Установка пароля на PDF-файл или пометка его как конфиденциального в свойствах документа являются действиями с заявленным намерением. Вы сообщаете файлу и всем, кто с ним работает, что этот документ не является общедоступным. Что происходит, когда вы загружаете этот защищенный паролем файл в PDF-инструмент для обработки? Инструмент должен расшифровать файл для работы с ним. Вопрос в том, соблюдает ли инструмент намерение конфиденциальности, которое вы заложили в файл, или рассматривает его как просто еще одну полезную нагрузку данных.
Настройки конфиденциальности имеют значение только в том случае, если используемые вами инструменты их соблюдают. Проверка — единственный способ узнать.
Чтобы проверить, действительно ли инструмент PDF Security соблюдает ваши настройки конфиденциальности, необходимо протестировать его поведение с защищенными файлами, прочитать документацию по обработке данных на соответствие определенным критериям и проверить его заявления об удалении после завершения обработки. PDF Tools WukongPDF построен с настройками по умолчанию, обеспечивающими конфиденциальность, и приведенная ниже структура применима к любому инструменту, который вы оцениваете.
Какие настройки конфиденциальности PDF на самом деле защищают
PDF-файлы, защищенные паролем, при хранении шифруются с использованием AES, если защита применяется правильно. Без пароля никто не откроет файл и не просматривает его содержимое. Эта защита отлично работает, пока файл находится на жестком диске или в облачном хранилище. Он перестает работать в тот момент, когда вы даете инструменту пароль для обработки. Инструмент должен расшифровать содержимое в память, чтобы выполнить любую операцию: сжатие, преобразование, распознавание текста, слияние.
Во время обработки файл существует в расшифрованном виде в памяти инструмента. Настройки конфиденциальности не переносятся вместе с расшифрованным контентом. После расшифровки инструмент получает полный доступ к незащищенному документу. Что он делает с этим доступом, как долго он сохраняет расшифрованные данные, записывает ли он какой-либо контент, полностью зависит от реализации и политики инструмента. Пароль защищает файл перед обработкой. Во время и после этого поведение инструмента определяет, будут ли соблюдены или обойдены ваши намерения конфиденциальности.
Проверка того, как инструмент обрабатывает PDF-файлы, защищенные паролем
Создайте тестовый PDF-файл с уникальным содержанием, уникальным предложением или конкретным номером, который вы сможете найти позже. Защитите его известным паролем. Загрузите и обработайте его с помощью инструмента с этим паролем. Загрузите вывод, подтвердите правильность. Через неделю попытайтесь обработать тот же файл без пароля. Инструмент должен снова запросить пароль, что является правильным поведением, указывающим, что он не сохранил расшифрованный контент или сам пароль.
Этот канареечный тест показывает поведение удержания. Инструмент, который хранил пароль вместе с файлом или кэшировал расшифрованный контент отдельно, устраняет защиту, которую должен был обеспечить пароль. Уникальный контент, встроенный в тестовый файл, служит маркером: если вы когда-нибудь обнаружите этот контент в несанкционированном контексте, вы точно будете знать, какой инструмент и когда его слил.
Чтение документации по конфиденциальности для принятия значимых обязательств
В политиках конфиденциальности используются конкретные формулировки, чтобы взять на себя конкретные обязательства или избежать их. Политика, запрещающая нам доступ к содержимому вашего файла, представляет собой конкретное и фальсифицируемое заявление. Политика, утверждающая, что мы уважаем вашу конфиденциальность, ничего не дает. Первое можно проверить. Второе — маркетинг. Ищите конкретную формулировку: где хранятся файлы, кто может получить к ним доступ, как долго они хранятся, служат ли они какой-либо цели, помимо запрошенной вами услуги.
Пробелы в политике говорят так же громко, как и ее заявления. Если доступ сотрудников к содержимому файла никогда не упоминается, политика не запрещает это. Если срок хранения не указан, файлы могут сохраняться неопределенно долго. Читайте то, что опускает политика, так же внимательно, как и то, что в ней говорится. Вопросы без ответов определяют области риска. Тщательная политика отвечает на каждый вопрос, который может задать разумный пользователь.
| Язык политики | Что это на самом деле означает | Уровень доверия |
|---|---|---|
| Файлы удалены в течение 24 часов после обработки. | Конкретные, измеримые и проверяемые обязательства | Высокий |
| Мы не получаем доступ, не передаем и не сохраняем ваши файлы | Четкий запрет на использование данных за пределами сервиса | Высокий |
| Файлы могут быть сохранены для улучшения наших услуг. | Ваши данные могут быть использованы для обучения или аналитики ML. | Низкий |
| Мы серьезно относимся к вашей конфиденциальности | Маркетинговый язык без конкретных обязательств | Низкий |
| Нет заявления о доступе сотрудников | Доступ сотрудников не запрещен политикой | Предполагайте худшее |
Проверка заявок на удаление после обработки
Заявление об удалении в течение 24 часов должно быть проверяемым. Обработайте тестовый файл, запишите точное время и через 25 часов попытайтесь получить к нему доступ через интерфейс инструмента или обратившись в службу поддержки по поводу этого конкретного файла. Если доступно, значит, заявка на удаление является ложной или период хранения длиннее заявленного. Если его нет, заявление остается в силе для этого теста. Повторите тест несколько раз в течение нескольких недель.
Нагрузка сервера, окна обслуживания и циклы резервного копирования влияют на фактическое время удаления. Одно прохождение теста обнадеживает. Последовательное прохождение тестов при нескольких попытках является свидетельством надежного процесса удаления. Случайный сбой предполагает удаление с максимальной эффективностью, а не гарантированное удаление. Для конфиденциальных документов приемлемую гарантию дает только гарантированное удаление, подтвержденное повторным тестированием. Когда ставки высоки, усилий недостаточно.
Обработка на стороне клиента как окончательная проверка конфиденциальности
Инструменты, обрабатывающие файлы полностью в браузере с помощью WebAssembly, полностью устраняют вопрос доверия. Файл никогда не покидает компьютер. Шифрование не имеет значения, поскольку файл никогда не передается. Удаление не имеет значения, поскольку серверная копия не существует. Проверка конфиденциальности сводится к одной проверке: содержит ли какой-либо сетевой запрос при обработке данные файла?
Перед обработкой откройте вкладку «Сеть» инструментов разработчика браузера. Следите за запросами. Данные файлов в сетевых запросах означают, что инструмент не является полностью клиентским. Отсутствие файловых данных ни в одном запросе означает, что обработка действительно локальная. Эта 30-секундная проверка предоставляет убедительные архитектурные доказательства. Вкладка Сеть не врет. Политика конфиденциальности иногда это делает.
Что делать, если инструмент не проходит проверку конфиденциальности
Неудачная проверка — это информация, требующая принятия мер. Теперь вы знаете, что конфиденциальные документы следует хранить подальше от этого инструмента. Продолжайте использовать его для нечувствительных работ, если в остальном инструмент работает хорошо. Документируйте разделение: этот инструмент для общедоступных документов и рутинной обработки, тот инструмент, который прошел проверку, для всего, что содержит конфиденциальную информацию.
Рассмотрите возможность сообщить о несоответствии, если заявления инструмента о конфиденциальности были явными, а ваше тестирование им противоречит. Инструмент, который обещает удаление в течение 24 часов, но сохраняет файлы в течение недели, заставляет каждого пользователя принимать решения о конфиденциальности на ложных основаниях. Краткое электронное письмо контактному лицу по вопросам конфиденциальности с описанием результатов тестирования дает компании возможность исправить поведение или скорректировать маркетинг. Любой результат принесет пользу будущим пользователям, которые в противном случае доверяли бы неточным утверждениям.