Una unidad de red compartida es el equivalente digital de un archivador comunitario. Todos los miembros del equipo pueden abrir los cajones, explorar las carpetas y leer los documentos. Pero a diferencia de un archivador físico donde la lectura no cambia el documento, una unidad de red compartida permite que cualquier persona con acceso de escritura modifique, mueva o elimine archivos PDF, ya sea que los cambios sean intencionales o accidentales. Proteger un PDF de la edición no autorizada en una unidad de red compartida requiere una combinación de permisos del sistema de archivos y configuraciones de seguridad a nivel de PDF. Depender de uno sin el otro deja una brecha que colegas bien intencionados o actores malintencionados pueden aprovechar.
Por qué los permisos del sistema de archivos por sí solos no son suficientes
Los permisos del sistema de archivos en una unidad de red controlan quién puede leer, escribir y eliminar archivos en el nivel del sistema operativo. Configurar un PDF como de solo lectura para todos los usuarios excepto el propietario del documento evita ediciones accidentales en el Explorador de archivos de Windows o el Finder de macOS. Sin embargo, estos permisos no siguen al archivo cuando se copia. Un usuario que abre el PDF de sólo lectura, copia su contenido y lo pega en un archivo nuevo ha eludido efectivamente la protección del sistema de archivos. La marca de solo lectura en el archivo original permanece intacta, pero el contenido ahora se encuentra en una copia desprotegida que se puede editar libremente.
Los permisos del sistema de archivos tampoco impiden que alguien con acceso de escritura abra el PDF en un editor que ignore el atributo de solo lectura. Algunos editores de PDF abrirán un archivo de solo lectura, permitirán ediciones en la memoria y solicitarán al usuario que guarde la versión modificada en una ubicación diferente. El archivo original técnicamente no ha cambiado, pero la versión editada ya está en circulación. Seguridad PDF a nivel de documento aborda estas lagunas incorporando la protección directamente en el archivo.
Pruebe Proteger PDF
No se necesita instalación. Funciona directamente en su navegador.
Aplicar contraseñas de permisos a nivel de PDF
Una contraseña de permiso, también llamada contraseña de propietario, incorpora restricciones directamente en el archivo PDF que acompañan al documento a donde quiera que vaya. Establezca una contraseña de permiso que bloquee la edición pero permita la visualización. En el cuadro de diálogo de configuración de seguridad, desmarque las casillas para Cambiar el documento, Copiar contenido y Extracción de página. Deje habilitadas Impresión y Accesibilidad al contenido si el equipo necesita imprimir el documento o utilizar lectores de pantalla. Cualquiera que abra el PDF puede verlo e imprimirlo, pero la barra de herramientas de edición aparece atenuada y las operaciones de copia están bloqueadas.
Elija una contraseña de permiso que sea segura pero diferente de cualquier otra contraseña utilizada en la organización. Si el propietario del documento abandona la empresa, la contraseña de permiso aún debería estar disponible para la persona que se hace cargo de la gestión del documento. Guarde la contraseña en un administrador de contraseñas compartido al que puedan acceder los administradores del equipo, no en una bóveda de contraseñas personal a la que solo pueda acceder una persona. Un enfoque Protect PDF que combina una contraseña de permiso con el indicador de solo lectura del sistema de archivos crea una defensa en profundidad. Un atacante que elude una protección aún debe vencer la otra.
Uso de firmas digitales para detectar ediciones no autorizadas
Una contraseña de permiso evita las ediciones, pero un usuario determinado con acceso a herramientas de desbloqueo de PDF puede eliminar la protección si está dispuesto a eludir la política de seguridad. Una firma digital proporciona un tipo diferente de protección. No impide las ediciones, pero hace que cualquier edición sea inmediatamente detectable. Firme el PDF con un certificado digital antes de colocarlo en la unidad compartida. Cualquiera que abra el archivo verá el indicador de firma válida. Si alguien edita el documento, la firma se rompe y la siguiente persona que abre el archivo ve una advertencia de que el documento ha sido modificado desde la firma.
Este enfoque basado en la detección es apropiado para documentos donde se desaconseja la edición pero no se prohíbe estrictamente, o donde la preocupación principal es que una edición pueda pasar desapercibida en lugar de que se produzca una edición. Un informe financiero publicado en una unidad compartida para el equipo de liderazgo, por ejemplo, puede llevar una firma digital para que cualquiera que revise los números pueda confirmar que está viendo la versión aprobada y no una copia modificada. WukongPDF proporciona PDF Security protección con contraseña y capacidades de firma digital para documentos compartidos en el almacenamiento de red.
Configuración de permisos de unidades de red para una máxima protección
La lista de control de acceso (ACL) a la unidad de red debe ser la primera línea de defensa, configurada antes de aplicar cualquier protección a nivel de PDF. Configure la carpeta compartida que contiene archivos PDF protegidos para permitir acceso de lectura a todos los miembros del equipo que necesitan ver los documentos y acceso de escritura solo a los propietarios y administradores de los documentos. La mayoría de los sistemas de almacenamiento conectados a la red y las carpetas compartidas de Windows Server admiten este nivel de control de permisos granular a través del cuadro de diálogo de propiedades de seguridad o uso compartido.
Cree una subcarpeta separada para copias de trabajo editables de documentos que aún están en borrador. Esto mantiene la actividad de edición aislada de los documentos protegidos finalizados. Los miembros del equipo que necesiten proponer cambios a un PDF protegido pueden crear una copia de trabajo en la carpeta de borradores, realizar modificaciones y enviar la versión revisada para revisión y reemplazo del original protegido. Esta separación del flujo de trabajo evita el escenario común en el que alguien abre un PDF protegido, se da cuenta de que no puede editarlo, guarda una copia en su escritorio con un nombre ligeramente diferente y ahora circulan dos versiones sin una indicación clara de cuál es la autorizada.
Monitoreo y auditoría del acceso a documentos
La auditoría de unidades de red proporciona un registro de quién accedió a qué archivos y cuándo. Habilite el registro de auditoría en la carpeta compartida que contiene archivos PDF protegidos. Windows Server y la mayoría de los dispositivos NAS pueden registrar eventos de apertura de archivos, registrando la cuenta de usuario, el nombre del archivo y la marca de tiempo para cada acceso. Revise los registros de auditoría periódicamente o configure alertas para patrones de acceso que sugieran actividad no autorizada, como que un usuario acceda a una gran cantidad de archivos PDF en un período corto o acceda a archivos fuera del horario comercial.
Los registros de auditoría tienen dos propósitos. Disuaden el acceso no autorizado porque los usuarios saben que su actividad está registrada. Y cuando se produce una edición no autorizada a pesar de las protecciones, el registro de auditoría identifica quién accedió al archivo en el momento de la edición, limitando la investigación a una pequeña cantidad de cuentas de usuario. Comunique al equipo que el acceso a los documentos está auditado. La conciencia del monitoreo es a menudo tan efectiva como los controles técnicos para prevenir violaciones casuales de seguridad.
Capacitación de los miembros del equipo sobre seguridad de documentos compartidos
Las protecciones técnicas son necesarias pero no suficientes por sí solas. Los miembros del equipo que no comprendan por qué no se puede editar un PDF pueden intentar solucionar las restricciones en lugar de seguir el flujo de trabajo aprobado. Un breve documento de capacitación o una reunión de equipo que explique la política de protección de documentos, demuestre el flujo de trabajo correcto para proponer ediciones a documentos protegidos y muestre cómo verificar que un documento no haya sido manipulado, reduce la cantidad de incidentes de seguridad causados por soluciones alternativas bien intencionadas.
Incluya en la capacitación una explicación clara de las consecuencias de eludir las protecciones de documentos. En industrias reguladas, la edición no autorizada de un documento protegido puede tener implicaciones de cumplimiento más allá del inconveniente inmediato. Cuando los miembros del equipo entienden el cómo y el por qué de la protección de PDF en unidades compartidas, es mucho menos probable que traten las restricciones como obstáculos que deben superarse y más probable que las traten como salvaguardas que deben respetarse.
Estrategias de control de versiones para archivos PDF protegidos en unidades de red
Los archivos PDF protegidos en una unidad compartida necesitan una estrategia de control de versiones que complemente la configuración de seguridad. Sin control de versiones, los miembros del equipo pueden crear copias no controladas para evitar las restricciones de edición, anulando el propósito de la protección. Implemente una convención de control de versiones simple en la que el documento maestro protegido lleve un número de versión en el nombre del archivo y en el pie de página del documento.
Cuando un miembro del equipo necesita proponer cambios en un PDF protegido, sigue un flujo de trabajo de pago. El propietario del documento crea una copia editable en una carpeta de borradores, el miembro del equipo realiza sus cambios y el propietario revisa los cambios y decide si los incorpora en la siguiente versión del maestro protegido. Este flujo de trabajo reconoce que a veces es necesario realizar ediciones y, al mismo tiempo, mantiene la decisión sobre cuál será la versión autorizada centralizada en el propietario del documento.
Para equipos que usan Microsoft SharePoint o plataformas de administración de documentos similares, use las funciones integradas de check-out y de historial de versiones. Un PDF almacenado en una biblioteca de documentos de SharePoint se puede extraer para editarlo, lo que bloquea el archivo para que otros no puedan modificarlo simultáneamente, y cada versión registrada se conserva en el historial de versiones. La combinación del control de versiones de SharePoint y la protección con contraseña a nivel de PDF proporciona una solución confiable para entornos regulados.
Revise periódicamente la lista de control de acceso en la carpeta compartida para eliminar permisos para los usuarios que cambiaron de rol o abandonaron la organización. Una ACL que no se audita periódicamente acumula permisos que ya no son apropiados y un antiguo miembro del equipo con acceso de lectura residual a archivos PDF protegidos representa una brecha de seguridad de los datos.
Para documentos compartidos con socios externos que acceden a la unidad de red a través de una VPN o un portal seguro, verifique que los permisos de PDF sean compatibles con el método de acceso. Algunos clientes VPN alteran el manejo de los atributos de los archivos de manera que pueden interferir con la aplicación de permisos de PDF.
Pruebe Proteger PDF
No se necesita instalación. Funciona directamente en su navegador.