U redigeert een burgerservicenummer uit een pdf met de redactietool van uw pdf-editor. U ziet de zwarte doos verschijnen, sla het bestand op en verzend het. De ontvanger converteert de pdf naar Word om deze te kunnen bewerken en vindt het burgerservicenummer volledig zichtbaar in het geconverteerde document, alsof de redactie nooit heeft plaatsgevonden. Dit is geen bug. Het is het verwachte gedrag van de meeste redactietools wanneer het document een formaatconversie ondergaat, en het heeft echte datalekken veroorzaakt.
In 2024 meldde de Britse Information Commissioner's Office dat het onjuist redigeren van pdf's de derde meest voorkomende oorzaak was van datalekken waarbij overheidsdocumenten betrokken waren (ICO, "Data Security Incident Trends", 2024). De meest voorkomende oorzaak was niet het onvermogen om het document te redigeren, maar het onvermogen om te verifiëren dat de redactie de volledige levenscyclus van het document overleefde, inclusief eventuele formaatconversies die het later zou kunnen ondergaan.
Hoe een goede PDF-redactie werkt op gegevensniveau
Een goede PDF-redactie is fundamenteel anders dan het tekenen van een zwarte doos over tekst. Wanneer u een echte redactietool gebruikt, gebeuren er twee dingen: de zichtbare tekst wordt bedekt met een zwarte rechthoek en de onderliggende tekstinhoud wordt verwijderd uit de tekstlaag van de PDF. De tekens zelf worden uit de gegevensstroom van het bestand verwijderd. Een reader-applicatie heeft niets om onder de zwarte doos weer te geven, omdat daar niets is.
Wanneer u met behulp van annotatiehulpmiddelen een zwarte rechthoek over tekst tekent en deze geredigeerd noemt, heeft u gedaan wat beveiligingsprofessionals cosmetische redactie noemen. De tekst staat nog steeds in de gegevenslaag van de PDF, volledig intact en uittrekbaar. Iedereen kan de tekst selecteren, kopiëren, ergens anders plakken en elk woord onder de zwarte doos lezen. Converteer de PDF naar een ander formaat en de conversietool leest de onderliggende tekst, niet de visuele overlay. De redactie verdwijnt omdat het in de eerste plaats nooit echt was.
Het onderscheid tussen echte en cosmetische redactie is zo cruciaal dat overheidsinstanties en advocatenkantoren het nu opnemen in de verplichte training voor personeel dat met gevoelige documenten werkt. Een enkele onjuist geredigeerde rechtszitting, een FOIA-reactie of een indiening bij de toezichthouder kan persoonlijke gegevens op grote schaal blootleggen, en de reputatie- en juridische gevolgen wegen ruimschoots op tegen de paar extra seconden die nodig zijn om de juiste redactietools te gebruiken.
Een bijzonder gevaarlijk scenario doet zich voor wanneer een document door meerdere handen gaat. Persoon A past de juiste redactie toe, persoon B opent het bestand en ziet zwarte dozen, gaat ervan uit dat de redactie is voltooid en stuurt het door. Maar als persoon A een cosmetisch redactiehulpmiddel zou gebruiken zonder het te beseffen, is het vertrouwen van persoon B in de zwarte dozen misplaatst. Dit vertrouwensprobleem is de reden waarom organisaties moeten standaardiseren op één enkel, geverifieerd redactiehulpmiddel en al het personeel moeten opleiden om het correct te gebruiken.
Een bijzonder verraderlijke variant van cosmetische redactie is de white-box-redactie. Sommige gebruikers tekenen een witte rechthoek over tekst, ervan uitgaande dat wit op wit de tekst onzichtbaar maakt. Dit mislukt omdat het selecteren van tekst of het converteren van het document de onderliggende tekst onthult, en schermlezersoftware deze hardop voorleest, ongeacht de visuele kleur. White-box-redactie is helemaal geen redactie.
Wat er gebeurt met redactie tijdens formaatconversie
Formaatconversie creëert een nieuw document door de bron-PDF te lezen en de inhoud ervan in een ander formaat te schrijven. De conversietool ontleedt de PDF-structuur en extraheert tekst, afbeeldingen en lay-outinformatie. Voor conversie van PDF-formaat is de cruciale vraag welke tekstinhoud de conversietool in de geredigeerde gebieden aantreft.
Als de redactie authentiek was en de tekst uit de inhoudsstroom van de PDF werd verwijderd, vindt de conversietool niets in die gebieden en schrijft niets. Het uitvoerdocument bevat geen tekst op de plaats waar de redacties plaatsvonden. Als de redactie cosmetisch was, een zwarte doos-overlay met de tekst eronder nog steeds, vindt de conversietool de tekst en schrijft deze plichtsgetrouw in het uitvoerdocument. De zwarte doos is een visueel element, geen data-element, en de meeste conversietools negeren visuele overlays bij het extraheren van tekstinhoud.
WukongPDF biedt een redactietool die inhoud op gegevensniveau verwijdert, niet alleen op visueel niveau. Wanneer u redactie toepast via een correct geïmplementeerd hulpmiddel PDF Security dat werkt op de tekststroom van het document, kan de verwijderde informatie niet opnieuw verschijnen via formaatconversie, omdat de gegevens eenvoudigweg niet meer in het bestand aanwezig zijn.
Sommige PDF-naar-Word-converters proberen specifiek annotaties te behouden, inclusief commentaarvakken, markeringen en getekende vormen. Als er een cosmetische redactie als annotatie is toegepast, kan de converter de zwarte rechthoek getrouw reproduceren als een woordvorm. Maar omdat de onderliggende tekst nooit is verwijderd, toont het Word-document zowel de zwarte rechthoek als de tekst eronder, die selecteerbaar, kopieerbaar en volledig zichtbaar is voor iedereen die de rechthoek verplaatst of verwijdert.
Formaatconversie is niet het enige pad waarlangs geredigeerde inhoud kan lekken. Door simpelweg alle tekst in een PDF te selecteren met cosmetische redacties en deze in een teksteditor te plakken, wordt de geredigeerde inhoud zichtbaar. Als u in de PDF naar een geredigeerde term zoekt met de functie Zoeken, wordt deze gevonden, zelfs als deze visueel bedekt is. Schermlezers en toegankelijkheidstools lezen de onderliggende tekstlaag. Deze alternatieve extractiepaden omzeilen allemaal de visuele overlay waar cosmetische redactie op vertrouwt.
Op OCR gebaseerde redactie en het probleem van terugkerende tekst
Gescande PDF's voegen een extra complexiteitslaag toe aan de redactie. Een gescand document is in wezen een foto van een stuk papier. De tekst wordt niet als tekens maar als pixels in een afbeelding opgeslagen. Standaard redactiehulpmiddelen die op tekstlagen werken, kunnen geen tekst uit een afbeelding verwijderen, dus tekenen ze in plaats daarvan zwarte kaders over de afbeelding. Dit is cosmetische redactie uit noodzaak, niet uit vrije wil.
Om een gescande PDF correct te redigeren, hebt u een tool nodig die de daadwerkelijke afbeeldingsgegevens wijzigt, waarbij de pixelwaarden in het geredigeerde gebied worden vervangen door effen zwart. Nadat de afbeelding is gewijzigd, voert u vervolgens OCR uit op het document om alleen een tekstlaag voor de niet-geredigeerde inhoud te maken. Als u OCR uitvoert voordat u gaat redigeren, bevindt de OCR-tekst voor de geredigeerde inhoud zich in de tekstlaag en wordt deze geëxtraheerd door elk formaatconversieprogramma.
Een veel voorkomende fout bij het redigeren van gescande PDF's is dat u eerst OCR gebruikt om het document doorzoekbaar te maken, vervolgens redactiemarkeringen toe te passen en vervolgens opnieuw op te slaan. Deze reeks laat de door OCR gegenereerde tekstlaag intact onder de redactiemarkeringen. Bij elke daaropvolgende conversie of tekstextractie wordt de geredigeerde tekst uit de OCR-laag hersteld. De juiste volgorde is: eerst de afbeeldingspixels redigeren en vervolgens de opgeschoonde afbeelding OCR. Deze volgorde zorgt ervoor dat de tekstlaag nooit de geredigeerde inhoud bevat.
Hoe u kunt verifiëren dat redactie de conversie overleeft
De enige manier om er zeker van te zijn dat uw redactie permanent is, is door deze te testen. Nadat u een PDF hebt geredigeerd, converteert u deze naar een tekstbestand zonder opmaak en zoekt u naar de geredigeerde inhoud. Als het tekstbestand de geredigeerde gegevens bevat, was uw redactie niet effectief. Een snellere verificatie is om na redactie alle tekst in de PDF te selecteren en in een teksteditor te plakken. Als de plakbuffer geredigeerde tekst bevat, was de redactie cosmetisch.
Voor gescande PDF's converteert u een pagina naar een afbeeldingsindeling zoals PNG en inspecteert u de geredigeerde gebieden visueel met een hoge zoomfactor. Als u door de zwarte overlay enig spoor van de originele inhoud kunt zien, vooral op schermen met hoge helderheid of wanneer deze worden afgedrukt, is de redactie onvoldoende. Eén enkele pixel zichtbare inhoud kan soms voldoende zijn om de oorspronkelijke informatie te reconstrueren.
Maak een verificatiechecklist die elk van deze stappen omvat en vereist deze als onderdeel van uw documentvrijgaveproces. De paar minuten die nodig zijn om de redactie te verifiëren zijn verwaarloosbaar vergeleken met de uren, dagen of maanden van herstel die volgen op een datalek veroorzaakt door een mislukte redactie. Deze stap is niet optioneel voor organisaties die persoonlijke gegevens of vertrouwelijke informatie verwerken.
Redactie van metagegevens: de laag die vaak over het hoofd wordt gezien
Zelfs als zichtbare tekst correct is geredigeerd, kan een PDF nog steeds gevoelige informatie lekken via de metagegevens. PDF-metagegevens omvatten de documenttitel, de naam van de auteur, de aanmaakdatum, de wijzigingsgeschiedenis en soms de namen van mensen die het document hebben beoordeeld of ondertekend. Formaatconversietools behouden doorgaans metadata waar mogelijk, zodat geredigeerde metadata de conversie net zo zeker overleven als de beoogde documentinhoud.
Een onderzoek uit 2025 door het SANS Institute analyseerde 500 openbaar beschikbare geredigeerde pdf's van overheidswebsites en ontdekte dat 12% gevoelige informatie bevatte in metagegevensvelden die niet waren opgeschoond (SANS Institute, "Hidden Data in Publicly Released Documents", 2025). In verschillende gevallen kan naar de geredigeerde informatie in de hoofdtekst van het document worden verwezen en bevestigd met behulp van niet-geredigeerde metagegevens. Het opschonen van metagegevens vóór publicatie is net zo belangrijk als het redigeren van zichtbare inhoud.
Hetzelfde verificatieproces moet worden toegepast op elk document dat een conversie ondergaat, ongeacht hoe de conversie wordt uitgevoerd. Als uw workflow een geautomatiseerde conversiestap bevat, bouw dan een redactieverificatiecontrole in die automatisering in plaats van te vertrouwen op handmatige steekproeven. Een script dat de geconverteerde uitvoer doorzoekt op bekende geredigeerde termen, kan fouten opsporen die bij handmatige beoordeling mogelijk over het hoofd worden gezien.
Door redactieverificatie op te nemen in uw standaardcontrolelijst voor documentcontrole, zorgt u ervoor dat deze cruciale beveiligingsstap nooit wordt overgeslagen.