Что такое GlobaLeaks

GlobaLeaks — это основа с открытым исходным кодом для создания каналов анонимных сообщений о нарушениях и передачи информации.

Его могут использовать не только редакции, но и НКО, компании, государственные учреждения, службы аудита и комплаенса и другие организации. Он рассматривается здесь потому, что позволяет удобнее вести прием внутренних сообщений о нарушениях и сообщений в общественных интересах как постоянный канал с управлением ответственными лицами и ответами, а не как одноразовую форму отправки.

URL : https://globaleaks.org/

В этой статье GlobaLeaks не сводится к выражению "безопасная форма сообщения"; он рассматривается и со стороны пользователей, и со стороны операторов.

Основы GlobaLeaks

GlobaLeaks — это механизм, с помощью которого заявители или люди, передающие сведения, получают доступ к каналу и отправляют сообщения или материалы.

Принимающая сторона проверяет содержание сообщения и проектирует порядок работы ответственных лиц и ведения случаев. Он может использоваться как основа, когда организация создает систему внутренних сообщений или канал сообщений в общественных интересах.

GlobaLeaks — это инструмент для создания процесса приема сообщений.

Важно, как организация-оператор его настраивает и как с ним обращается.

Здесь важно, что GlobaLeaks не является системой, которая автоматически доводит анонимность до завершенного состояния. Это основа для настройки механизма приема сообщений, а фактическая безопасность зависит от эксплуатации. Кто им управляет, кто может читать сообщения, как обрабатываются журналы и как отправляются ответы заявителям — все это важно.

Со стороны заявителя доступ с рабочего устройства или через рабочую сеть тоже оставляет другие следы. Даже если канал учитывает анонимность, он не защищает автоматически среду пользователя.

Отличия от SecureDrop

SecureDrop часто обсуждают как канал передачи информации для редакций, а GlobaLeaks чаще используют в контексте приема сообщений и организационных каналов.

Речь не о том, какой инструмент всегда лучше.

Выбор зависит от цели и операционной структуры.

SecureDrop также рассматривается в другой статье в контексте передачи информации редакциям и защиты источников. GlobaLeaks также используют, когда компании, организации и государственные учреждения создают процесс приема сообщений. Поэтому при сравнении нужно смотреть не только на названия функций, но и на операторов и цель.

Если вы на стороне пользователя, проверьте, кто управляет каналом. Если вы на стороне внедрения, проектируйте не только техническое развертывание, но и эксплуатацию, защищающую заявителей.

Предосторожности для заявителей

Даже при использовании канала GlobaLeaks предосторожности со стороны заявителя остаются.

Если использовать рабочее устройство, аккаунт с настоящим именем, рабочую сеть или файл с метаданными, личность может быть установлена по другому пути.

Даже если канал учитывает анонимность, он не защищает автоматически среду заявителя.

Содержание сообщения тоже важно. Даже если не писать имя, круг кандидатов сужается по тому, какие материалы вы видели, о каких совещаниях знаете и в какое время отправили сообщение. Если в материалах остаются сведения об авторе, название организации, история изменений, номера документов или водяные знаки, источник становится виден отдельно от маршрута отправки.

Перед сообщением нужно проверить текст, вложенные файлы, среду отправки и время отправки. При высокорисковых внутренних сообщениях не следует принимать решение только по статьям; стоит рассмотреть надежный консультационный контакт.

Ответственность операторов

Сторона, устанавливающая GlobaLeaks, несет серьезную ответственность.

Объяснять заявителям, что записывается. Ограничивать круг тех, кто может просматривать сообщения. Безопасно обращаться с материалами. Не устанавливать личность заявителей неосторожно. Не допускать утечки информации при обработке после сообщения, если она может привести к преследованию.

Анонимный канал сообщений не становится осмысленным только потому, что он установлен.

Если эксплуатация небрежна, она подвергает заявителей опасности.

Операторы готовят объяснения, понятные заявителям. Какая информация записывается? Кто может читать сообщения? Как отправляются ответы? Как обрабатываются метаданные вложенных файлов? Какие процедуры применяются для предотвращения преследования?

Также нужна схема, при которой ответственные лица не пытаются неосторожно установить личность заявителя. Если в ходе проверки сообщения информация слишком широко распространяется внутри организации, заявитель попадет под подозрение. Техническую основу и операционные правила нужно рассматривать вместе.

Что проверить перед внедрением

Сторона, внедряющая GlobaLeaks, определяет эксплуатацию до установки.

Даже после внедрения нужно продолжать обучение ответственных лиц, управление правами, аудит и объяснения для заявителей. Канал сообщений не заканчивается в момент создания.

Пересмотр канала

Такие каналы сообщений, как GlobaLeaks, пересматривают в процессе эксплуатации. Не стало ли ответственных лиц слишком много? Не остались ли старые аккаунты? Не слишком ли трудны для понимания объяснения для заявителей? Включена ли в эксплуатацию проверка метаданных вложенных файлов? Не подвергают ли ответы заявителей опасности?

В анонимных каналах сообщений различие сильнее определяется постоянной эксплуатацией, чем технологией. Регулярно проверяйте права, журналы, тексты объяснений, управление материалами и процедуры реагирования.

Итоги

GlobaLeaks — это основа с открытым исходным кодом для создания каналов анонимных сообщений о нарушениях и передачи информации.

Если вы рассматриваете GlobaLeaks, проверьте на официальном сайте сведения о внедрении, эксплуатации, процессах приема сообщений и информации для администраторов.

URL : https://globaleaks.org/

Он может использоваться для внутренних сообщений, сообщений в общественных интересах и организационных процессов передачи информации.

Однако использование GlobaLeaks не делает ситуацию автоматически безопасной.

Устройство, сеть, метаданные файлов, содержание сообщения и время отправки со стороны заявителя требуют отдельной осторожности.

Операторы также должны тщательно проектировать права доступа, политику журналирования, управление материалами и способы ответа.

Связанные инструменты

Связанные статьи