Journalisten: vertrouwelijke documenten en bronnen privé verwerken

Een bron schuift je een PDF toe. Misschien is het een interne memo, een contract dat iemand niet had mogen bewaren, een scan van een document dat bewijst wat je al maanden najaagt. Jouw taak is nu om het te lezen, ermee te werken, het veilig op te slaan en nooit toe te laten dat iets wat je doet terug te herleiden is naar de persoon die het je gaf.

Dat laatste is het moeilijke deel. De reportage kan waterdicht zijn en het verhaal sluitend, en een bron kan nog steeds worden geïdentificeerd door een detail waar niemand aan dacht. Een documenteigenschap met een gebruikersnaam erin. Een revisiegeschiedenis. Een bestand dat ongemerkt naar een server ging die je was vergeten dat hij het verwerkte. Bronbescherming gaat niet alleen over met wie je praat. Het gaat over wat de bestanden zelf prijsgeven.

De upload is het lek dat je niet ziet

Stel, je hebt een gelekte PDF en hij kwam in drie delen binnen, of de scans staan in de verkeerde volgorde, of je wilt hem vergrendelen voordat je hem in gedeelde opslag zet. Dus zoek je een gratis tool, sleept het bestand erin en klikt op de knop. De meeste PDF-sites werken door je bestand naar een server te sturen, het werk daar te doen en het resultaat terug te geven.

Voor een vakantiereisschema, prima. Voor een document waarvoor een bron zijn carrière riskeerde, heb je zojuist een kopie ervan op een machine gezet die eigendom is van een bedrijf waar je nooit mee hebt gesproken. Je weet niet waar die server staat, onder welke jurisdictie hij valt, wie een verzoek om zijn logs kan worden opgelegd, of hoe lang het bestand er werkelijk blijft na de opgewekte melding “verwijderd na een uur”. Als dat document gevoelig genoeg is dat een overheid of een bedrijfsjuridisch team wil weten wie het lekte, is elke kopie die buiten jouw controle bestaat een draad die iemand kan trekken.

Het bestand draagt het antwoord misschien ook in zich. PDF’s bewaren metadata: auteursnaam, de software die het maakte, aanmaak- en wijzigingstijdstempels, soms het netwerkpad waar het vandaan is opgeslagen. Een gelekt intern document kan de login bevatten van de laatste persoon die het aanraakte. Stuur die PDF naar een willekeurige webtool en je hebt de server van een vreemde een bestand gegeven dat je bron mogelijk al noemt.

Werk eraan zonder dat het je laptop verlaat

De oplossing is simpel te formuleren. Upload het document nergens heen waar je geen zicht op hebt. Als het bestand je machine nooit verlaat, kan het niet ergens anders van een server worden getrokken, en kan het niet in een back-up zitten te wachten op een dagvaarding.

Browsergebaseerde tools maken dit praktisch. De PDF wordt ingelezen in het geheugen van je eigen computer, de bewerking draait daar, en het voltooide bestand slaat rechtstreeks naar je terug op. Er wordt niets verstuurd. Zo gaat de gebruikelijke verwerking.

Voeg de delen samen. Lekken komen zelden netjes binnen. Je krijgt een memo, drie bijlagen en een begeleidend briefje als losse bestanden. Sleep ze in de tool PDF samenvoegen en je krijgt één document waar je echt mee kunt werken, zonder iets naar een conversiesite te mailen.

Vergrendel het voor je het opslaat. Zodra je het bestand hebt dat je nodig hebt, beveilig je het met een wachtwoord voordat het naar gedeelde schijven gaat of op een laptop die reist. De tool PDF beveiligen versleutelt het in je browser, zodat het document onleesbaar is voor iedereen die het bestand krijgt maar niet het wachtwoord. Dat telt als een apparaat in beslag wordt genomen, verloren raakt of bij een grens wordt afgepakt.

Open bestanden die een bron al vergrendelde. Soms komt het document versleuteld binnen en heb je het wachtwoord van je bron. De tool PDF ontgrendelen verwijdert de beveiliging lokaal zodat je het kunt lezen en bewerken, opnieuw zonder dat het bestand een server raakt. Gebruik dit alleen op documenten die je geautoriseerd bent te openen.

Strip de metadata die mensen verraadt

Voordat je een document publiceert of met een collega deelt, ruim op wat erin verborgen zit. Een PDF opnieuw opslaan via een lokale tool herschrijft het bestand en laat de meeste ingebedde eigenschappen vallen die met het origineel meekwamen: auteursvelden, tags van bewerkingssoftware, de tijdstempels die een persoon op een bepaalde middag aan een bureau plaatsen. Open het bestand, voer het door een browsergebaseerde bewerking, exporteer de schone kopie, en controleer de documenteigenschappen om te bevestigen dat de verraderlijke velden weg zijn. Doe dit op de versie die je handen verlaat, nooit op je enige kopie van het origineel.

Bewijs jezelf dat er niets is geüpload

Je hoeft mij niet te geloven dat deze tools lokaal blijven. Open er een, druk op F12 voor DevTools, ga naar het tabblad Netwerk, vink “Preserve log” aan en voer een volledige bewerking uit. Kijk naar het verkeer: de pagina laadt vooraf, en daarna beweegt er niets terwijl je werkt. Als je bestand nooit in de body van een aanvraag verschijnt, is het nooit verstuurd.

Wil je de hardere test? Laad de tool, schakel naar vliegtuigmodus, en doe het hele werk met het netwerk uit. Het werkt nog steeds, omdat er om te beginnen geen serverstap was. Een tool die uploadt zal de fout geven zodra je op start drukt. Dat verschil is precies waar de veiligheid van je bron van afhangt. (Wil je de juridische kant van waarom uploads een blootstelling zijn, dan schreef ik apart over de AVG/GDPR-risico’s van het uploaden van PDF’s.)

Maak de veilige manier de standaard

Je gaat geen privacybeleid auditen om middernacht op deadline. Niemand doet dat. Dus beslis één keer: documenten van bronnen worden in de browser verwerkt, vergrendeld voor opslag, en opgeschoond voordat ze je handen verlaten. Bookmark de tools en stop met het versturen van gevoelige bestanden naar servers die je niet kunt bekijken. Je bron vertrouwde je iets toe dat hem alles kan kosten. Het minste wat de bestanden kunnen doen is dat vertrouwen bewaren in plaats van het weg te geven.