Ashio whistleblowing software

Oct 5, 2026

Kā patiesībā darbojas anonīmas ziņošanas kanāls: tehniskā puse, ko darba devējs reti redz

Kā patiesībā darbojas anonīmas ziņošanas kanāls: tehniskā puse, ko darba devējs reti redz

Daudzi darba devēji domā, ka anonīma ziņošana nozīmē "bez vārda" — vienkārši izdzēšam autora lauku un viss kārtībā. Patiesībā aiz katra droša kanāla stāv konkrētas tehniskas izvēles, kas nosaka, vai ziņotājs patiešām ir pasargāts un vai jūs varat to pierādīt auditoram. Ja esat HR vadītājs vai atbilstības speciālists Latvijā un pirmo reizi izvēlaties trauksmes celšanas rīku, šī rokasgrāmata parādīs, kā darbojas anonīmas ziņošanas kanāls — soli pa solim, sākot no ziņotāja pārlūkprogrammas līdz jūsu izmeklēšanas darbvirsmai.

Saturs

Galvenās atziņas

  • Anonīma ziņošana darbavietā atšķiras no konfidenciālas: pirmā neļauj uzzināt ziņotāja identitāti pat ar tehniskiem līdzekļiem, otra — tikai sola to neatklāt.
  • IP adreses, sīkfaili un pārlūka pirkstu nospiedumi ir galvenie ienaidnieki — ja vien tie netiek apzināti bloķēti ziņošanas lapā, ziņotājs nav patiesi anonīms.
  • Šifrēšana no gala līdz galam nozīmē, ka ziņojuma saturu var atšifrēt tikai ziņotāja un izmeklētāja ierīces, nevis pakalpojuma sniedzēja serveri.
  • Divvirzienu saziņa notiek, izmantojot vienreizēju saiti, kas pieder tikai ziņotājam — tāpēc pat atbildes uzdod ziņojuma autoram, neatklājot viņa identitāti.
  • Balss ievade, kas tiek pārrakstīta ierīcē un netiek saglabāta kā audio, var būt drošāka izvēle ziņotājiem, kuri uztraucas par teksta pēdām.
  • Audita žurnāls ar automātisku 7 dienu apstiprinājuma un 3 mēnešu atsauksmju termiņu fiksēšanu ir tas, kas ļauj atbildēt uz revīzijas jautājumu "vai jūs rīkojāties saskaņā ar likumu".

Kas īsti ir anonīma ziņošana un kā tā atšķiras no konfidenciālas

Anonīma ziņošana nozīmē, ka ziņotāja identitāte tehniski nav zināma ne saņēmējam, ne pakalpojuma sniedzējam — pat ja kāds mēģinātu to atklāt. Konfidenciāla ziņošana, savukārt, nozīmē tikai solījumu, ka identitāte netiks izpausta; pati sistēma to joprojām zina un var to izpaust pēc pieprasījuma. Šī atšķirība ir izšķiroša, izvēloties rīku, jo no tā atkarīgs, cik liela uzticība pastāv starp darbiniekiem un vadību.

Latvijas kontekstā anonimitāte kļūst īpaši svarīga pēc Trauksmes celšanas likuma spēkā stāšanās, kas īsteno ES direktīvu 2019/1937. Likums piešķir ziņotājiem tiesības uz anonimitātes aizsardzību, un darba devējam ir pienākums šo aizsardzību nodrošināt ar tehniskiem līdzekļiem. Ja jūsu rīks "anonīmi" tikai noņem vārda lauku, bet aiz muguras fiksē IP adresi, jūs pārkāpjat likuma burtu un garu.

Praksē anonīma sistēma no konfidenciālas atšķiras trīs vietās: datu vākšanā (piemēram, žurnālfailu politika), piekļuves arhitektūrā (vai serveris spēj redzēt saturu) un ziņotāja mijiedarbībā (vai pārlūkprogramma atstāj pēdas). Ja vismaz viena no šīm trim vietām nav droša, sistēma patiesībā ir tikai konfidenciāla, nevis anonīma — un jūsu darbinieki to agrāk vai vēlāk sajutīs.

Kāpēc "anonīms" bieži nozīmē tikai "konfidenciāls" daudzās kompānijās

Daudzas organizācijas izmanto e-pasta adresi vai izklājlapu, uzskatot to par "anonīmu kanālu". Patiesībā e-pasts pēc savas būtības nav anonīms — tas satur sūtītāja adresi, IP nospiedumu un laika zīmogu. Izklājlapa, savukārt, parasti tiek aizpildīta no iekšējā tīkla, kur administrators redz darbinieka kontu. Šādi "kanāli" faktiski ir konfidenciāli — un tieši tāpēc darbinieki tiem neuzticas.

Kāpēc IP adrese, sīkfaili un pārlūka pirkstu nospiedumi ir galvenais ienaidnieks

Kad ziņotājs atver ziņošanas lapu, viņa pārlūkprogramma pēc noklusējuma atklāj vairāk nekā viņš domā. IP adrese identificē tīklu un aptuveno atrašanās vietu; sīkfaili ļauj izsekot, vai šī pati pārlūkprogramma ir iepriekš apmeklējusi citus jūsu uzņēmuma resursus; pārlūka pirkstu nospiedumi apvieno informāciju par ekrāna izmēru, fontiem, laika joslu un spraudņiem, lai izveidotu unikālu "otrakārtēju" identifikatoru. Kopā tie ļauj identificēt ziņotāju pat bez vārda lauka.

Labi veidota anonīma ziņošanas lapa šos trīs elementus aktīvi bloķē. Pirmkārt, servera pusē ir jābūt konfigurētai tā, lai IP adrese netiktu saglabāta žurnālos vai tiktu uzreiz dzēsta pēc pieprasījuma apstrādes. Otrkārt, lapā nedrīkst būt nekādu sīkfailu — ne analītikas, ne sesiju, ne trešo pušu izsekotāju. Treškārt, pirkstu nospiedumu apkarošana prasa vai nu pārlūka paplašinājuma lietošanu, vai arī tādas tehnoloģijas kā Tor Browser atbalstu.

Ja vēlaties redzēt, kā šāda lapa izskatās praksē, varat pārbaudīt, vai ziņošanas rīka publiskais piemērs neizmanto Google Analytics, neveic nekādu sīkfailu saglabāšanu un neatgriež IP adresi servera žurnālos. Šī ir vienkārša pārbaude, ko var veikt pāris minūtēs, izmantojot pārlūka izstrādātāja rīkus. Vairāk par šo mehānismu lasiet mūsu drošības lapā.

Praksē IP adrešu bloķēšana ir visvienkāršākā — pietiekami to neatspoguļot lietojumprogrammas žurnālos. Sīkfailu bloķēšana prasa vairāk darba, jo reklāmu un analītikas moduļi bieži vien tiek pievienoti aizmuguriski. Pirkstu nospiedumu apkarošana ir tehniski visgrūtākā, un tieši šeit atšķiras nopietni anonīmi risinājumi no vienkāršiem.

Kā ziņojums tiek šifrēts, pirms tas sasniedz serveri

Šifrēšana no gala līdz galam ir tehnisks lēmums, kas nosaka, kam pieder atslēga. Vienkāršā HTTPS šifrēšana aizsargā ziņojumu tikai pārvades laikā — serveris to saņem atšifrētā veidā un var to lasīt, glabāt un analizēt. Savukārt šifrēšana no gala līdz galam nozīmē, ka ziņojums tiek šifrēts ziņotāja ierīcē, izmantojot atslēgu, kas pieder tikai ziņotājam un viņa izvēlētajiem saņēmējiem. Serveris redz tikai šifrētu baitu plūsmu.

Šī atšķirība ir būtiska auditora acīs. Ja serveris spēj lasīt ziņojumu saturu, tad jebkurš, kam ir piekļuve serverim — pakalpojuma sniedzēja darbinieki, hakeri, tiesībsargājošās iestādes pēc pieprasījuma — var arī to izlasīt. Ja serveris redz tikai šifrētu plūsmu, tad pat pakalpojuma sniedzējs nevar izlasīt ziņojumu, un jūsu datu aizsardzības pienākumi kļūst daudz vieglāk īstenojami.

Tehniski tas parasti tiek īstenots, izmantojot katram ziņojumam īpašu AES-256-GCM atslēgu, kas tiek iesaiņota katram saņēmējam, izmantojot P-256 ECDH atslēgu apmaiņu. Šī pieeja nodrošina, ka pat tad, ja serveris tiek kompromitēts, uzbrucējs iegūst tikai šifrētus datus. P-256 ir eliptiskās līknes atslēgu apmaiņas algoritms, kas nodrošina augstu drošību ar mazāku atslēgas izmēru nekā klasiskās RSA atslēgas.

Latvijas organizācijām tas ir īpaši svarīgi, jo GDPR pieprasa datu aizsardzību pēc noklusējuma un pēc konstrukcijas. Šifrēšana no gala līdz galam ir viens no skaidrākajiem veidiem, kā parādīt, ka jūsu sistēma patiešām atbilst šim principam — nevis tikai dokumentu par to.

Kas notiek, ja serveris tiek izlaupīts

Pat ja serveris tiek izlaupīts vai fiziski iznīcināts, datu zaudēšanas risku var ievērojami samazināt, izmantojot šifrēšanu no gala līdz galam un Šveices mitināšanu ISO 27001 sertificētos datu centros. Šveices mitināšana nodrošina papildu juridisko aizsardzību, jo Šveices datu aizsardzības likums (nFADP) ir viens no stingrākajiem pasaulē.

Kā darbojas divvirzienu saziņa, neatklājot identitāti

Kā darbojas divvirzienu saziņa, neatklājot identitāti Pēc ziņojuma iesniegšanas sākas reālais darbs — izmeklētājam ir jāuzdod papildu jautājumi, lai saprastu, kas patiesībā notika. Šeit parādās anonīmas sistēmas īstā sarežģītība: kā uzdot jautājumu personai, kuru jūs nezināt? Atbilde ir vienreizēja saite, kas pieder tikai ziņotājam.

Kad ziņotājs iesniedz ziņojumu, viņam tiek ģenerēta unikāla saite — sava veida "personīgā" atslēga uz viņa ziņojumu. Šī saite ir vienīgais veids, kā izmeklētājs var sazināties ar viņu, un tā ir pieejama tikai viņam. Ja izmeklētājs uzdod jautājumu, ziņotājs pats saņem paziņojumu un var atvērt to pašu saiti, lai atbildētu. Neviens cits pasaulē — ne pakalpojuma administrators, ne uzņēmuma IT nodaļa — nevar šo saiti izmantot, lai iejauktos sarunā.

Šī mehānisma pamatā ir nulles piekļuves arhitektūra. Tas nozīmē, ka pakalpojuma sniedzējs — piemēram, trauksmes celšanas programmatūras uzņēmums — nevar izlasīt ziņojumu saturu vai ziņas, pat ja vēlētos. Atslēgas, kas nepieciešamas atšifrēšanai, atrodas ziņotāja URL un katra apstrādātāja ierīcē, aizsargātas ar paroli. Šī pieeja ir fundamentāli atšķirīga no parastas e-pasta vai biļešu sistēmas, kur administrators vienmēr var redzēt saraksti.

Praksē tas nozīmē, ka varat godīgi atbildēt darbiniekam, kurš uztraucas par atriebību: "mēs patiešām nezinām, kas jūs esat, un pat mūsu piegādātājs to nezina". Šis apgalvojums ir verificējams — un auditori to arī pārbaudīs.

Kāpēc parastais e-pasts šeit nedarbojas

E-pasts pēc savas būtības neatbilst šīm prasībām. Pirmkārt, e-pasta ziņojumā vienmēr ir sūtītāja adrese — pat ja tā ir pseidonīma, servera žurnāli to fiksē. Otrkārt, e-pasta serveri parasti var izlasīt ziņojumu saturu, ja vien tas nav šifrēts ar PGP vai S/MIME — PGP un S/MIME ir publiskās atslēgas šifrēšanas standarti, kas ļauj šifrēt e-pastu. Treškārt, e-pasts neatkarīgi neatstāj pēdas uz ziņotāja ierīces — vēsture, sinhronizācija, dublējumi. Tāpēc anonīmai saziņai nepieciešama specializēta sistēma.

Ko redz izmeklētājs un ko neredz - nulles piekļuves arhitektūra

Izmeklētāja darbvirsmā parādās tikai tas, kas viņam ir nepieciešams: ziņojuma saturs, tā iesniegšanas laiks un statuss. Viņš neredz ziņotāja vārdu, e-pastu vai IP adresi, jo šādas informācijas sistēmā vienkārši nav. Šī minimālisma pieeja ir nulles piekļuves arhitektūras stūrakmens: katram dalībniekam ir piekļuve tikai tam, kas viņam ir nepieciešams, un nekas vairāk.

Konkrēti tas nozīmē: izmeklētājs redz vienu lietu uz vienu ziņojumu — strukturētu ierakstu ar statusu, atbildīgo un visu saziņas vēsturi. Viņš var redzēt, vai ir nokavēts 7 dienu apstiprināšanas termiņš vai 3 mēnešu atsauksmju termiņš. Viņš var redzēt, kuri kolēģi ir piekļuvuši lietai. Bet viņš neredz, kas ir aiz ziņotāja URL — un tas ir labi.

Latvijas un ES tiesiskajā regulējumā šāda pieeja palīdz izpildīt divus vienlaicīgus pienākumus: pienākumu izmeklēt ziņojumus un pienākumu aizsargāt ziņotāja identitāti. Bieži vien šie pienākumi var nonākt pretrunā — it īpaši, ja iestāde pieprasa datus. Nulles piekļuves arhitektūra šo pretrunu atrisina tehniski: nav datu, ko izpaust.

Kas notiek, ja tiesībsargājošām iestādēm ir nepieciešami dati

Ja tiesībsargājoša iestāde vēršas pie jums ar pieprasījumu izpaust datus, nulles piekļuves arhitektūra nozīmē, ka jums nav ko izpaust. Šī nav juridiska argu; šī ir tehniska argu. Jūsu organizācija nevar izpaust to, kas tehniski nepastāv. Tas ir jāņem nopietni, jo tas pasargā jūs no situācijas, kad esat spiests izvēlēties starp likumpaklausību un ziņotāja aizsardzību.

Kāpēc balss ziņošana var būt drošāka par rakstītu ziņojumu

Daudzi cilvēki domā, ka rakstīt ziņojumu ir drošāk nekā to pateikt. Patiesībā ir pretēji — balss ievade var būt drošāka, ja tā tiek pareizi īstenota. Pirmkārt, balss tiek pārrakstīta tieši ziņotāja ierīcē, izmantojamais runas atpazīšanas modelis darbojas lokāli, un audio fails nekad netiek saglabāts vai nosūtīts uz mākoni. Tas nozīmē, ka pēc ziņojuma iesniegšanas nepastāv audio ieraksta, ko varētu atjaunot no servera vai no ziņotāja ierīces.

Otrkārt, balss ziņojumu ir grūtāk nejauši vai tīši atstāt pēdas. Rakstīts ziņojums var tikt automātiski pabeigts, var tikt saglabāts starpliktuvē, var tikt sinhronizēts ar mākoņpakalpojumu. Balss ieraksts, kas tiek nekavējoties pārrakstīts un izdzēsts, šādas izpēdes neatstāj. Treškārt, balss ievade pazemina barjeru tiem ziņotājiem, kuriem rakstīt ir emocionāli grūti — un tāpēc palielina to ziņojumu skaitu, ko patiešām saņemat.

Tomēr ne visas balss ievades sistēmas ir vienādas. Ja audio tiek nosūtīts uz mākoņpakalpojumu transkripcijai, piemēram, uz Google, Amazon vai Microsoft mākoņa runas atpazīšanu, tas vairs nav drošs. Šajā gadījumā audio fails pastāv trešās puses serveros, un tāpēc audio fails kļūst par jaunu sensitīvu datu punktu, nevis drošu ziņošanas veidu. Tāpēc ir svarīgi pārliecināties, ka runas atpazīšana notiek ierīcē, nevis mākonī.

Kad balss ievade nav piemērota

Balss ievade nav piemērota ļoti klusās vai ļoti trokšņainās vidēs, kā arī situācijās, kad ziņotājs vēlas rediģēt ziņojumu pirms iesniegšanas. Tāpēc labākās sistēmas piedāvā abus variantus — rakstītu un balss — un ļauj ziņotājam izlemt.

Kā audita žurnāls palīdz pierādīt, ka rīkojāties atbilstoši Latvijas likumam

Audita žurnāls ir jūsu atbilde, kad revidents jautā: "vai jūs patiešām apstiprinājāt ziņojumu 7 dienu laikā un sniedzāt atsauksmi 3 mēnešu laikā?" ES direktīva 2019/1937, kas Latvijā ieviesta ar Trauksmes celšanas likumu, nosaka šos terminus skaidri. Ja jūsu žurnālā tas tiek fiksēts automātiski, atbilde ir "jā"; ja fiksēts manuāli, vai arī vispār nav fiksēts, atbilde ir "mēs ceram, ka jā".

Labs audita žurnāls ietver vairākus elementus: ziņojuma saņemšanas laiku, apstiprinājuma laiku, visas izmaiņas statusā, par katru darbinieku un katru darbību, izmeklēšanas darbības un to autoru, kā arī atsauksmju sniegšanas laiku. Žurnālam ir jābūt grūti maināmai — tā sauktais negrozāmais žurnāls — lai neviens nevarētu pēc fakta izdzēst vai mainīt ierakstus.

Šī funkcija ir īpaši svarīga finanšu iestādēm un veselības aprūpes organizācijām, jo tās darbojas saskaņā ar vairākiem pārklājošiem režīmiem — DORA, MiCA, nacionālajiem banku noteikumiem. Katrs no tiem var pieprasīt audita pierādījumus dažādos formātos. Labs rīks ļauj eksportēt žurnālu standarta formātos, piemēram, CSV vai PDF, lai to varētu iesniegt katrai iestādei atsevišķi.

Kā izskatās pienācīgs audita žurnāls praksē

Pienācīgs audita žurnāls atbild uz četriem jautājumiem: kas notika, kad tas notika, kurš to izdarīja, un kāpēc. Ja žurnāls neatbild uz kaut vienu no šiem jautājumiem, tas nav pienācīgs. Piemēram, ja tajā ir redzams, ka ziņojums tika saņemts, bet nav redzams, kad tas tika saņemts, jūs nevarat pierādīt, ka ievērojāt 7 dienu termiņu. Ja tajā nav redzams, kurš izmeklētājs veica darbību, jūs nevarat pierādīt, ka rīkojāties saskaņā ar iekšējo procedūru.

Ja jūs dzirdat no sava rīka pārdevēja frāzi "mēs visu reģistrējam", tas ir brīdis, kad jāuzdod precīzs jautājums: parādīt man reālu žurnāla paraugu. Ja pārdevējs atsakās vai paraugs izskatās tukšs, tas ir sarkanais karogs.

Biežāk uzdotie jautājumi

Kā pārbaudīt, vai anonīms ziņošanas kanāls tiešām ir anonīms?

Anonīma kanāla pārbaude sākas ar pieciem soļiem: atveriet ziņošanas lapu inkognito režīmā, pārbaudiet sīkfailu sarakstu izstrādātāja rīkos (tam jābūt tukšam), pārbaudiet tīkla pieprasījumus (tiem jābūt bez trešo pušu izsekotājiem), nosūtiet testa ziņojumu un palūdziet pārdevējam pierādīt, ka servera žurnāli nesatur IP adresi. Ja pārdevējs nevar vai nevēlas parādīt šos pierādījumus, viņa pārdotais rīks, visticamāk, nav patiesi anonīms.

Kāda atšķirība starp šifrēšanu no gala līdz galam un vienkāršu HTTPS?

Vienkāršs HTTPS aizsargā ziņojumu tikai pārvades laikā starp jūsu pārlūkprogrammu un serveri. Kad ziņojums sasniedz serveri, tas tiek atšifrēts un kļūst lasāms servera administratoram. Šifrēšana no gala līdz galam nozīmē, ka ziņojums tiek šifrēts jūsu ierīcē un atšifrēts tikai saņēmēja ierīcē — serveris redz tikai neizlasāmu šifrētu plūsmu. Šī atšķirība ir izšķiroša, ja vēlaties aizsargāt ziņojumu pat pēc kompromisa.

Kāpēc IP adrešu bloķēšana ir svarīga?

IP adrese var identificēt tīklu un aptuveno atrašanās vietu, un darbavietā tā bieži vien identificē konkrētu darbinieku, jo uzņēmuma tīklā parasti ir tikai daži publiski pieslēgumi. Ja jūsu ziņošanas kanāls fiksē IP adresi, administrators var uzzināt, no kura datora vai tīkla ziņojums tika iesniegts — pat ja ziņojuma teksts ir anonīms. Tāpēc IP adrešu bloķēšana vai uzreizēja dzēšana ir obligāta prasība patiesi anonīmai sistēmai.

Kas ir nulles piekļuves arhitektūra un kāpēc tā ir svarīga?

Nulles piekļuves arhitektūra nozīmē, ka pakalpojuma sniedzējs pats nevar lasīt jūsu ziņojumu saturu. Tas ir svarīgi, jo jūsu uzticība tam sniedzējam ir ierobežota — viņa darbinieki var mainīties, viņa serveri var tikt uzlauzti, viņa uzņēmumu var pārdot. Ja viņš nevar lasīt jūsu datus, jūs esat pasargāts no visām šīm situācijām. Šī arhitektūra ir īpaši svarīga mazākām organizācijām, kuras paļaujas uz ārēju pakalpojumu sniedzēju, bet nevēlas nodot viņam savu sensitīvo informāciju.

Kā balss ziņošana atšķiras no audio ierakstu augšupielādes?

Balss ziņošana ar lokālu transkripciju nozīmē, ka audio tiek pārrakstīts tieši jūsu ierīcē un pēc tam izdzēsts. Audio ierakstu augšupielāde nozīmē, ka audio fails tiek nosūtīts uz servera mākoņpakalpojumu, kur tas var tikt saglabāts, transkribēts un analizēts. Pirmais variants ir drošs, jo audio vienkārši nepastāv pēc transkripcijas; otrais variants ir nedrošs, jo audio fails kļūst par jaunu sensitīvu datu punktu, kas jāaizsargā.

Avoti