Elke browsergebaseerde PDF-tool die bestanden op de server verwerkt, slaat uw document tijdelijk op in zijn infrastructuur. De vraag is niet of het bestand een server raakt. Het is wat er gebeurt tussen het moment dat het uploaden is voltooid en het moment dat het bestand wordt verwijderd. Een betrouwbare tool minimaliseert dat venster, codeert het bestand in rust, beperkt de toegang van medewerkers en verwijdert het bestand automatisch. Een onbetrouwbare persoon beschouwt uw geüploade documenten als een bron die moet worden gedolven.
Vertrouwen is niet binair. Het is een reeks specifieke, verifieerbare beweringen over de manier waarop met gegevens wordt omgegaan.
Het evalueren van de betrouwbaarheid van een PDF-tool betekent dat u de beveiligingsarchitectuur, het privacybeleid, de certificeringen voor gegevensverwerking en auditrapporten van derden onderzoekt. Het PDF Security-framework van WukongPDF geeft prioriteit aan de bescherming van gebruikersgegevens, en als u begrijpt waar u op moet letten bij de beveiliging van welke tool dan ook, kunt u beslissen welke documenten u veilig kunt verwerken via welke services. PDF Delen via vertrouwde kanalen begint met het vertrouwen van het kanaal zelf.
De minimale beveiligingsbasislijn voor elk PDF-hulpmiddel
Elke PDF-tool die geüploade bestanden verwerkt, moet voldoen aan een basislijn waarover niet kan worden onderhandeld. Bestanden moeten tijdens de verzending worden gecodeerd met TLS 1.2 of hoger, dezelfde codering die online bankieren beschermt. Bestanden die op de server in rust zijn, moeten worden gecodeerd met AES-256 of gelijkwaardig. De dienst moet een publiekelijk vastgelegd beleid voor het bewaren van gegevens hebben met specifieke termijnen, en geen vage taal. En het bedrijf moet beschikken over een proces om te reageren op beveiligingskwetsbaarheden, doorgaans aangetoond door een e-mail voor beveiligingscontacten of een bugbountyprogramma.
Een tool die een van deze elementen mist, is niet noodzakelijk kwaadaardig. Het kan eenvoudigweg een product in een vroeg stadium zijn dat niet heeft geïnvesteerd in de beveiligingsinfrastructuur. De vraag is of u zich op uw gemak voelt als de persoon die dat ontdekt door uw documenten openbaar te maken. Voor niet-gevoelige documenten kan een tool in een vroeg stadium zonder alle beveiligingstoeters en bellen een acceptabel risico zijn. Voor elk document dat persoonlijke gegevens, financiële informatie of vertrouwelijke zakelijke inhoud bevat, moet u zich houden aan diensten die aan de volledige basislijn voldoen.
Encryptie in rust: waartegen het feitelijk beschermt
Encryptie in rust betekent dat het bestand in gecodeerde vorm op de harde schijf van de server wordt opgeslagen. Als iemand de server fysiek steelt, het datacenter uitloopt met een harde schijf onder de arm, of een buiten gebruik gestelde schijf op ongepaste wijze weggooit zonder deze te wissen, zijn de gecodeerde gegevens onleesbaar. Deze bescherming is van belang voor de gegevensbeveiliging op de lange termijn, maar is niet de meest relevante bedreiging voor de meeste gebruikers van PDF-tools.
De relevantere dreiging is ongeoorloofde toegang tot de draaiende server door een aanvaller die misbruik maakt van een softwarekwetsbaarheid, of door een kwaadwillende insider met legitieme serverreferenties. Encryptie in rust biedt geen bescherming tegen deze bedreigingen, omdat de server bestanden in het geheugen decodeert om ze te verwerken. De aanvaller die toegang heeft tot de draaiende server ziet het gedecodeerde bestand in het geheugen. Bescherming tegen deze bedreigingen vereist toegangscontroles, auditregistratie en inbraakdetectie; beveiligingsmaatregelen die moeilijker te verifiëren zijn van buiten het bedrijf. Beveiligingscertificeringen van derden, zoals SOC 2, bieden onafhankelijke verificatie dat deze controles bestaan en regelmatig worden getest.
Audits en certificeringen van derden die er toe doen
SOC 2 Type II-certificering betekent dat een onafhankelijke auditor heeft geverifieerd dat de beveiligingscontroles van het bedrijf goed zijn ontworpen en in de loop van de tijd effectief werken. De Type II-aanduiding is belangrijk: Type I verifieert dat de controles op een bepaald moment bestaan. Type II verifieert dat ze continu hebben gewerkt gedurende een monitoringperiode, doorgaans 6-12 maanden. De ISO 27001-certificering geeft aan dat het bedrijf een uitgebreid managementsysteem voor informatiebeveiliging hanteert. Voor beide certificeringen zijn jaarlijkse verlengingsaudits vereist.
Het ontbreken van deze certificeringen betekent niet dat een bedrijf onzeker is. Het certificeringsproces kost tienduizenden dollars en duurt maanden, wat vaak onbetaalbaar is voor startups en kleine bedrijven. Een klein bedrijf voor PDF-tools kan uitstekende beveiligingspraktijken hebben gedocumenteerd op een transparante beveiligingspagina zonder formele certificering. Lees hun veiligheidsdocumentatie alsof de bewijslast op hen rust. Een gedetailleerde, specifieke beveiligingspagina over encryptie, toegangscontrole, retentie en reactie op incidenten is betrouwbaarder dan een algemeen privacybeleid en een ISO-badge. Specificiteit geeft aan dat iemand binnen het bedrijf goed heeft nagedacht over de beveiliging. Vage taal geeft aan dat beveiliging een vakje is dat moet worden gecontroleerd, en niet een praktijk die moet worden geïmplementeerd.
| Beveiligingselement | Waar u op moet letten | Rode Vlag |
|---|---|---|
| Transit-encryptie | TLS 1.2 of 1.3, HTTPS afgedwongen | HTTP beschikbaar, waarschuwingen voor gemengde inhoud |
| Versleuteling in rust | AES-256, vermeld in beveiligingsdocumenten | Niet vermeld in beleid of documentatie |
| Gegevensretentie | Specifieke uren (1-24), automatisch verwijderen | Onbepaald, indien nodig of niet gespecificeerd |
| Toegangscontrole | Er is geen werknemerstoegang tot de bestandsinhoud vermeld | Kan toegang krijgen voor serviceverbetering of iets dergelijks |
| Audit door derden | SOC 2 Type II, ISO 27001 | Geen certificeringen en geen gedetailleerde beveiligingspagina |
Verwerking aan de clientzijde: het betrouwbare alternatief
Verschillende browsergebaseerde PDF-tools verwerken bestanden nu volledig in de browser met behulp van WebAssembly, zonder het bestand ooit naar een server te sturen. De PDF-verwerkingsbibliotheek wordt gecompileerd naar WebAssembly en draait in de JavaScript-sandbox van de browser. Het bestand wordt in het browsergeheugen gelezen, lokaal verwerkt en de uitvoer wordt rechtstreeks naar schijf geschreven. Geen enkele server ziet het bestand ooit. Deze architectuur elimineert de vertrouwensvraag volledig omdat er geen opslag op de server is die u kunt vertrouwen of wantrouwen.
Verwerking aan de clientzijde kent beperkingen. Het is langzamer dan verwerking aan de serverzijde, omdat de browseromgeving minder geoptimaliseerd is dan een native applicatie. Het geheugen is beperkt tot wat het browsertabblad kan toewijzen, doorgaans 1-2 GB, wat de maximale bestandsgrootte beperkt. En de beschikbare bewerkingen worden beperkt door wat door WebAssembly gecompileerde PDF-bibliotheken kunnen doen. Voor routinematige bewerkingen op bestanden van minder dan 100 MB biedt verwerking aan de clientzijde maximale privacy met acceptabele prestaties. Voor grote bestanden of complexe bewerkingen is verwerking op de server met een betrouwbare provider de praktische keuze.
Wat u moet doen als u het vertrouwen niet kunt verifiëren
Voor elke PDF die informatie bevat die u niet op de voorpagina van een krant wilt hebben, upload deze niet naar een tool waarvan u de beveiligingspraktijken niet kunt verifiëren. Gebruik een desktop PDF-tool die bestanden lokaal verwerkt. Het kleine ongemak van het installeren en starten van een desktopapplicatie is de prijs van de zekerheid dat uw gegevens op uw computer blijven staan. Desktoptools hebben hun eigen beveiligingsoverwegingen, vooral als het gaat om mechanismen voor automatische updates en telemetrie, maar de belangrijkste PDF-inhoud verlaat nooit uw apparaat.
Voor routinematig, niet-gevoelig PDF-werk is een niet-geverifieerde tool met een redelijk klinkend privacybeleid waarschijnlijk prima. De economische prikkels voor een PDF-toolbedrijf om individuele gebruikersdocumenten te minen zijn zwak: de gegevens zijn ongestructureerd, de inhoud is heterogeen en de reputatieschade als ze worden betrapt, is veel groter dan de waarde die uit de gegevens kan worden gehaald. Het risico is niet dat het bedrijf actief kwaadaardig is. Het is dat ze nalatig zijn, bestanden opslaan in een onbeveiligde S3-bucket of ze loggen op een niet-gecontroleerde server, en bij een inbreuk worden documenten blootgelegd die ze niet hoefden te bewaren. Het aandringen op korte bewaartermijnen en automatische verwijdering beschermt zowel tegen nalatigheid als tegen kwaadwilligheid.