Ashio whistleblowing software

Ziņotāja anonimitāte: kā tehniski nodrošināt drošu ziņošanu

Cover: Ziņotāja anonimitāte: kā tehniski nodrošināt drošu ziņošanu

Viena neatbilstoša darbība anonīmās ziņošanas procesā var atklāt ziņotāja identitāti un pakļaut viņu atriebībai. Tieši tāpēc jautājums par to, kā aizsargāt ziņotāja identitāti un nodrošināt anonimitāti, ir katra atbilstības speciālista darba kārtības pirmajā punktā. Tehnoloģiskie riski ir reāli — sākot no IP adrešu žurnāliem līdz meta datiem, kas nejauši noplūst pievienotajos failos. Šajā rakstā aplūkosim, kādas tehniskās barjeras patiešām pasargā ziņotāju, kādas ir tipiskākās ievainojamības un ko atbildīgā persona var darīt, lai process būtu drošs no pirmās līdz pēdējai darbībai.

Saturs

Kāpēc anonimitāte ir Trauksmes celšanas likuma pamats

ES Trauksmes celšanas direktīva 2019/1937 un uz tās pamata tapušie valstu likumi nepārprotami izvirza anonimitāti kā vienu no ziņotāju aizsardzības stūrakmeņiem. Likumdevējs to ir skaidri nodefinējis: ja ziņotājs zina, ka viņa identitāte var tikt atklāta, viņš vai viņa ar lielāku varbūtību izvēlēsies klusēt, nevis uzņemties risku. Tāpēc katram pienācīgam ziņošanas kanālam jānodrošina ne tikai tiesiska aizsardzība, bet arī tehniska realitāte — anonimitātei jābūt nodrošinātai arhitektūras līmenī, nevis tikai kā solījumam politikas dokumentā.

Anonimitāte nav absolūts jēdziens — tā ir ķēde no daudziem posmiem. Viens vājais posms, piemēram, IP adreses reģistrēšana tīmekļa serverī, datu bāzes laikspiedolu trūkums vai pat neatbilstoša piekļuves tiesību pārvaldība, var atklāt identitāti. Tieši tāpēc modernas trauksmes celšanas sistēmas, piemēram, internal reporting channel, projektē tā, lai tehniskie mehānismi darbotos cieši kopā: šifrēšana, minimāla datu vākšana, droša piekļuves kontrole un nepārtraukta auditējamība.

No juridiskā viedokļa anonimitātes pienākums ir divējāds. Pirmkārt, organizācijai ir jāaizsargā ziņotāja identitāte no nepilnvarotām trešajām pusēm — tostarp no iekšējām komandām, kurām nav likumīgas vajadzības šo informāciju zināt. Otrkārt, organizācijai ir jāaizsargā ziņotāja identitāte arī tad, ja tiesībsargājošā iestāde vai regulators to pieprasa — šajā gadījumā piekļuve notiek ar stingriem nosacījumiem, nevis pēc nejaušības principa. Šāds divējāds slānis prasa tehnisku, ne tikai organizatorisku pieeju.

Tehniskie mehānismi identitātes aizsardzībai

Infographic: Tehniskie mehānismi identitātes aizsardzībai Lai patiešām nodrošinātu anonīmu ziņošanu, tehniskajā arhitektūrā jābūt vairākiem savstarpēji saistītiem slāņiem. Šeit ir svarīgākie.

Šifrēšana no gala līdz galam

Viens no svarīgākajiem elementiem ir šifrēšana no gala līdz galam. Tas nozīmē, ka ziņojuma saturs tiek šifrēts jau ziņotāja ierīcē un atšifrēts tikai pilnvarota saņēmēja ierīcē. Serveris, caur kuru ziņojums iet, redz tikai šifrētu baitu plūsmu, ko tas nevar atšifrēt. Šāda pieeja novērš risku, ka datu centru operatori, uzturētāji vai uzbrucēji, kuriem izdodas piekļūt serverim, varētu izlasīt sensitīvu informāciju.

Ashio drošības arhitektūrā izmantotā security dokumentācija apraksta, kā ziņojumi tiek šifrēti pārlūkprogrammā ar katram ziņojumam īpašu AES-256-GCM atslēgu, kas katram saņēmējam tiek iesaiņota, izmantojot P-256 ECDH. Šī pieeja nozīmē, ka pat pakalpojuma sniedzējs nevar piekļūt ziņojumu saturam — arhitektūra patiešām darbojas kā nulles piekļuves modelis.

Nulles piekļuves arhitektūra

Nulles piekļuves arhitektūra ir konceptuāls paplašinājums šifrēšanai. Tā nozīmē, ka pakalpojuma sniedzējam tehniski nav iespējas piekļūt lietotāju datiem — pat ja viņš to vēlētos. Tas atšķir nulles piekļuves modeli no tradicionālās pieejas, kurā pakalpojuma sniedzējs tur atšifrēšanas atslēgas un pēc pieprasījuma var atšifrēt lietotāju datus. Praksē nulles piekļuves arhitektūra nozīmē, ka atslēgas glabājas tikai ziņotāja un saņēmēja ierīcēs, nevis serverī.

Šāda arhitektūra ir īpaši svarīga finanšu pakalpojumu, veselības aprūpes un enerģētikas nozarēs, kur sensitīvas ziņas bieži vien satur komercnoslēpumus, klientu datus vai pacientu informāciju.

Datu minimizācija un IP aizsardzība

Vēl viens būtisks mehānisms ir datu minimizācija. Sistēmai jāvāc tikai tie dati, kas ir absolūti nepieciešami ziņojuma saņemšanai un apstrādei. Piemēram, ja lietotājs ziņo no publiska Wi-Fi tīkla, viņa IP adrese pati par sevi var būt identifikators — jo īpaši, ja tā tiek saistīta ar konkrētu darba vietu vai ģeogrāfisko atrašanās vietu. Tāpēc pārdomātas sistēmas vai nu vispār nereģistrē IP adreses, vai arī tās tiek nekavējoties maskētas un dzēstas pēc ziņojuma saņemšanas.

Audita žurnāls bez sensitīva satura

Trešais mehānisms, kas nodrošina uzticamību, ir negrozāms audita žurnāls. Tas ļauj organizācijai pierādīt regulatoram, ka konkrēts ziņojums tika saņemts, izskatīts un atbildēts noteiktajā termiņā, vienlaikus nepieļaujot, ka žurnāls pats par sevi atklāj ziņotāja identitāti. Negrozāms nozīmē, ka žurnāla ierakstus nevar izdzēst vai mainīt — tie kalpo kā pierādījumu ķēde. Tomēr žurnālam jābūt veidotam tā, lai tas nesaturētu ziņojuma saturu, bet tikai metadatus: saņemšanas laiku, piešķirto lietas numuru, apstrādes darbību grafiku un iznākumu.

Daudzvalodu saskarne un pieejamība

Beidzot, bet ne mazāk svarīgi — anonimitātes aizsardzība ir bezjēdzīga, ja ziņotājs nesaprot, kā droši izmantot kanālu. Tāpēc uzticamas sistēmas piedāvā skaidru, daudzvalodu saskarni un detalizētus norādījumus par to, kā ziņot, kas tiek vākts un kas netiek vākts. anonymous reporting sadaļā lietotājs var izlasīt, kā sistēma strādā un kādas garantijas tiek sniegtas.

Biežākie drošības riski

Pat labi projektētas sistēmas var zaudēt savu aizsargspēju, ja netiek ievērotas labākās prakses. Šeit ir biežākie riski, ar kuriem saskaras organizācijas.

IP adrešu un meta datu noplūde

Visizplatītākais risks ir tīmekļa servera standarta žurnāli, kuros tiek fiksēta katra pieprasījuma IP adrese, pārlūkprogrammas versija un laikspiedols. Ja šādi žurnāli netiek īpaši aizsargāti vai maskēti, tie kļūst par identifikācijas avotu. Līdzīgs risks pastāv arī e-pasta ziņojumiem — e-pasta galvenes satur sūtītāja IP adresi, pat ja ziņotājs izmanto anonīmu e-pasta adresi.

Laika un uzvedības korelācija

Pat ja tehniskie dati ir pilnībā aizsargāti, identitāti var atklāt, korelējot laiku un uzvedību. Piemēram, ja konkrētā datumā un laikā konkrētā biroja ēkā ziņošanas kanālam tika nosūtīts ziņojums un vienlaikus kāds darbinieks izgāja no biroja, šī korelācija pati par sevi var kļūt par aizdomu pamatu. Tāpēc sistēmai jāatļauj ziņotājam izvēlēties ziņošanas laiku un vietu, kas neatspoguļo viņa vai viņas ikdienas paradumus.

Failu un dokumentu meta dati

Bieži vien ziņojumam tiek pievienoti dokumenti — PDF faili, attēli, izklājlapas. Daudzi no šiem failu formātiem pēc noklusējuma satur meta datus, kas var atklāt dokumenta autoru, izveides laiku un pat GPS koordinātes. Ja ziņotājs neizņem šos meta datus pirms nosūtīšanas, viņa identitāte var tikt atklāta. Atbildīgajai personai ir jāinformē ziņotāji par šo risku un, ideālā gadījumā, sistēmai jāveic automātiska meta datu sanitizēšana.

Piekļuves tiesību pārvaldība

Sistēmas drošība ir tik stipra, cik stipra ir tās vājākā piekļuves ķēde. Ja lietu pārvaldnieku konti netiek pienācīgi aizsargāti ar daudzfaktoru autentifikāciju vai ja piekļuves tiesības netiek regulāri pārskatītas, ziņotāja identitāte var tikt atklāta nevis caur tehnisku ievainojamību, bet caur organizatorisku nolaidību. Šis risks ir īpaši būtisks lielās organizācijās, kur lietu apstrādā vairāki cilvēki.

Trešo pušu pakalpojumi un integrācijas

Mūsdienu sistēmas bieži vien tiek integrētas ar citiem rīkiem — piemēram, identitātes nodrošinātājiem, biļešu sistēmām vai saziņas rīkiem. Katra šāda integrācija rada papildu risku, jo dati var tikt nodoti ārpus sākotnējās sistēmas robežām. Piemēram, ja identitātes nodrošinātājs reģistrē pieteikšanās žurnālus ar laika un IP datiem, šie dati kļūst par identifikācijas avotu. Tāpēc integrāciju izvēlei un konfigurācijai jāpievērš īpaša uzmanība.

Praktiski padomi atbildīgajām personām

Atbildīgā persona — parasti tā ir atbilstības vadītājs, iekšējā audita vadītājs vai ētikas komiteja — ir pēdējais aizsardzības līnijas posms. Pat vislabākā sistēma nepalīdzēs, ja atbildīgā persona rīkojas neapdomīgi. Šeit ir praktiskas vadlīnijas.

Komunikācija ar ziņotāju

Pirmkārt, atbildīgajai personai jāapzinās, ka jebkura atbilde ziņotājam var saturēt identitātes atklāšanas risku. Piemēram, ja ziņotājs ziņo par pārkāpumu konkrētā nodaļā un atbilde saturētu frāzi "Mēs apstiprinām, ka šis jautājums attiecas uz Jūsu nodaļu", tas pats par sevi jau ir identifikators. Tāpēc atbildēm jābūt neitrālām un jāizvairās no jebkādas informācijas, kas sašaurina iespējamo ziņotāju loku.

Otrkārt, atbildes jāsagatavo ar tādu pašu rūpību kā sākotnējais ziņojums. Ja ziņotājs izvēlas saziņu, viņš vai viņa sagaida, ka arī atbildes tiks šifrētas un aizsargātas. for whistleblowers sadaļa parasti satur skaidrus norādījumus par to, kā šī saziņa notiek un kādas garantijas tiek dotas.

Termiņu ievērošana

ES direktīva nosaka skaidrus termiņus: 7 dienas apstiprinājumam un 3 mēnešus atsauksmei. Šo termiņu ievērošana ir svarīga ne tikai juridiski, bet arī praktisku iemeslu dēļ. Ja ziņotājs nesaņem apstiprinājumu, viņš vai viņa var sākt šaubīties par kanāla uzticamību un izvēlēties alternatīvu. Tas pats par sevi var radīt papildu risku, jo alternatīvie kanāli var būt mazāk aizsargāti.

Iekšējā dokumentācija un konfidencialitāte

Atbildīgajai personai jānodrošina, ka arī iekšējā dokumentācija par ziņojumiem tiek turēta droši. Tas nozīmē, ka faili ar ziņotāju datiem nedrīkst atrasties koplietošanas diskos bez šifrēšanas, e-pasta arhīvos vai drukātos dokumentos, kas var nonākt nepareizās rokās. Vēlams, lai visa dokumentācija atrastos sistēmas iekšienz ar precīzām piekļuves tiesībām.

Regulāra drošības pārbaude

Atbildīgajai personai vajadzētu regulāri pārskatīt ziņošanas kanāla konfigurāciju: vai IP žurnāli joprojām tiek maskēti, vai integrācijas joprojām ir vajadzīgas, vai piekļuves tiesības joprojām atspoguļo pašreizējo komandas struktūru. Šādas pārbaudes var veikt reizi ceturksnī vai vismaz reizi pusgadā.

Apmācība un izpratne

Beidzot, bet ne mazāk svarīgi — atbildīgajai personai pašai jābūt izglītotai par drošības jautājumiem. Tas nozīmē izpratni par šifrēšanas principiem, meta datu riskiem, sociālās inženierijas uzbrukumiem un citiem ar drošību saistītiem tematiem. Apmācība nav vienreizējs pasākums — tā ir nepārtraukts process, jo tehnoloģijas un uzbrukuma metodes attīstās.

Anonimitāte nav tehnisks parametrs, ko var iestatīt vienu reizi un aizmirst. Tā ir dzīva sistēma, kas prasa nepārtrauktu uzmanību un uzlabošanu. Tieši šajā ziņā atšķiras organizācijas, kas patiešām aizsargā savus ziņotājus, no tām, kas tikai izliekas, ka to dara. Pirmās saprot, ka anonimitāte ir ķēde, un rūpējas par katru tās posmu — sākot no tehniskās arhitektūras līdz ikdienas praksei. Uzziniet vairāk par mūsu drošības arhitektūru.

Avoti

Ziņotāja anonimitāte: kā tehniski nodrošināt drošu ziņošanu | Ashio