Het instellen van een wachtwoord op een PDF of het markeren ervan als vertrouwelijk in de documenteigenschappen zijn daden van verklaarde intentie. U vertelt het dossier en iedereen die het behandelt dat dit document niet openbaar is. Wat gebeurt er als u dat met een wachtwoord beveiligde bestand uploadt naar een PDF-tool voor verwerking? De tool moet het bestand decoderen om ermee te kunnen werken. De vraag is of de tool de privacy-intentie respecteert die je in het bestand hebt ingebakken, of het behandelt als gewoon een datalading.
Privacy-instellingen zijn alleen van belang als de tools die u gebruikt deze respecteren. Verificatie is de enige manier om daar achter te komen.
Om te controleren of een PDF Beveiliging-tool uw privacy-instellingen daadwerkelijk respecteert, moet het gedrag ervan met beveiligde bestanden worden getest, de documentatie voor gegevensverwerking aan de hand van specifieke criteria worden gelezen en de verwijderingsclaims worden geverifieerd nadat de verwerking is voltooid. WukongPDF's PDF Tools zijn gebouwd met privacy-respecterende standaardinstellingen, en het onderstaande raamwerk is van toepassing op elk hulpmiddel dat u evalueert.
Welke PDF-privacy-instellingen daadwerkelijk beschermen
Met een wachtwoord beveiligde PDF's worden in rust gecodeerd met AES als de beveiliging correct wordt toegepast. Zonder het wachtwoord kan niemand het bestand openen of de inhoud ervan bekijken. Deze bescherming werkt perfect terwijl het bestand op een harde schijf of in de cloudopslag staat. Het stopt met werken zodra u een tool het wachtwoord geeft voor verwerking. De tool moet de inhoud in het geheugen decoderen om elke bewerking, compressie, conversie, OCR en samenvoeging uit te voeren.
Tijdens de verwerking bestaat het bestand in gedecodeerde vorm in de geheugenruimte van het hulpprogramma. De privacy-instelling reist niet mee met de gedecodeerde inhoud. Eenmaal gedecodeerd heeft de tool volledige toegang tot het onbeschermde document. Wat het met die toegang doet, hoe lang het de gedecodeerde gegevens bewaart en of er inhoud wordt geregistreerd, hangt volledig af van de implementatie en het beleid van de tool. Het wachtwoord beschermde het bestand voordat het werd verwerkt. Tijdens en daarna bepaalt het gedrag van de tool of uw privacy-intentie wordt gerespecteerd of omzeild.
Testen hoe een tool omgaat met wachtwoordbeveiligde PDF's
Maak een test-PDF met onderscheidende inhoud, een unieke zin of een specifiek nummer, waar u later naar kunt zoeken. Beveilig het met een wachtwoord met een bekend wachtwoord. Upload en verwerk het via de tool met dat wachtwoord. Download de uitvoer, bevestig de juistheid. Probeer een week later hetzelfde bestand te verwerken zonder het wachtwoord. De tool zou opnieuw om het wachtwoord moeten vragen, het juiste gedrag vertonen, wat aangeeft dat de gedecodeerde inhoud of het wachtwoord zelf niet is opgeslagen.
Deze kanarietest brengt retentiegedrag aan het licht. Een tool die het wachtwoord naast het bestand opslaat, of de gedecodeerde inhoud afzonderlijk in de cache opslaat, elimineert de bescherming die het wachtwoord moest bieden. De unieke inhoud die in het testbestand is ingesloten, dient als markering: als u die inhoud ooit in een ongeautoriseerde context aantreft, weet u precies welke tool deze heeft gelekt en wanneer.
Privacydocumentatie lezen voor zinvolle toezeggingen
Privacybeleid gebruikt specifieke bewoordingen om specifieke toezeggingen te doen, of om deze te vermijden. Een beleid waarin staat dat we geen toegang hebben tot de inhoud van uw bestand, maakt een concrete, falsificeerbare claim. Een beleid waarin staat dat we uw privacy respecteren, doet dat niet. De eerste is testbaar. De tweede is marketing. Zoek naar concrete taal: waar bestanden worden opgeslagen, wie er toegang toe heeft, hoe lang ze worden bewaard, of ze een ander doel dienen dan de door u gevraagde dienst.
Hiaten in een beleid spreken net zo luid als de uitspraken ervan. Als de toegang van werknemers tot de inhoud van bestanden nooit wordt vermeld, verbiedt het beleid dit niet. Als de bewaartermijn niet wordt vermeld, kunnen bestanden voor onbepaalde tijd bewaard blijven. Lees even zorgvuldig wat het beleid weglaat als wat het zegt. De onbeantwoorde vragen definiëren de risicogebieden. Een grondig beleid beantwoordt elke vraag die een redelijke gebruiker zou stellen.
| Beleidstaal | Wat het eigenlijk betekent | Vertrouwensniveau |
|---|---|---|
| Bestanden worden binnen 24 uur na verwerking verwijderd | Specifieke, meetbare, verifieerbare inzet | Hoog |
| Wij hebben geen toegang tot uw bestanden, delen deze niet en bewaren deze ook niet | Duidelijk verbod op gegevensgebruik buiten de dienst | Hoog |
| Bestanden kunnen worden bewaard om onze dienstverlening te verbeteren | Uw gegevens kunnen worden gebruikt voor ML-training of analyses | Laag |
| Wij nemen uw privacy serieus | Marketingtaal zonder specifiek commitment | Laag |
| Geen verklaring over toegang van medewerkers | Toegang voor medewerkers is niet verboden door beleid | Ga uit van het ergste |
Verificatie van verwijderingsclaims na verwerking
Een verwijderingsclaim van 24 uur moet toetsbaar zijn. Verwerk een testbestand, noteer de exacte tijd en probeer 25 uur later toegang te krijgen tot het bestand via de interface van de tool of door contact op te nemen met de ondersteuning over dat specifieke bestand. Indien toegankelijk, is de verwijderingsclaim vals of is de bewaarperiode langer dan geadverteerd. Indien verdwenen, geldt de claim voor die test. Herhaal de test meerdere keren gedurende meerdere weken.
Serverbelasting, onderhoudsvensters en back-upcycli hebben allemaal invloed op de daadwerkelijke verwijderingstijdstip. Eén geslaagde test is bemoedigend. Het consequent doorstaan van tests bij meerdere pogingen is een bewijs van een betrouwbaar verwijderingsproces. Als er af en toe een fout optreedt, duidt dit op een verwijdering met de beste inspanning in plaats van een gegarandeerde verwijdering. Voor gevoelige documenten biedt alleen gegarandeerde verwijdering, geverifieerd door herhaalde tests, aanvaardbare zekerheid. Je uiterste best doen is niet genoeg als de inzet hoog is.
Verwerking aan de clientzijde als ultieme privacyverificatie
Tools die bestanden volledig in de browser verwerken met WebAssembly elimineren de vertrouwensvraag volledig. Het bestand verlaat de computer nooit. Encryptie is niet relevant omdat het bestand nooit wordt verzonden. Verwijdering is niet relevant omdat er geen serverkopie bestaat. Privacyverificatie wordt teruggebracht tot één controle: bevat een netwerkverzoek bestandsgegevens tijdens de verwerking?
Open het tabblad Netwerk voor ontwikkelaars van de browser voordat u met verwerken begint. Bekijk de verzoeken. Bestandsgegevens in netwerkverzoeken betekenen dat de tool niet echt client-side is. Geen enkel verzoek bevat bestandsgegevens, wat betekent dat de verwerking echt lokaal is. Deze 30 seconden durende verificatie levert definitief architectonisch bewijs op. Het tabblad Netwerk liegt niet. Privacybeleid doet dat soms wel.
Wat te doen als een tool de privacyverificatie niet doorstaat
Een mislukte verificatie is bruikbare informatie. U weet nu dat u gevoelige documenten uit de buurt van die tool moet houden. Blijf het gebruiken voor niet-gevoelig werk als het gereedschap verder goed werkt. Documenteer de scheiding: dit hulpmiddel voor openbare documenten en routinematige verwerking, dat hulpmiddel, degene die de verificatie heeft doorstaan, voor alles dat vertrouwelijke informatie bevat.
Overweeg om de discrepantie te melden als de privacyclaims van de tool expliciet waren en uw tests deze tegenspreken. Een tool die 24 uur per dag verwijdering belooft, maar bestanden een week lang bewaart, zorgt ervoor dat elke gebruiker privacybeslissingen neemt op basis van valse uitgangspunten. Een korte e-mail aan de privacycontactpersoon waarin de testresultaten worden beschreven, geeft het bedrijf de kans om het gedrag te corrigeren of de marketing te corrigeren. Beide uitkomsten komen ten goede aan toekomstige gebruikers die anders op onnauwkeurige claims zouden vertrouwen.