Журналистам: как приватно работать с конфиденциальными документами и источниками

Источник передаёт вам PDF. Может, это внутренняя служебная записка, контракт, который кто-то не должен был сохранять, скан документа, доказывающий то, за чем вы гонялись месяцами. Теперь ваша задача — прочитать его, поработать с ним, безопасно сохранить и не допустить, чтобы что-либо из ваших действий привело к человеку, который его передал.

Последняя часть — самая трудная. Материал может быть железобетонным, история — безупречной, а источник всё равно может быть вычислен по детали, о которой никто не подумал. Поле свойств документа с именем пользователя внутри. История правок. Файл, который тихо ушёл на сервер, обрабатывавший его, о чём вы забыли. Защита источника — это не только о том, с кем вы говорите. Это о том, что выдают сами файлы.

Загрузка — это утечка, которую вы не видите

Допустим, у вас есть утёкший PDF, и он пришёл в трёх частях, или сканы идут не в том порядке, или вы хотите защитить его, прежде чем класть в общее хранилище. Вы ищете бесплатный инструмент, перетаскиваете файл и жмёте кнопку. Большинство PDF-сайтов работают так: отправляют ваш файл на сервер, делают там работу и возвращают результат.

Для отпускного маршрута — нормально. Для документа, ради передачи которого источник рисковал карьерой, вы только что положили его копию на машину, принадлежащую компании, с которой вы никогда не разговаривали. Вы не знаете, где стоит этот сервер, какой юрисдикции он подчиняется, кому может прийти запрос на его логи и как долго файл там на самом деле остаётся после бодрого сообщения «удалено через час». Если документ настолько чувствителен, что правительство или корпоративные юристы хотят узнать, кто его слил, каждая копия вне вашего контроля — это ниточка, за которую кто-то может потянуть.

Файл может нести ответ и внутри себя. PDF хранят метаданные: имя автора, программу, которая его создала, отметки времени создания и изменения, иногда сетевой путь, откуда он был сохранён. Утёкший внутренний документ может содержать логин последнего человека, который его трогал. Отправьте такой PDF случайному веб-инструменту — и вы передали чужому серверу файл, который, возможно, уже называет ваш источник.

Работайте с ним, не выпуская из своего ноутбука

Решение просто сформулировать. Не загружайте документ никуда, чего вы не видите. Если файл никогда не покидает вашу машину, его нельзя вытащить с чужого сервера, и он не осядет в резервной копии в ожидании повестки.

Инструменты на базе браузера делают это практичным. PDF считывается в память на вашем собственном компьютере, операция выполняется там же, а готовый файл сохраняется прямо вам. Ничего не отправляется. Вот как обычно идёт работа.

Соберите части. Утечки редко приходят аккуратными. Вы получаете записку, три приложения и сопроводительное письмо отдельными файлами. Перетащите их в инструмент объединения PDF — и получите один документ, с которым реально можно работать, не отправляя ничего на сайт-конвертер.

Защитите его перед хранением. Когда у вас есть нужный файл, поставьте пароль, прежде чем он отправится на общие диски или на ноутбук, который путешествует. Инструмент защиты PDF шифрует его в вашем браузере, так что документ нечитаем для любого, у кого есть файл, но нет пароля. Это важно, если устройство изъяли, потеряли или забрали на границе.

Открывайте файлы, которые источник уже защитил. Иногда документ приходит зашифрованным, а пароль у вас есть от источника. Инструмент снятия защиты PDF убирает защиту локально, чтобы вы могли прочитать и поработать с файлом — снова без того, чтобы файл касался сервера. Используйте это только на документах, которые вы вправе открывать.

Удалите метаданные, которые называют людей

Прежде чем публиковать документ или делиться им с коллегой, очистите то, что спрятано внутри. Пересохранение PDF через локальный инструмент переписывает файл и сбрасывает большинство встроенных свойств, пришедших с оригиналом: поля автора, теги редактирующего софта, отметки времени, которые сажают человека за стол в конкретный день. Откройте файл, прогоните его через операцию в браузере, экспортируйте чистую копию и проверьте свойства документа, чтобы убедиться, что выдающие поля исчезли. Делайте это на версии, которая уходит из ваших рук, и никогда — на единственной копии оригинала.

Докажите себе, что ничего не загрузилось

Вам не нужно верить мне на слово, что эти инструменты остаются локальными. Откройте один из них, нажмите F12 для DevTools, перейдите на вкладку Network, поставьте галочку «Preserve log» и запустите полную операцию. Следите за трафиком: страница загружается заранее, а затем, пока вы работаете, ничего не движется. Если ваш файл ни разу не появляется в теле запроса — значит, он никогда не был отправлен.

Хотите проверку посложнее? Загрузите инструмент, переключитесь в режим полёта и выполните всю работу с отключённой сетью. Он всё равно работает, потому что серверного шага не было изначально. Инструмент, который загружает, выдаст ошибку в ту же секунду, когда вы нажмёте «начать». Именно от этого зазора зависит безопасность вашего источника. (Если хотите юридический угол — почему загрузки это риск, — я отдельно писала о рисках GDPR при загрузке PDF.)

Сделайте безопасный путь путём по умолчанию

Вы не станете изучать политику конфиденциальности в полночь на дедлайне. Никто не станет. Так что решите один раз: документы от источников обрабатываются в браузере, защищаются перед хранением и очищаются, прежде чем покинуть ваши руки. Добавьте инструменты в закладки и перестаньте отправлять чувствительные файлы на серверы, за которыми вы не можете наблюдать. Источник доверил вам то, что может стоить ему всего. Меньшее, что могут сделать файлы, — сохранить это доверие, а не выдать его.