Napisane dla zespołów bezpieczeństwa, i o naszym własnym produkcie tak samo jak o każdym innym.

Wprowadzenie

Ten artykuł jest opublikowany na blogu darmowego przeglądarki dokumentów online. Warto to zaznaczyć w pierwszym zdaniu, ponieważ gatunek, do którego należy — „ukryte niebezpieczeństwa darmowych narzędzi PDF” — jest zazwyczaj pitch sprzedażowy w białym kitlu, i powinieneś czytać to z taką świadomością.

Zatem oto ujawnienie na wstępie. Doconut.app jest darmowym hostowanym przeglądarką. Kiedy go używasz, Twój PDF jest przesyłany na nasze serwery, renderowany tam i usuwany po zakończeniu sesji przeglądania. Wszystko, co poniżej opisuje strukturalne ryzyka przesyłania dokumentu do infrastruktury kogoś innego, dotyczy również nas. Nie będziemy tego kwestionować; będziemy konkretnie mówić o tym, co robimy, a czego nie robimy, i pozwolimy Ci zdecydować, które dokumenty należą tutaj.

1. Ryzyko jest strukturalne, a nie egzotyczne

Ciekawe ryzyka nie są zerowymi dniami. Są to zwykłe konsekwencje faktu, że plik znajduje się w miejscu, którego nie kontrolujesz.

Przesyłanie jest rzeczywiste. Hostowana przeglądarka musi otrzymać dokument, aby go wyrenderować. Każdy, kto twierdzi, że oferuje usługę hostowaną, w której „plik nigdy nie opuszcza Twojego komputera”, opisuje albo czysto narzędzie po stronie klienta, albo opisuje coś nieprecyzyjnie. Na Doconut.app przesyłanie odbywa się przez HTTPS, co chroni je w tranzycie — a następnie plik znajduje się na naszych serwerach, ponieważ tak musi być.

Retencja jest obietnicą, a nie mechanizmem, który możesz sprawdzić. Mówimy, że plik jest usuwany po zakończeniu sesji. To prawda, i nie możesz tego zweryfikować z zewnątrz. To jest sedno problemu z każdą darmową przeglądarką, w tym tą: rozszerzasz zaufanie na organizację, z którą nie masz umowy.

Wspólna infrastruktura jest współdzielona. Darmowa usługa publiczna przetwarza dokumenty wielu klientów na wspólnej infrastrukturze. To inna postawa ryzyka niż oprogramowanie działające w Twojej własnej sieci, niezależnie od tego, jak starannie jest zarządzane.

Brak umowy oznacza brak podstaw prawnych. Jeśli przetwarzasz dane osobowe zgodnie z RODO, lub PHI zgodnie z HIPAA, przeniesienie pliku do procesora bez Umowy o Przetwarzaniu Danych lub Umowy o Partnerstwie Biznesowym jest problemem w momencie przesyłania — niezależnie od tego, czy coś zostanie naruszone. Doconut.app nie ma z Tobą DPA ani BAA. Dla materiałów regulowanych jest to pełna odpowiedź i żadna ilość szyfrowania tego nie zmieni.

2. Czego nie robimy

Gatunek, do którego należy ten artykuł, ma tendencję do obiecywania wszystkiego. Ponieważ celem jest kalibracja, bardziej przydatna lista to ta, co jest nieobecne:

Brak certyfikatów bezpieczeństwa. Brak ISO 27001, brak SOC 2, brak potwierdzenia HIPAA, brak oceny PCI DSS. Nie dotyczy to darmowych witryn, ani SDK. Jeśli Twój kwestionariusz dostawcy wymaga certyfikatu, nie posiadamy go.
Brak dziennika audytu. Na Doconut.app nie ma kont, więc nie ma czego przypisać dostępu i nie ma śladu, który można by Ci przekazać.
Brak usuwania metadanych. Renderujemy dokument w takiej formie, w jakiej jest. Nazwy autorów, historia wersji i komentarze w pliku pozostają w pliku — co warto wiedzieć przed przekazaniem umowy, choć to ryzyko należy do dokumentu, a nie do nas.
Brak szyfrowania w spoczynku, o którym można mówić. Nie oferujemy zaszyfrowanego przechowywania, ponieważ nie oferujemy przechowywania. Nie przechowywanie czegoś jest silniejszą właściwością niż jego szyfrowanie, ale to inna właściwość, a dostawcy często je mylą.
Brak konfigurowalnej retencji. Czas jest po naszej stronie. Nie ma ustawienia, które możesz dostosować.

3. Co robimy

Przesyłanie odbywa się przez HTTPS.
Dokument jest renderowany na naszych serwerach, a przeglądarka otrzymuje strony zamiast pliku źródłowego.
Renderowanie nie jest wykonywaniem: makra w pliku Office nie są uruchamiane, a akcje PDF nie są wywoływane. Przeglądarka rysuje dokument.
Plik jest usuwany po zakończeniu sesji przeglądania. Brak biblioteki, brak historii, brak konta.
Uploader odrzuca to, czego nie może obsłużyć przed wysłaniem — stała lista ponad 70 rozszerzeń, z limitem rozmiaru dla każdego formatu od 5 MB do 25 MB.
DICOM jest celowo wykluczony. .dcm i .ima nie są akceptowane, dokładnie dlatego, że plik DICOM zawiera identyfikatory pacjenta wraz z obrazem, a publiczny punkt końcowy do przesyłania nie jest odpowiednim miejscem.

4. Test, który możesz zastosować do dowolnego darmowego podglądu, w tym tego

Zamiast inwentarza zagrożeń, cztery pytania, które odróżniają użyteczne od nieużytecznych:

Czy jasno informuje, czy plik jest przesyłany? Jeśli odpowiedź jest niejasna, przyjmij, że jest przesyłany.
Czy podaje okres przechowywania w konkretnych warunkach? „Usunięte po zakończeniu sesji” lub „usunięte po 60 minutach” to odpowiedzi. „Twoje pliki są u nas bezpieczne” nie jest.
Czy podpisze umowę? W przypadku danych regulowanych to jedyne istotne pytanie, a darmowe usługi prawie nigdy tego nie robią. My nie.
Czy twierdzi, że posiada certyfikaty? Jeśli tak, poproś o certyfikat i jego zakres. Wiele twierdzeń w tej kategorii nie wytrzymuje takiego żądania.

Stosując do Doconut.app: tak, przesyła, tak, usuwanie następuje po zakończeniu sesji, nie, nie podpiszemy DPA, i nie, nie posiadamy certyfikatów. Ta kombinacja jest odpowiednia dla wielu dokumentów, a wykluczająca dla niektórych. Chodzi o to, że możesz rozróżnić które jest które.

5. Kiedy hostowany podgląd jest niewłaściwym narzędziem

Jeśli dokument podlega reżimowi zgodności, jest objęty zobowiązaniem poufności klienta lub po prostu nie czujesz się komfortowo wyjaśniając to w przeglądzie incydentu, żaden darmowy hostowany podgląd nie jest właściwą odpowiedzią — w tym nasz. Strukturalnym rozwiązaniem jest utrzymanie renderowania we własnej sieci.

Do tego służy Doconut SDK: ten sam silnik renderujący .NET używany na tej stronie, zainstalowany w Twoim własnym środowisku. Renderuje na Twoich serwerach i nie wykonuje żadnych połączeń z nami, więc dokument nigdy nie przekracza granicy, której nie oceniłeś wcześniej.

Bądź równie jasny co do tego, czym SDK nie jest. Nie dostarcza szyfrowania danych w spoczynku, zarządzania kluczami, integracji z dostawcą tożsamości ani dziennika audytu, i nie może uczynić Twojej aplikacji zgodną z jakimikolwiek regulacjami. Te kontrole należą do Ciebie — o co chodzi, ponieważ to właśnie te możesz już udowodnić. Komponent działający wewnątrz Twojej sieci i nie wywołujący nikogo jest argumentem architektonicznym i dla większości przeglądów bezpieczeństwa jest bardziej użyteczny niż certyfikat należący do podmiotu trzeciego.

Wnioski

Darmowe przeglądarki PDF są naprawdę przydatne, a większość dokumentów, z którymi ludzie mają do czynienia, nie jest wrażliwa. Błędem nie jest ich użycie; jest to użycie ich bez znajomości kategorii, do której należy Twój plik.

Dla zwykłego dokumentu, który musisz przeczytać jednorazowo, podgląd, który nic nie zachowuje, jest rozsądnym wyborem — i bezpieczniejszym niż pobranie pliku i otwarcie go w dowolnym zainstalowanym programie. Doconut.app zrobi to, za darmo, bez konta i usunie go później.

W przypadku czegokolwiek objętego zobowiązaniem, które musiałbyś bronić, utrzymaj przetwarzanie na sprzęcie, którym kontrolujesz.

Działania natychmiastowe

Audyt przepływów PDF w Twojej organizacji i katalogowanie już używanych darmowych narzędzi — zazwyczaj jest ich więcej niż się spodziewa.
Klasyfikuj, które typy dokumentów mogą w ogóle trafić do usługi hostowanej. To decyzja polityczna, nie techniczna.
Przenieś resztę we własnym zakresie, czy to przy użyciu Doconut SDK, czy równoważnego rozwiązania, i zachowaj dowody, o które poproszą Twoi audytorzy.