Чек-лист перед публикацией для тех, кто сообщает о нарушениях

Информаторы

Чек-лист перед публикацией для тех, кто сообщает о нарушениях

Чек-лист перед публикацией: для тех, кто сообщает о нарушениях

Перед публикацией, связанной с сообщением о нарушениях, нужно проверить много вещей.

Содержание материалов, метаданные файлов, облачную историю, следы печати и сканирования, получателя сообщения, юридические риски, поведение после публикации. Один пропущенный пункт может привести обратно к человеку, который сообщил о нарушениях, или к людям вокруг него.

Этот чек-лист нужен, чтобы не действовать на порыве прямо перед отправкой или публикацией.

Это не юридическая консультация. Если риск высок, сначала рассмотрите возможность обратиться к надежным специалистам или в консультационные организации.

Проверить модель угроз

Сначала проверьте, от кого и что нужно защищать.

Пункт проверки	Зачем смотреть
Кто может пытаться установить личность	Предположить начальника, ИТ-службу, юридический отдел, аудит, внешнюю расследовательскую компанию и т. п.
Что защищать	Разделить имя, доступ к материалам, факт контакта и хронологию
Какие журналы остаются	Смотреть файлы, устройства, облако, печать, входы и выходы
Сколько есть возможных людей	Проверить, не сужает ли содержание круг только до вас
Есть ли с кем посоветоваться	Не действовать в одиночку при высоком риске

Отправлять при неясной модели угроз опасно.

При сообщении о нарушениях сторона, которая может установить личность, располагает внутренней информацией. Даже сведения, непонятные внешнему читателю, могут быть понятны организации. Кто мог видеть материалы, кто был на этом совещании, кто пользовался устройством в это время, эта сторона иногда может проверить по журналам.

Поэтому в модели угроз смотрят не только на то, "узнают ли обычные люди". Нужно думать, что могут видеть администраторы организации, начальники, юридический отдел, аудит, информационные системы и внешние расследовательские компании.

Проверить материалы

Затем проверьте материалы, которые собираетесь передать.

Смотрите не только текст, но и имя файла, автора, название организации, номер версии, комментарии, историю изменений, водяной знак и номер документа.

Пункт проверки	Зачем смотреть
Имя файла	Нет ли настоящего имени, отдела или названия дела
Сведения об авторе	Не осталось ли реального имени или внутреннего аккаунта
История изменений	Не остались ли редакторы, комментарии или прошлые версии
Номер документа и версия	Не сужают ли они круг получателей или доступ
Специфические сведения в тексте	Не слишком ли ясно, кто знает эту информацию

Обработка материалов может повлиять на доказательную ценность.

Если сомневаетесь, уточните у получателя сообщения или у специалистов.

Материалы проверяют и по содержанию, и по файловой информации. Даже если убрать имена из текста, происхождение может быть видно по сведениям об авторе, комментариям, истории изменений, номеру документа, водяному знаку или списку рассылки. Преобразование в PDF не обязательно делает файл безопасным.

Само содержание тоже является признаком. Совещание с малым числом участников, материалы с ограниченной рассылкой, экран конкретной системы, фотографии, которые можно было сделать только на месте, показывают, кто мог знать. Для публикации детали, ведущие обратно к человеку, который сообщает о нарушениях, корректируют, сохраняя ядро фактов.

Проверить облако и устройства

Проверьте и места, где вы работали с материалами.

Посмотрите, не осталось ли следов в рабочем облаке, внутренних устройствах, рабочем Wi-Fi, личном облаке, папках синхронизации и резервных копиях.

Пункт проверки	Зачем смотреть
Рабочее устройство	Есть журналы действий или управляющее ПО
Внутренняя сеть	Остаются адреса подключения и время связи
Облачная история	Просмотр, общий доступ и скачивание записываются
Синхронизация файлов	Копии остаются в личном облаке или на устройствах
Печать и сканирование	Остаются журналы устройств или сведения о съемке

При сообщении о нарушениях проблемой могут стать действия, совершенные до отправки.

Перед отправкой материалов вспомните, где вы к ним прикасались. Открывали ли их на рабочем устройстве? Скачивали ли из рабочего облака? Печатали ли? Фотографировали ли смартфоном? Переносили ли в личное облако?

Эта проверка нужна не для того, чтобы полностью стереть прошлые действия. Она нужна, чтобы понять, откуда после публикации может возникнуть подозрение, и скорректировать публикуемое содержание или получателя сообщения.

Проверить получателя сообщения

Получатель сообщения тесно связан с анонимностью и безопасностью.

Пункт проверки	Зачем смотреть
Кто управляет	Кто администрирует канал приема
Права доступа	Кто может читать материалы
Политика журналов	Как обрабатываются IP, время и вложения
Способ ответа	Не добавляет ли дальнейшая связь новые следы
Юридическая защита	Проверить связь с защищенными сообщениями о нарушениях и обязанностями конфиденциальности

Наличие анонимной формы само по себе не означает безопасность.

Проверьте, кто ее обслуживает.

В зависимости от получателя меняются объем и пределы защиты. Редакции, юристы, каналы для защищенных сообщений о нарушениях, внутренние каналы и НКО отличаются тем, какие материалы они могут обрабатывать, как устроена конфиденциальность, как отвечают и какие журналы ведут. При сообщении о нарушениях выбор получателя является центральной частью управления риском.

Проверьте также, можно ли сначала обсудить только краткое содержание, не отправляя все сразу. Если требуется проверка личности, уточните цель, срок хранения и круг тех, кто сможет смотреть данные.

Проверить поведение после публикации

После отправки и после публикации риск продолжается.

Чрезмерная реакция на происходящее внутри организации, намеки в соцсетях, разговоры с коллегами, спешная отправка дополнительных сведений становятся материалом для корреляции.

Поведение после публикации	На что обратить внимание
Проверка ответов	Не заходить много раз из той же среды
Дополнительная отправка	Не увеличивать новые метаданные и временные корреляции
Реакция на работе	Не вызывать подозрение неестественным поведением
Посты в соцсетях	Не намекать, что вы связаны с ситуацией
Продолжение консультации	Поддерживать безопасный канал связи

Сообщение о нарушениях не заканчивается в момент отправки.

Планируйте и поведение после публикации.

После публикации внутри организации возникают реакции. Если в этот момент резко изменить поведение, связаться с причастными людьми, намекать в соцсетях или спешно отправлять дополнительные сведения, корреляций станет больше. Поведение после публикации тоже могут видеть те, кто ищет человека, сообщившего о нарушениях.

Критерии для последней остановки

Если проверка показывает высокий риск, остановитесь. Кандидат только вы. Источник материалов слишком узкий. Неясно, как управляется получатель. Юридический риск не понятен. Могут пострадать семья или коллеги.

Причина остановиться	Что подумать дальше
Слишком узкий круг людей	Можно ли скорректировать содержание или время
Материалы опасны	Можно ли разделить копию для публикации и копию для консультации
Получатель неясен	Найти другого консультирующего адресата
Юридический риск неясен	Обратиться к специалистам
Есть влияние на окружающих	Подумать, как снизить вовлечение других

Остановиться не значит потерпеть неудачу. При сообщении о нарушениях отсутствие спешки иногда повышает безопасность.

Если после чек-листа остаются неизвестные пункты, считайте их "непроверенными". Нельзя двигаться дальше на основании "наверное, нормально". Выберите одно: проверить, сократить информацию, сменить получателя, проконсультироваться, отложить отправку. Отправка, по которой остаются сомнения, должна быть остановлена до публикации.

Итоги

В чек-листе перед публикацией для тех, кто сообщает о нарушениях, проверяют модель угроз, материалы, облачную историю, устройства, получателя сообщения и поведение после публикации.

Признаками становятся не только текст, но и сведения об авторе, история изменений, номер документа, версия, журналы печати и облачная история.

Надежность получателя сообщения тоже важна.

Проверьте, кто управляет каналом, что записывается и кто может читать.

Если много пунктов вызывают сомнения, остановитесь перед отправкой. При высокорисковом сообщении о нарушениях спешка иногда становится самой большой ошибкой.