというだけでは、本物ではなく、改ざん防止にもなりません。
機密情報がすでに共有されていることが判明した場合は、それ以上の配布を中止し、アクセス可能なリンクを無効にし、責任者またはセキュリティ チャネルに通知し、対応に必要な事実を保存してください。起こったことの唯一の記録を削除して間違いを隠蔽しないでください。組織のインシデントプロセスと法的義務に従ってください。
送信前にチェックリストを確認する
- キャプチャには、明示された目的に必要な情報のみが含まれます。
- 通知、アカウントメニュー、無関係なタブ、およびプライベートクエリパラメータがチェックされました。
- パスワード、トークン、支払いデータ、識別子、アドレス、署名、コードが見直されました。
- 墨消しにより、表示されている表面だけでなく、下にあるピクセルとすべての OCR テキストが削除されました。
- 編集されたコピーは 2 番目のビューアでテストされました。
- オリジナルと共有コピーには、別個の名前と権限があります。
- ファイル名自体は機密情報を開示するものではありません。
- 処理、保存、転送ツールはデータ クラスに対して承認されています。
- 受信者名、リンク許可、有効期限、転送リスクがチェックされました。
- 一時ファイルと古い共有リンクには、定義された削除日があります。
プライバシーの問題は、オートコンプリートの提案、見落とされた QR コード、またはフラット化されていない注釈など、ワークフローの端で発生することがよくあります。最小限化、準備、キャプチャ、編集、検証、制限、削除という規律ある手順を実行することで、避けられる間違いを減らしながら、ドキュメントを対象読者にとって有用な状態に保ちます。