पत्रकार: गोपनीय दस्तावेज़ और सूत्रों को निजी तौर पर संभालना

एक सूत्र आपको एक PDF थमाता है। शायद यह कोई आंतरिक मेमो हो, कोई अनुबंध जिसे किसी को रखना नहीं चाहिए था, किसी दस्तावेज़ का स्कैन जो उस बात को साबित करता है जिसके पीछे आप महीनों से लगे हैं। अब आपका काम है इसे पढ़ना, इसके साथ काम करना, इसे सुरक्षित रखना, और कभी भी अपनी किसी हरकत को उस व्यक्ति तक न पहुँचने देना जिसने इसे आपको दिया।

वह आख़िरी हिस्सा ही कठिन है। रिपोर्टिंग पुख़्ता हो सकती है और कहानी अभेद्य हो सकती है, फिर भी किसी ऐसे विवरण से सूत्र की पहचान हो सकती है जिसके बारे में किसी ने सोचा ही नहीं। किसी दस्तावेज़ प्रॉपर्टी फ़ील्ड में पड़ा एक यूज़रनेम। एक रिवीज़न हिस्ट्री। एक फ़ाइल जो चुपचाप किसी ऐसे सर्वर पर चली गई जिसके प्रोसेस करने को आप भूल गए थे। सूत्र की सुरक्षा सिर्फ़ इस बारे में नहीं है कि आप किससे बात करते हैं। यह इस बारे में है कि फ़ाइलें ख़ुद क्या उजागर कर देती हैं।

अपलोड वही लीक है जो आपको दिखता नहीं

मान लीजिए आपके पास एक लीक हुई PDF है और वह तीन टुकड़ों में आई, या स्कैन ग़लत क्रम में हैं, या आप इसे साझा स्टोरेज में डालने से पहले लॉक करना चाहते हैं। तो आप एक मुफ़्त टूल ढूँढते हैं, फ़ाइल खींचकर डालते हैं, और बटन दबाते हैं। ज़्यादातर PDF साइटें आपकी फ़ाइल को किसी सर्वर पर भेजकर, वहाँ काम करके, और नतीजा वापस देकर काम करती हैं।

किसी छुट्टी के यात्रा-कार्यक्रम के लिए, ठीक है। पर किसी ऐसे दस्तावेज़ के लिए जिसे थमाने के लिए किसी सूत्र ने अपना करियर दाँव पर लगाया, आपने अभी-अभी उसकी एक प्रति उस कंपनी की मशीन पर रख दी है जिससे आपने कभी बात तक नहीं की। आप नहीं जानते कि वह सर्वर कहाँ है, किस अधिकार-क्षेत्र के अधीन है, उसके लॉग के लिए किसके पास रिक्वेस्ट भेजी जा सकती है, या उस ख़ुशनुमा “एक घंटे बाद हटा दी गई” संदेश के बाद फ़ाइल असल में कितनी देर वहाँ रहती है। अगर वह दस्तावेज़ इतना संवेदनशील है कि कोई सरकार या कोई कॉर्पोरेट क़ानूनी टीम जानना चाहती है कि लीक किसने किया, तो आपके नियंत्रण से बाहर मौजूद हर प्रति एक ऐसा धागा है जिसे कोई खींच सकता है।

फ़ाइल ख़ुद के भीतर भी जवाब रख सकती है। PDF मेटाडेटा संग्रहीत करती हैं: लेखक का नाम, उसे बनाने वाला सॉफ़्टवेयर, बनाने और बदलने के टाइमस्टैम्प, कभी-कभी वह नेटवर्क पथ जहाँ से इसे सेव किया गया था। कोई लीक हुआ आंतरिक दस्तावेज़ उस अंतिम व्यक्ति का लॉगिन रख सकता है जिसने उसे छुआ था। उस PDF को किसी रैंडम वेब टूल पर भेजें और आपने किसी अजनबी के सर्वर को एक ऐसी फ़ाइल दे दी जो शायद पहले से ही आपके सूत्र का नाम बता रही हो।

इसे अपने लैपटॉप से बाहर निकले बिना इस पर काम करें

समाधान कहने में आसान है। दस्तावेज़ को कहीं भी अपलोड न करें जहाँ आप देख न सकें। अगर फ़ाइल आपकी मशीन कभी नहीं छोड़ती, तो उसे कहीं और के किसी सर्वर से नहीं निकाला जा सकता, और वह किसी सबपीना का इंतज़ार करते किसी बैकअप में नहीं बैठ सकती।

ब्राउज़र-आधारित टूल इसे व्यावहारिक बनाते हैं। PDF आपके अपने कंप्यूटर पर मेमोरी में पढ़ी जाती है, क्रिया वहीं चलती है, और तैयार फ़ाइल सीधे आपके पास सेव हो जाती है। कुछ नहीं भेजा जाता। आम तौर पर काम ऐसे होता है।

टुकड़े जोड़ें। लीक शायद ही कभी क़रीने से आती हैं। आपको एक मेमो, तीन परिशिष्ट, और एक कवर नोट अलग-अलग फ़ाइलों के रूप में मिलते हैं। उन्हें PDF मर्ज टूल में डालें और आपको एक ऐसा दस्तावेज़ मिलता है जिस पर आप वाक़ई काम कर सकते हैं, बिना किसी कन्वर्ज़न साइट को कुछ भेजे।

इसे संग्रहीत करने से पहले लॉक करें। एक बार ज़रूरी फ़ाइल मिल जाने के बाद, इसे साझा ड्राइव में या किसी ऐसे लैपटॉप पर जाने से पहले पासवर्ड से सुरक्षित करें जो सफ़र करता है। PDF प्रोटेक्ट टूल इसे आपके ब्राउज़र में एन्क्रिप्ट करता है, ताकि दस्तावेज़ उस किसी भी व्यक्ति के लिए अपठनीय हो जो फ़ाइल तो पा ले पर पासवर्ड नहीं। यह तब मायने रखता है जब कोई डिवाइस ज़ब्त, खो, या किसी सीमा पर पकड़ा जाए।

किसी सूत्र द्वारा पहले से लॉक की गई फ़ाइलें खोलें। कभी-कभी दस्तावेज़ एन्क्रिप्टेड आता है और पासवर्ड आपके सूत्र से मिलता है। PDF अनलॉक टूल सुरक्षा को लोकल तौर पर हटा देता है ताकि आप इसे पढ़ और इस पर काम कर सकें, फिर से बिना फ़ाइल को किसी सर्वर को छुए। इसका उपयोग केवल उन दस्तावेज़ों पर करें जिन्हें खोलने के आप अधिकृत हैं।

लोगों का नाम बताने वाला मेटाडेटा हटा दें

किसी दस्तावेज़ को प्रकाशित करने या किसी सहकर्मी के साथ साझा करने से पहले, उसके भीतर छिपी चीज़ साफ़ करें। किसी PDF को किसी लोकल टूल के ज़रिए फिर से सेव करना फ़ाइल को नए सिरे से लिखता है और मूल के साथ आईं अधिकांश एम्बेडेड प्रॉपर्टीज़ हटा देता है: लेखक फ़ील्ड, एडिटिंग सॉफ़्टवेयर टैग, वे टाइमस्टैम्प जो किसी व्यक्ति को किसी ख़ास दोपहर अपनी मेज़ पर रखते हैं। फ़ाइल खोलें, इसे किसी ब्राउज़र-आधारित क्रिया से गुज़ारें, साफ़ प्रति एक्सपोर्ट करें, और दस्तावेज़ प्रॉपर्टीज़ जाँचकर पुष्टि करें कि उजागर करने वाले फ़ील्ड गायब हैं। यह उस संस्करण पर करें जो आपके हाथ से निकलता है, कभी भी मूल की अपनी एकमात्र प्रति पर नहीं।

ख़ुद को साबित करें कि कुछ अपलोड नहीं हुआ

आपको मुझ पर भरोसा करने की ज़रूरत नहीं कि ये टूल लोकल रहते हैं। एक खोलें, DevTools के लिए F12 दबाएँ, Network टैब पर जाएँ, “Preserve log” टिक करें, और एक पूरी क्रिया चलाएँ। ट्रैफ़िक देखें: पेज पहले लोड होता है, और फिर काम करते समय कुछ भी नहीं हिलता। अगर आपकी फ़ाइल किसी रिक्वेस्ट के बॉडी में कभी नहीं दिखती, तो उसे कभी भेजा ही नहीं गया।

कठिन जाँच चाहिए? टूल लोड करें, एयरप्लेन मोड पर स्विच करें, और नेटवर्क बंद रखकर पूरा काम करें। यह फिर भी चलता है, क्योंकि शुरू से कोई सर्वर चरण था ही नहीं। जो टूल अपलोड करता है वह उसी पल एरर देगा जब आप शुरू करेंगे। वही फ़र्क़ है जिस पर आपके सूत्र की सुरक्षा निर्भर करती है। (अगर आप क़ानूनी पहलू चाहते हैं कि अपलोड एक जोखिम क्यों हैं, तो मैंने PDF अपलोड करने के GDPR जोखिमों के बारे में अलग से लिखा है।)

सुरक्षित तरीक़े को डिफ़ॉल्ट बनाएँ

आप किसी डेडलाइन की आधी रात को कोई प्राइवेसी पॉलिसी ऑडिट नहीं करेंगे। कोई नहीं करता। तो एक बार ही तय कर लें: सूत्रों के दस्तावेज़ ब्राउज़र में संभाले जाएँगे, संग्रहीत करने से पहले लॉक किए जाएँगे, और हाथ से निकलने से पहले साफ़ किए जाएँगे। टूल बुकमार्क कर लें और उन सर्वरों पर संवेदनशील फ़ाइलें भेजना बंद कर दें जिन्हें आप देख नहीं सकते। आपके सूत्र ने आप पर ऐसी चीज़ का भरोसा किया जो उन्हें सब कुछ गँवा सकती है। फ़ाइलें कम-से-कम इतना तो कर सकती हैं कि उस भरोसे को बनाए रखें, उसे गँवा न दें।