U wilt een vertrouwelijke PDF naar een klant sturen met de zekerheid dat alleen de klant deze kan openen. Niet zomaar iedereen die het wachtwoord krijgt. Niet iemand die de e-mail doorstuurt. Alleen de specifieke persoon op zijn specifieke apparaat. Het PDF-wachtwoordmodel kan dit niveau van toegangscontrole niet bieden. Voor een sterkere bescherming is het nodig dat we verder gaan dan de ingebouwde PDF-beveiliging en overgaan op digitaal rechtenbeheer of beveiligde documentplatforms.
Het PDF Security-model dat in de PDF-specificatie is ingebouwd, biedt twee wachtwoorden: één voor openen en één voor machtigingen. Geen van beide is gebonden aan een specifieke gebruikersidentiteit of apparaat. Iedereen met het wachtwoord kan het bestand op elk apparaat openen. Voor gebruikersspecifieke en apparaatspecifieke toegangscontrole zijn extra beveiligingslagen vereist.
Waarom de ingebouwde PDF-beveiliging geen vergrendeling op apparaatniveau kan bieden
PDF-wachtwoorden verifiëren kennis, een wachtwoord, en niet de identiteit, een persoon of apparaat. Wanneer het juiste wachtwoord wordt ingevoerd, wordt de PDF geopend, ongeacht wie het heeft ingevoerd of welk apparaat hij of zij gebruikt. Er is geen mechanisme in de PDF-specificatie voor het controleren van de gebruikersidentiteit aan de hand van een geautoriseerde lijst of het verifiëren van het apparaat aan de hand van een geregistreerde hardware-ID.
PDF-codering beschermt de bestandsinhoud tijdens opslag en verzending. Het controleert de toegang niet nadat het wachtwoord is ingevoerd. Het gecodeerde bestand wordt in het geheugen gedecodeerd wanneer het juiste wachtwoord wordt opgegeven. De gedecodeerde inhoud kan vervolgens worden opgeslagen, afgedrukt of geëxtraheerd door de gebruiker of door software die namens de gebruiker handelt.
Het machtigingswachtwoord beperkt wat er na opening met het document kan worden gedaan, maar deze beperkingen worden afgedwongen door de PDF-viewersoftware. Een kijker die ervoor kiest de beperkingen niet af te dwingen, of een gebruiker met een tool die de beperkingen opheft, omzeilt het machtigingsmodel volledig.
Technologieën die toegangscontrole op gebruikers- en apparaatniveau bieden
Digital Rights Management (DRM)-systemen die bovenop PDF zijn gebouwd, bieden de toegangscontrole die de PDF-specificatie ontbeert. Een met DRM beveiligde PDF wordt gecodeerd met een sleutel die wordt beheerd door een licentieserver. Wanneer een gebruiker het bestand probeert te openen, neemt de kijker contact op met de licentieserver. De server verifieert de identiteit van de gebruiker, controleert de autorisatie van het apparaat en levert, indien toegestaan, de decoderingssleutel.
Microsoft Azure Information Protection en Adobe LiveCycle Rights Management zijn DRM-systemen voor ondernemingen die kunnen worden geïntegreerd met PDF. Ze kunnen de toegang beperken tot specifieke gebruikers, specifieke apparaten, specifieke IP-adressen of specifieke tijdvensters. Het toegangsbeleid wordt centraal beheerd en afgedwongen door de DRM-clientsoftware.
De PDF DRM-benadering heeft een cruciale beperking: de ontvanger moet de DRM-clientsoftware hebben geïnstalleerd. Voor externe ontvangers die mogelijk niet over de vereiste software beschikken, werpt DRM-beveiliging een barrière op voor zowel legitieme als ongeautoriseerde toegang.
Praktische alternatieven voor vergrendeling op apparaatniveau
Beveiligde documentportals bieden toegangscontrole op gebruikersniveau zonder dat DRM-clientsoftware nodig is. De PDF wordt opgeslagen op een beveiligde server. Gebruikers authenticeren zich bij de portal om het document te bekijken. De PDF wordt naar de browser gestreamd om te bekijken. Download- en printcontroles worden afgedwongen door de portal. De PDF verlaat de gecontroleerde omgeving nooit als bestand.
WukongPDF biedt browsergebaseerde PDF Security-tools die documenten lokaal verwerken. Voor de hoogste veiligheid worden bestanden verwerkt zonder ooit het apparaat van de gebruiker te verlaten, waardoor het risico op gegevensblootstelling op de server wordt geëlimineerd.
Realistische verwachtingen stellen voor PDF-toegangscontrole
PDF-wachtwoorden bieden een basisniveau van bescherming dat geschikt is voor documenten die worden gedeeld met vertrouwde partijen. Ze voorkomen ongeoorloofde ongeoorloofde toegang. Toegangscontrole op apparaat- en gebruikersniveau vereist aanvullende technologie die verder gaat dan de PDF-specificatie. Als u dit onderscheid begrijpt, kunt u de juiste beveiligingsaanpak kiezen voor de documentgevoeligheid en de technische omgeving van de ontvanger.
Voor documenten die niet toegankelijk mogen zijn buiten een specifieke groep, is de meest betrouwbare controle het bewaren van de documenten binnen een gecontroleerd systeem, een documentenportaal, een virtuele dataroom of een veilig platform voor het delen van bestanden, dat de authenticatie en toegang beheert op systeemniveau in plaats van op bestandsniveau.
Het onderscheid tussen ingebouwde PDF-beveiliging en externe DRM is belangrijk voor organisaties die opties voor documentbeveiliging evalueren. PDF-wachtwoorden beschermen het bestand tijdens verzending en in rust. DRM beschermt het bestand gedurende de gehele levenscyclus, ook nadat het is geopend en gedecodeerd.
Veilige documentplatforms die toegangscontrole op gebruikersniveau bieden, omvatten doorgaans extra functies die verder gaan dan toegangsbeperking: analyses van documentgebruik die laten zien wie het document heeft geopend en wanneer, intrekking van toegang op afstand, zelfs nadat het document is gedownload, en dynamische watermerken die elke weergave van het document personaliseren.
De gebruikerservaring van met DRM beveiligde PDF's is een belangrijke overweging. Een ontvanger die een document niet kan openen omdat hij niet over de vereiste DRM-clientsoftware beschikt, kan ervoor kiezen om met een andere leverancier te werken die de toegang tot documenten eenvoudiger maakt. Het beveiligingsvoordeel van DRM moet worden afgewogen tegen de zakelijke kosten van toegangsproblemen.
Voor interne documentbeveiliging binnen een organisatie kan bestaande identiteitsinfrastructuur zoals Active Directory of eenmalige aanmelding worden geïntegreerd met documenttoegangscontroles. Een medewerker die is geauthenticeerd op het bedrijfsnetwerk, is automatisch geautoriseerd om documenten te openen die passen bij zijn of haar rol.
De juridische afdwingbaarheid van beperkingen op de toegang tot documenten staat los van de technische afdwingbaarheid. Een document dat als vertrouwelijk is gemarkeerd en wordt beschermd door een doorkliktoegangsovereenkomst schept wettelijke verplichtingen voor de ontvanger, ongeacht of de technische bescherming kan worden omzeild.
De meest effectieve strategie voor documentbescherming combineert technische controles, juridische overeenkomsten en voorlichting van de ontvanger. Een ontvanger die zijn vertrouwelijkheidsverplichtingen begrijpt, daar schriftelijk mee heeft ingestemd en technische barrières tegen ongeoorloofd delen tegenkomt, wordt beschermd door drie verdedigingslagen.
Wanneer u opties voor documentbeveiliging evalueert, test u de oplossing met representatieve ontvangers uit uw werkelijke doelgroep. Een oplossing die soepel werkt voor interne gebruikers op beheerde apparaten kan onoverkomelijke barrières opwerpen voor externe gebruikers op persoonlijke apparaten.
De kloof tussen wat ingebouwde PDF-beveiliging kan bieden en wat organisaties nodig hebben voor toegangscontrole op apparaatniveau wordt opgevuld door complementaire technologieën die identiteit en apparaatbewustzijn toevoegen aan documentbeveiliging.
Het kiezen van het juiste niveau van documentbescherming vereist een eerlijke beoordeling van de dreiging: wie toegang heeft tot het document, welke schade daaruit zou voortvloeien en welk niveau van toegangsproblemen acceptabel is.
Microsoft Azure Information Protection kan worden geïntegreerd met Active Directory om toegangsbeleid op gebruikers- en apparaatniveau toe te passen op PDF's, met behulp van de bestaande identiteitsinfrastructuur van de organisatie.
Adobe LiveCycle Rights Management biedt vergelijkbare mogelijkheden via het Adobe-ecosysteem, met beleid dat de toegang beperkt tot specifieke gebruikers, IP-adressen, tijdvensters en apparaattypen.
De ervaring van de ontvanger met met DRM beveiligde PDF's moet worden getest voordat deze wordt geïmplementeerd, omdat toegangsproblemen die acceptabel zijn voor interne gebruikers, mogelijk onaanvaardbaar zijn voor externe klanten en partners.
De kosten van DRM-implementatie omvatten niet alleen softwarelicenties, maar ook de lasten voor gebruikersondersteuning, aangezien ontvangers die beveiligde documenten niet kunnen openen hulp nodig zullen hebben.
Voor de meeste scenario's voor het delen van documenten biedt een beveiligd documentportaal met geverifieerde toegang maar zonder DRM-clientsoftware de beste balans tussen beveiliging en bruikbaarheid.
Het onderscheid tussen authenticatie, het verifiëren wie de gebruiker is, en autorisatie, het bepalen wat de gebruiker kan doen, is van fundamenteel belang om te begrijpen waarom ingebouwde PDF-wachtwoorden geen toegangscontrole op apparaatniveau kunnen bieden.
De infrastructuur met openbare sleutels kan worden gebruikt voor PDF-beveiliging door het document te versleutelen met de openbare sleutel van de ontvanger, zodat alleen de houder van de bijbehorende privésleutel het document kan ontsleutelen.
Hardwarebeveiligingsmodules en smartcards kunnen privésleutels opslaan voor de decodering van PDF's, waardoor op hardwareniveau zekerheid wordt geboden dat de sleutel niet kan worden geëxtraheerd en gebruikt op ongeautoriseerde apparaten.
De bruikbaarheid van sterke PDF-beveiliging moet worden afgewogen tegen het risico dat legitieme ontvangers geen toegang krijgen tot het document, wat bedrijfsonderbrekingen kan veroorzaken.
Virtuele datarooms die worden gebruikt voor fusies en overnames bieden toegangscontrole op documentniveau met volledige audittrails, inclusief wie elk document heeft bekeken en voor hoe lang.
Het wettelijke kader voor documentbescherming omvat vertrouwelijkheidsovereenkomsten die wettelijke verplichtingen creëren, onafhankelijk van de technische beschermingsmaatregelen die op het document worden toegepast.
Dankzij de mogelijkheden voor extern wissen in sommige DRM-systemen kan de documenteigenaar de toegang intrekken, zelfs nadat het gecodeerde bestand naar het ontvangende apparaat is gedownload.
Het voorkomen van schermopnamen is een functie van sommige DRM-systemen die probeert te voorkomen dat de ontvanger onbeveiligde kopieën maakt door middel van schermopnamen of fotografie.
Bij de kosten-batenanalyse voor documentbeveiliging moet rekening worden gehouden met de waarde van de informatie die wordt beschermd tegen de kosten en complexiteit van de beveiligingstechnologie.
Voor de meeste organisaties biedt een gelaagde aanpak, waarbij toegangscontroleportals, gebruikersauthenticatie en auditlogboekregistratie worden gecombineerd, voldoende documentbeveiliging zonder de complexiteit van DRM.
Door de beveiligingsmogelijkheden en beperkingen van het PDF-formaat te begrijpen, kunnen organisaties de juiste beveiligingsstrategieën voor hun documenten kiezen.
De beslissing om documenttoegangscontrole op apparaatniveau te implementeren moet gebaseerd zijn op een realistische beoordeling van de bedreigingen en de waarde van de informatie die wordt beschermd.
Door het beveiligingsmodel van PDF-documenten te begrijpen, kunnen organisaties weloverwogen beslissingen nemen over documentbeveiligingsstrategieën.
Het juiste niveau van documentbescherming hangt af van de gevoeligheid van de inhoud en het dreigingsmodel van de distributieomgeving.
Documentbeveiliging op apparaatniveau breidt de bescherming uit van het bestand zelf naar de omgeving waarin het wordt geopend.
De juiste beveiligingsaanpak hangt af van de specifieke bedreigingen en vereisten van elk documentdistributiescenario.
| Beschermingsniveau | Technologie | Gebruikerservaring | Beste voor |
|---|---|---|---|
| PDF-wachtwoord | Ingebouwde PDF-beveiliging | Eenvoudig; voer het wachtwoord in om te openen | Vertrouwde ontvangers; toevallige bescherming |
| DRM (AIP/RMS) | Beheer van ondernemingsrechten | Gematigd; vereist clientsoftware | Interne gebruikers op beheerde apparaten |
| Beveiligd portaal | Webgebaseerde, geverifieerde toegang | Goed; elke browser; geen cliënt nodig | Extern delen; gemengd publiek |
| Hardwaretoken + PKI | Certificaat + smartcard | Complex; vereist hardware | Hoogbeveiligde regering/defensie |