Resumo: o ponto cego de PII
- Os controlos de PII do lado do servidor não cobrem o ponto cego do lado do cliente. Scripts de terceiros que correm no navegador do visitante conseguem ler todos os campos de formulário e cookies, e enviar esses dados por beacon para qualquer domínio permitido, antes mesmo de o seu servidor ver o pedido.
- Exemplos de PII mais comummente expostos do lado do cliente incluem nome completo, e-mail, número de telefone, endereço IP, fingerprint do dispositivo e fragmentos de cartão de pagamento. Todos estes estão no âmbito do GDPR, da CCPA e da PCI DSS.
- Fechar este ponto cego exige monitorização em sessão daquilo que os scripts realmente leem do DOM. WAFs, ferramentas de DLP e SIEMs não conseguem ver isto, porque acontece antes de o pedido chegar à sua origem.
Sem tempo? Veja o bloqueio de Magecart e skimmers no navegador da cside. Cobre tudo o que se segue numa única implementação.
As Informações de Identificação Pessoal (PII) são centrais nas leis de privacidade e nos padrões de tratamento de dados. A maioria das organizações concentra-se em como estes dados são armazenados e processados nos sistemas de backend. Mas os dados de PII também passam pelo frontend, onde os controlos são mais fracos e a visibilidade costuma ser limitada.
Os scripts do lado do cliente introduzem riscos de privacidade difíceis de detetar. Estes scripts são normalmente de analytics, publicidade, melhorias de experiência do utilizador ou processamento de pagamentos. Depois de carregados no navegador, podem observar o conteúdo da página, interagir com formulários, aceder a cookies e estabelecer ligações externas.
A maioria dos sites não monitoriza o que estes scripts estão a fazer. Como resultado, podem expor dados sensíveis a terceiros sem sequer o saberem.
Para reduzir o risco, comece por perceber o que se qualifica como PII e onde pode surgir no navegador. O nosso painel de comportamento, lançado recentemente, ajuda a trazer essa informação à superfície.
O que constitui PII?
A ideia central de PII é consistente na maioria das regulamentações. PII refere-se a qualquer dado que possa identificar um indivíduo, seja por si só ou quando combinado com outras informações.
Exemplos comuns de PII incluem:
- Nome
- Morada
- Número de telefone
- Endereço de e-mail
- Data de nascimento
- Número de identificação civil ou de passaporte
- Dados de conta financeira
- Credenciais de acesso
Estes são todos considerados identificadores diretos. Mas muitas regulamentações de privacidade incluem também identificadores indiretos, quando estes podem ser associados a uma pessoa. Isto inclui:
- Endereços IP
- IDs de dispositivo
- Fingerprints de navegador
- Valores de cookies
- Dados de localização
- IDs de rastreio únicos
- Tokens de sessão
Requisitos do GDPR relativamente à PII
O GDPR define PII como:
No Considerando 30 do GDPR:
"As pessoas singulares podem ser associadas a identificadores em linha fornecidos pelos seus dispositivos, aplicações, ferramentas e protocolos, tais como endereços de protocolo internet, identificadores de testemunhos de conexão (cookies), ou outros identificadores, tais como etiquetas de identificação por radiofrequência."
No Artigo 4.º, n.º 1, do GDPR:
"Dados pessoais são qualquer informação relativa a uma pessoa singular identificada ou identificável… nomeadamente por referência a um identificador, como um nome, um número de identificação, dados de localização, um identificador em linha…"
O GDPR enumera exemplos específicos:
- Endereços IP
- Identificadores de cookies
- Dados de localização
- Identificadores online, como IDs de dispositivo ou de navegador
Todos estes estão abrangidos pelo conceito de "identificador online".
Requisitos da HIPAA relativamente à PII
A HIPAA define PII como:
Das orientações de desidentificação da HIPAA:
"Identificadores de dispositivos e números de série; URL da Web; endereço de Protocolo de Internet (IP); … qualquer outro número, característica ou código de identificação único."
A HIPAA define 18 identificadores que têm de ser removidos para desidentificar Informações de Saúde Protegidas (PHI). Estes incluem, entre outros:
- Identificadores de dispositivos e números de série
- Endereços IP
- URLs da Web
- Qualquer outro número ou código de identificação único
Requisitos da PCI DSS relativamente à PII
A PCI DSS define PII como:
Na PCI DSS v4.0, Secção 3.3:
"Ocultar o PAN quando apresentado (os primeiros seis e os últimos quatro dígitos são o número máximo de dígitos a apresentar)."
A PCI DSS foca-se especificamente na proteção dos dados do titular do cartão e dos dados de autenticação sensíveis. Isto inclui:
- Número de Conta Principal (PAN)
- Nome do titular do cartão
- Data de validade
- Código de serviço e Valor de Verificação do Cartão (CVV, CVC)
- Dados de PIN e bloco de PIN
- Dados da banda magnética ou do chip
Ao contrário do GDPR ou da HIPAA, a PCI DSS não classifica endereços IP, cookies, IDs de dispositivo ou identificadores de navegador como dados sensíveis. O âmbito desta norma está limitado à proteção de informações de cartões de pagamento, o que faz sentido dado o seu propósito.
No entanto, tudo o que foi referido acima é, evidentemente, também PII.
CCPA / CPRA
A CCPA / CPRA define PII como:
Da California Privacy Protection Agency:
"As informações pessoais incluem qualquer dado que identifique, esteja relacionado com, ou possa razoavelmente ser associado a si ou ao seu agregado familiar, direta ou indiretamente … endereço IP."
"Informação que identifica, se relaciona com, descreve, é capaz de ser associada a, ou poderia razoavelmente ser ligada, direta ou indiretamente, a um determinado consumidor ou agregado familiar."
Do Projeto de Lei do Senado do Colorado 21‑190:
"'INDIVÍDUO IDENTIFICADO OU IDENTIFICÁVEL' significa um indivíduo que pode ser prontamente identificado, direta ou indiretamente, nomeadamente por referência a um identificador como um nome, um número de identificação, dados de geolocalização específicos, ou um identificador online."
A CCPA/CPRA protege uma vasta gama de identificadores, incluindo:
- Endereços IP
- IDs de dispositivo
- Fingerprints de navegador
- Valores de cookies
- Dados de localização
- IDs de rastreio únicos
- Tokens de sessão
- Histórico de navegação
Como a PII é exposta no navegador
A PII é frequentemente tratada no frontend. É aí que fica visível para o utilizador e é introduzida em formulários. A visibilidade sobre aquilo a que os scripts têm acesso é limitada, e o seu comportamento é mais difícil de controlar. Praticamente todos os sites modernos incluem bibliotecas e serviços JavaScript de terceiros. Estes podem vir de fornecedores de analytics, plataformas de publicidade, ferramentas de apoio ao cliente ou fornecedores de otimização de marketing.
Assim que estes scripts são carregados no navegador, são executados com acesso total à página.
Podem:
- Ler os campos de formulário à medida que os utilizadores escrevem
- Aceder a cookies e ao armazenamento local
- Analisar o DOM e extrair dados visíveis
- Rastrear o comportamento do utilizador
- Fazer pedidos de rede para domínios externos
Alguns scripts são concebidos para recolher esta informação. Outros obtêm acesso de forma não intencional, devido à forma como são implementados. E o mais importante: todos os scripts têm, tecnicamente, acesso a essa PII.
Ou seja: os dados pessoais podem ser expostos a sistemas fora do seu controlo.
Estes dados não precisam de estar armazenados numa base de dados para criar risco. Se um script envia dados de formulário ou de cookies para um servidor externo, isso qualifica-se como uma transferência de PII. Se esse script pertencer a um fornecedor que não controla totalmente, ou a um domínio que não reconhece, isto pode rapidamente tornar-se um problema de conformidade.
A maioria dos sites não regista o que acontece dentro do navegador. Isso torna a atividade do lado do cliente difícil de auditar. Mesmo a monitorização avançada do lado do servidor não capta estes comportamentos.
O nosso painel de comportamento ajuda agora a colmatar esta lacuna.
Ele monitoriza dois tipos críticos de exposição: quais scripts estão a fazer pedidos externos e para que domínios, e quais scripts estão a ler ou a interagir com campos de entrada.
Se um script lê o endereço de e-mail de um utilizador ou o envia para um servidor externo, o painel regista isso. Se um token de sessão for enviado para um pixel de rastreio ou domínio de analytics, isso também aparece. Esta informação pode ajudar as equipas a detetar exposições acidentais ou violações de política antes que se agravem.
Assim, a PII pode ser exposta de formas que não envolvem uma violação dos seus servidores. Pode ser tratada, acedida e transmitida inteiramente dentro do navegador. Se essa atividade não for monitorizada, não sabe quando nem que dados pessoais estão a ser partilhados com terceiros.
As regulamentações de privacidade exigem que controle a PII dos seus clientes. E isso inclui o que acontece do lado do cliente. Ao compreender o que se qualifica como PII e como esta flui pelo frontend, pode reduzir o risco e manter-se em conformidade.
Monitorizar o acesso a formulários e o comportamento dos scripts externos é uma medida prática. Ajuda a revelar problemas que as ferramentas de backend frequentemente não detetam. Também cria uma imagem mais precisa de como os dados pessoais circulam pelo seu site em condições reais.
Perguntas adicionais respondidas
P: O que são as Informações de Identificação Pessoal (PII) e por que são importantes para os sites?
PII é qualquer dado que possa identificar alguém. Por vezes isso acontece diretamente, outras vezes ocorre quando dados pessoais são combinados com dados públicos. A PII inclui coisas óbvias, como nomes, endereços de e-mail e números de telefone. Mas também abrange dados menos visíveis, como endereços IP, IDs de dispositivo e valores de cookies.
Leis de privacidade como o GDPR, a CCPA e a HIPAA exigem que proteja estes dados.
P: Como podem as Informações de Identificação Pessoal (PII) ser expostas através do frontend do meu site sem eu saber?
O frontend do seu site executa scripts de terceiros com acesso total à página. Estes scripts podem ler informações pessoais enquanto os utilizadores preenchem formulários. Podem aceder a cookies, captar dados e exfiltrá-los para servidores externos. A maioria dos sites não monitoriza o que estes scripts estão a fazer. O que significa que dados pessoais podem ser partilhados sem o seu conhecimento.
P: Que tipos de PII são abrangidos pelas leis de privacidade?
As leis de privacidade abrangem informações pessoais tanto diretas como indiretas.
Os identificadores diretos incluem: nomes, moradas, números de telefone, endereços de e-mail e números de segurança social.
Os identificadores indiretos incluem coisas como: endereços IP, IDs de dispositivo, fingerprints de navegador, valores de cookies e tokens de sessão.
Tudo isto, dentro e fora do âmbito da cibersegurança.
A maioria das regulamentações define PII como qualquer dado que possa identificar uma pessoa, diretamente ou associando-o a outros detalhes. Diferentes leis têm categorias diferentes, mas saber o que conta como PII ajuda a manter a conformidade em todos os âmbitos.
P: Por que falham as ferramentas de segurança tradicionais em detetar exposições de PII do lado do cliente?
As ferramentas de segurança tradicionais concentram-se no lado do servidor. Mas a exposição de PII do lado do cliente acontece, na realidade, no navegador do utilizador, não nos seus servidores. Pelo menos não inicialmente.
Quando um script de terceiros lê informações de identificação pessoal de formulários e as envia para um domínio externo, essa atividade não aparece nos seus registos de servidor.
É necessária monitorização do lado do cliente para ver que dados pessoais estão a ser acedidos e para onde vão.
P: Que comportamentos específicos do lado do cliente devo monitorizar para proteger a PII?
Deve monitorizar duas coisas: quais scripts fazem pedidos externos e quais scripts acedem a campos de formulário que contêm informação pessoal.
O nosso painel de comportamento monitoriza esta atividade. Mostra quando os scripts acedem a dados como endereços de e-mail ou enviam informação pessoal para domínios de rastreio. Também assinala quando qualquer PII é exfiltrada para servidores externos. Isto ajuda a perceber o que conta como uma exposição de PII.
P: Em que difere a PCI DSS de outras leis de privacidade relativamente à PII?
A norma PCI Data Security Standard tem um foco mais restrito do que frameworks como o GDPR, a CCPA ou a HIPAA. Aplica-se especificamente a informações de cartões de pagamento, e não a dados pessoais em geral. No entanto, ambas se enquadram no mesmo âmbito geral.
A PCI DSS define os dados do titular do cartão como Números de Conta Principal (PAN), nome do titular do cartão e data de validade. Não classifica endereços IP, cookies ou outros identificadores indiretos como dados sensíveis.
As empresas têm de proteger todos os tipos de informação pessoal ao abrigo das leis de privacidade mais amplas. Ao mesmo tempo, têm de cumprir os requisitos da PCI DSS para proteger os dados de pagamento. Pode ler mais sobre isso aqui.
P: Quando é que a exposição de PII do lado do cliente resulta numa violação de conformidade?
Uma violação de conformidade ocorre quando informação pessoal é transmitida a terceiros sem permissão. Se um script envia dados de formulários ou de cookies para um servidor externo que não controla, isso constitui uma violação das regras de privacidade, para além, claro, da partilha manual desses dados.
Saber o que conta como PII e monitorizar para onde vai ajuda a manter a conformidade com o GDPR, a CCPA, a HIPAA e outros frameworks de privacidade.
P: Quem é responsável pela monitorização das exposições de PII do lado do cliente numa organização?
Monitorizar e proteger informação pessoal exige o envolvimento de toda a empresa. Isto aplica-se tanto a grandes como a pequenas empresas. Algumas organizações têm responsáveis de privacidade a tempo inteiro, outras podem ter apenas um programador com foco em privacidade.
Toda a empresa precisa de compreender como os dados pessoais fluem, para poder cumprir os requisitos de reporte ao abrigo de leis como o GDPR, a CCPA e a HIPAA.
A responsabilidade última cabe à gestão da empresa.
P: Quais são as formas mais comuns pelas quais os sites expõem inadvertidamente PII através de scripts de terceiros?
As exposições comuns ocorrem através de scripts que, de outro modo, seriam normais, mas que foram comprometidos ou se tornaram maliciosos:
- Scripts de analytics que passam a captar dados de formulários para além do seu âmbito
- Pixels de publicidade que leem cookies fora dos seus domínios designados
- Widgets de apoio que acedem a dados introduzidos em formulários não autorizados
- Scripts concebidos para recolha legítima de dados que excedem os seus limites
- … e outros
Alguns scripts recolhem PII intencionalmente, por design. Outros fazem-no por acidente ou com intenção maliciosa.
Saber que informação pessoal está a ser recolhida, e para onde vai, ajuda a prevenir fugas acidentais.
P: Que nível de risco representa a atividade não monitorizada do lado do cliente para o meu negócio?
Os reguladores ao abrigo do GDPR, da CCPA e da HIPAA podem aplicar, e já aplicaram, coimas pesadas por má gestão de PII. Os clientes também esperam que os seus dados sejam protegidos. Violações que envolvam informação pessoal prejudicam a confiança e a reputação. Já foram interpostas, e ganhas, ações coletivas no passado.
P: Que ações imediatas posso tomar para minimizar os riscos de exposição de PII do lado do cliente?
Comece por auditar todos os scripts de terceiros para ver que informação pessoal conseguem aceder. Implemente ferramentas de deteção de exfiltração de dados para ter visibilidade sobre esses scripts. Depois, monitorize-os e proteja-os.
Reveja as suas políticas de privacidade para garantir que incluem como os dados fluem e são captados no seu frontend.
Implemente tanto proteções tradicionais do lado do servidor como proteção do lado do cliente.
