אתיקה ופרטיות ב-OSINT: מה לא לאסוף

מידע ציבורי ומידע שמותר לאסוף הם שני דברים שונים. פרופיל יכול להיות גלוי לכולם ועדיין להיות נושא גרוע למחקר שלך. אתיקה ב-OSINT פירושה להחליט, לפני החיפוש הראשון, למה מחפשים, מי הסכים לכך, מה נשמר ומתי זה נמחק. המאמר מראה איך מקבלים את ההחלטות האלה ואיך כותבים אותן בתוכנית של עמוד אחד. הוא מניח היכרות עם מה זה OSINT.

#מה המשמעות של אתיקה ב-OSINT

בתחום הזה האתיקה מעשית. היא מעצבת את הבחירות שמגדירות איסוף: איזו שאלה שואלים, אילו מקורות פותחים, כמה מתעדים ומה מפרסמים. החוק קובע רצפה. הפרקטיקה המקצועית נמצאת בדרך כלל מעליה, כי איסוף חוקי עדיין יכול לפגוע באנשים שלא הייתה להם מילה בעניין.

חמישה רעיונות מכסים את רוב המקרים: מטרה, מידתיות, הרשאה, מזעור ושמירה. אפשר ליישם את כל החמישה עם עט ודף ריק, לפני שפותחים דפדפן.

#הגבלת מטרה

כותבים משפט אחד שנוקב בהחלטה שהמחקר תומך בה. "לברר כל מה שאפשר על האדם הזה" הוא משאלה. "לאשר אם כל דומיין שרשום על שם החברה שלנו נמצא במלאי הנכסים שלנו" הוא מטרה. מטרה טובה אומרת אילו מקורות רלוונטיים ואילו תוצאות הן רעש.

נתונים שנאספו למטרה אחת לא אמורים לגלוש לאחרת. אם סקירה של הדומיינים של החברה שלך מעלה חשבון אישי של עובד ברשת חברתית, החשבון הזה נשאר מחוץ לסקירה, גם אם הוא נמצא.

#מידתיות

צריך לשאול אם עומק האיסוף מתאים לחשיבות השאלה. בדיקה שגרתית של הודעות אבטחה ציבוריות של ספק לא מצדיקה בניית ציר זמן של העובדים שלו.

מידתיות חלה גם על השיטה. שאילתה פסיבית במאגרים ציבוריים היא חדירה קלה יותר משליחת בקשות לשרת חי. השאלה צריכה לקבוע איזה סוג של צעד נדרש, וכשהצעד הקל עונה עליה, נוקטים בו.

#הרשאה והסכמה

בעבודת אבטחה, מי שיכולים לאשר את המחקר שלך הם הבעלים של הנכסים. כשמעריכים ארגון, ההרשאה בכתב צריכה לנקוב בארגון, בנכסים, בתקופה ובשיטות המותרות. הרשאה חסרה היא סיבה לעצור, ולא פרט שמשלימים אחר כך.

גם מחקר ציבורי על ארגון שלא פועלים מטעמו צריך סיבה שאדם סביר יקבל. הוא גם חייב לעצור במקום שבו מתחילים החיים הפרטיים של אדם מזוהה. הסכמה היא בסיס משפטי לעיבוד מידע אישי בחלק מהמשטרים, ואפשרות אחת מבין כמה באחרים. העובדה שדף הוא ציבורי לא נותנת קיצור דרך.

#מזעור נתונים

אוספים את השדות הדרושים כדי לענות על השאלה, ותו לא. כדי לבדוק אם דומיין מצביע על שרת הדואר שלך, צריך את הדומיין, את סוג הרשומה, את התשובה ואת זמן התצפית. לא צריך את כתובת הבית של הרושם, את ה-HTML המלא של דף עם תגובות לא קשורות, או צילום מסך שבו רואים זר ברקע.

מזעור זול יותר מניקוי. שדה שלא נאסף הוא שדה שלא יכול לדלוף.

#שמירה ומחיקה

צריך לרשום כמה זמן החומר יישמר ומי יכול לקרוא אותו. דפוס סביר הוא לשמור את הראיות שתומכות בכל ממצא, למחוק מידע אישי גולמי אחרי שהדוח התקבל, ולתעד את תאריך המחיקה. מספר הימים המדויק תלוי בעבודה ובחוק שחל עליך. העיקר שהתאריך יופיע בתוכנית, ולא רק בזיכרון שלך.

#למה נתונים ציבוריים אינם הפקר

יש לכך שלוש סיבות.

ראשית, אנשים מפרסמים מידע למטרה מסוימת. תמונת חתונה משותפת עם חברים, קורות חיים עם מגייסים, ופוסט בפורום עם קבוצת תחביב. העברת המידע הזה להקשר חדש יכולה לגרום נזק גם כששום דבר לא נפרץ.

שנית, צבירה יוצרת מידע חדש. כתובת, מקום עבודה, בית הספר של ילד ולוח זמנים בחדר כושר יכולים להיות תמימים כל אחד לבדו ומסוכנים ביחד. פרופיל מקובץ יכול לחשוף אדם בדרך שאף מקור בודד לא חשף.

שלישית, מקורות ציבוריים כוללים נתונים שדלפו, שנגרדו או שמישהו אחר פרסם. ייתכן שהאדם שהם מתארים מעולם לא התכוון שישותפו, וייתכן שהחזקתם אינה חוקית. גישה אומרת שאפשר לראות משהו. היא לא אומרת כלום על השאלה אם צריך לשמור אותו.

#אנשים פרטיים הם מחוץ לתחום לתרגול

אין לתרגל OSINT על אנשים פרטיים. זה כולל חברים, בני זוג לשעבר, עמיתים, שכנים, אנשים שהכרת ברשת ודמויות ציבוריות שלא מוצאות חן בעיניך. לומדים רוצים לעתים קרובות שם אמיתי כדי לבדוק טכניקה. בדיוק אז הטכניקה מתחילה לפגוע במישהו.

במקום זה משתמשים במה שבשליטתך: החשבונות והדומיינים שלך, ארגון בדיקה שיש לך הרשאה להעריך, או הנתונים הסינתטיים במעבדה שלך. אם תרגיל בכיתה צריך יעד, ממציאים אחד ובונים לו את הנתונים. חיפוש של השם שלך כדי לראות את החשיפה שלך הוא תרגיל מועיל, וגם הוא דורש מטרה כתובה.

#היסודות המשפטיים: LGPD ו-GDPR

רוב הקוראים בברזיל או באיחוד האירופי יהיו כפופים לאחד משני חוקים. הסעיף הזה הוא סקירה ואינו ייעוץ משפטי. כשהעבודה נוגעת במידע אישי בהיקף גדול, צריך לדבר עם עורך דין שמכיר את תחום השיפוט שלך.

#ברזיל: LGPD

Lei 13.709/2018, ה-Lei Geral de Proteção de Dados (LGPD), מסדיר עיבוד מידע אישי בידי יחידים וחברות, ברשת ומחוץ לה, עם כמה חריגים. שלושה חלקים חשובים לחוקר.

סעיף 6 מפרט את העקרונות. שניים מהם נושאים כאן את רוב המשקל. Finalidade (מטרה) דורש מטרות לגיטימיות, ספציפיות ומפורשות שהאדם יכול לדעת עליהן. Necessidade (נחיצות) מגביל את העיבוד למה שרלוונטי ומידתי למטרות האלה. Adequação (הלימות) דורש שהעיבוד יתאים למטרה שהוצהרה בהקשר שלה.

סעיף 7 מפרט עשרה בסיסים משפטיים. הסכמה היא אחד מהם, אך לא היחיד. אינטרסים לגיטימיים (פריט IX) זמינים, אבל הם נסוגים כשהזכויות הבסיסיות של האדם גוברות, והם עדיין צריכים לעמוד בעקרונות של סעיף 6. מחקרים של גופי מחקר (פריט IV) מופיעים גם הם, עם העדפה לאנונימיזציה של נתונים כשאפשר.

סעיף 4, פריט III, מחריג עיבוד שנעשה אך ורק לצורכי ביטחון הציבור, הגנה לאומית, ביטחון המדינה או חקירה ואכיפה פלילית. לא כדאי לחוקרים פרטיים להניח שהחריג הזה מכסה אותם. הוא מיועד לחקיקה ספציפית ולרשויות ציבוריות, ופסקה 2 מגבילה גופים פרטיים מלעבד מכוחו, למעט תחת פיקוח במשפט הציבורי. חברת ייעוץ שעובדת עבור לקוח אינה רשות ציבורית.

סעיפים 15 ו-16 עוסקים במועד סיום העיבוד ובמועד שבו יש למחוק נתונים. סעיף 5, פריט III, מגדיר נתונים שעברו אנונימיזציה, וסעיף 12 קובע שנתונים כאלה אינם מידע אישי, אלא אם אפשר להפוך את האנונימיזציה במאמץ סביר. בפועל, גם מאגר נתונים שנקרא אצלך אנונימי צריך זהירות. כמה מזהים עקיפים, כמו מיקוד, תפקיד ותאריך לידה, יכולים לזהות אדם יחיד.

#האיחוד האירופי: GDPR

Regulation (EU) 2016/679, ה-General Data Protection Regulation (GDPR), מגדיר מידע אישי באופן רחב בסעיף 4(1): מידע שמתייחס לאדם טבעי מזוהה או בר זיהוי. סעיף 5 קובע את העקרונות. פריט (b) עוסק בהגבלת מטרה, פריט (c) במזעור נתונים ופריט (e) בהגבלת שמירה. פסקה 2 מטילה על האחראי לעיבוד את האחריות להראות עמידה בדרישות.

סעיף 6 מפרט את הבסיסים החוקיים. סעיף 9 עוסק בקטגוריות מיוחדות של מידע, כמו בריאות, דעות פוליטיות ואמונות דתיות, שדורשות תנאי נוסף. סעיף 17 עוסק במחיקה. סעיף 35 דורש הערכת השפעה על הגנת המידע כשהעיבוד צפוי להיות בסיכון גבוה.

החריג לשימוש ביתי בסעיף 2(2)(c) מכסה פעילות אישית או ביתית גרידא. הוא לא מכסה מחקר מקצועי. ברגע שעובדים עבור לקוח, החריג לא חל.

#מה החוקים אומרים על התוכנית שלך

שני החוקים שואלים את אותן שאלות: למה, על איזה בסיס, כמה, לכמה זמן ומי יכול לראות. תוכנית מחקר שעונה על השאלות האלה מראש תעמוד ברוב החובות שחלות על חקירה קטנה. התרגיל בהמשך שואל כל שאלה ישירות.

#Berkeley Protocol כמסמך ייחוס מקצועי

את Berkeley Protocol on Digital Open Source Investigations פיתח ה-Human Rights Center ב-University of California, Berkeley, ופרסם ה-United Nations Human Rights Office. זהו מסמך ייחוס לחוקרים שעובדים עם חומר דיגיטלי ממקורות פתוחים, כולל עבודה בתחום זכויות אדם ואחריותיות. הוא מציב את התכנון ואת המסגרת האתית והמשפטית בנקודת הפתיחה של החקירה.

לא צריך לעסוק בחקירות זכויות אדם כדי ללמוד ממנו. הסעיפים האתיים שלו מראים איך אנשי מקצוע זהירים חושבים על נזק לפני השאילתה הראשונה. כדאי לקרוא את הפרוטוקול עצמו לפני שסומכים על סיכום כלשהו, כולל זה.

#מה לא לאסוף

הרשימה הבאה היא נקודת התחלה. ההרשאה שלך ותחום השיפוט שלך יכולים להוסיף עליה.

• סיסמאות, טוקנים של סשן, מפתחות API או אישורי גישה אחרים, גם כשהם מופיעים ב-paste ציבורי. מדווחים עליהם לבעלים בערוץ אחראי, ולא בודקים אותם.
• מידע אישי על אנשים מחוץ לסקופ שלך, כמו קרובי משפחה של עובדים, לקוחות או אנשים שהגיבו לפוסט.
• מידע מקטגוריות מיוחדות, כמו בריאות, דת, דעות פוליטיות או נטייה מינית, אלא אם הבסיס המשפטי ברור והעבודה באמת דורשת אותו. רוב מחקרי האבטחה לא דורשים.
• כתובות בית, מספרי טלפון אישיים והיסטוריית מיקום של יחידים.
• תוכן מקבוצות פרטיות, מצ׳אטים סגורים או מחשבונות שהגעת אליהם עם פרטי כניסה של מישהו אחר.
• עותקים מלאים של מאגרי נתונים שדלפו. שורה אחת מושחרת מספיקה כדי להמחיש נקודה, אם בכלל צריך להמחיש אותה.
• תמונות של אנשים כשתיאור טקסטואלי עונה על השאלה.

אם נאסף משהו שלא היה צריך להיאסף, עוצרים. מתעדים מה נעשה ומתי. מעדכנים את האחראי על העבודה. מוחקים את העותק שאסור להחזיק, ורושמים את המחיקה.

#תרגול: כתיבת תוכנית מחקר בעמוד אחד

התרגיל הזה לא דורש מעבדה ולא פקודות. בוחרים ארגון שבבעלותך או שיש לך הרשאה להעריך. דומיין במעבדה שלך, חברת בדיקה שהקמת או לקוח שנתן לך הרשאה בכתב יתאימו. אין להשתמש באדם אמיתי, במתחרה או בספק שלא פועלים מטעמו.

מעתיקים את התבנית הזו לקובץ טקסט וממלאים כל שדה.

Organisation and authorisation
  Who owns or runs the assets:
  Written permission (document name, date, who signed):
  Valid until:

Research question
  One sentence. Which decision will this support?

Purpose
  Why this data is needed, and what it will not be used for:

Scope
  In scope (domains, public repositories, public documents):
  Out of scope (people, accounts, systems, data types):

Sources and methods
  Source 1 (URL or dataset, how accessed, date):
  Source 2 (URL or dataset, how accessed, date):
  Passive only? Active steps are out of scope for this exercise.

Data minimisation
  Fields to record:
  Fields you will not record:
  Personal data expected? yes / no. If yes, the legal basis is:

Storage and retention
  Where raw material is kept, and who can access it:
  Deletion date:
  What remains after deletion (the finding and its citation only):

Review
  Reviewer name and date:

#איך ממלאים

מטרה טובה נוקבת בהחלטה. "ללמוד על החברה שלנו" הוא נושא. גרסה טובה יותר אומרת: "למצוא רשומות DNS ציבוריות תחת example-corp.test שחסרות במלאי הנכסים שלנו, כדי שצוות ה-IT יאשר או יבטל אותן עד סוף הספרינט."

סקופ טוב מפרט מה בחוץ וגם מה בפנים. כתיבת הפריטים שמחוץ לסקופ מאלצת לשים לב מתי חיפוש גולש לעבר אדם.

במקורות נוקבים ב-URL או במאגר הנתונים ובתאריך הגישה. אם צעד נוגע במערכת חיה, התוכנית חייבת לומר זאת ולצטט את ההרשאה. התרגיל הזה נשאר פסיבי לגמרי.

במזעור מפרטים את השדות שיתועדו, ואז את השדות שמדלגים עליהם בכוונה. אם התוכנית צופה מידע אישי בכלל, צריך לציין את הבסיס המשפטי.

בשמירה נותנים תאריך אמיתי. תוכנית שאומרת "למחוק אחר כך" אף פעם לא מוחקת כלום.

#בדיקת התוכנית

קוראים שוב את התוכנית ושואלים אם סוקר שלא כתב אותה יכול להבין מה ייאסף, למה, מי יכול לקרוא אותו ומתי הוא יימחק. אם התשובה שלילית, מתחילים בשכתוב המטרה. רוב הפערים האחרים נובעים ממטרה מעורפלת.

#טעויות נפוצות

• התייחסות לציבורי כאל מותר. נראות עונה על שאלה טכנית. השאלה האתית עדיין פתוחה.
• כתיבת המטרה אחרי האיסוף. מטרה שנכתבה כדי להתאים לנתונים קיימים היא הצדקה בדיעבד.
• שמירת הכול ליתר ביטחון. לאחסון יש מחיר, וכך גם לאדם הבא שפותח את התיקייה.
• בניית פרופיל בשביל שאלה על עובדה אחת. כשצריך את הרשם של דומיין, לא צריך את עץ המשפחה של הבעלים.
• שכחת תאריך המחיקה. חומר גולמי נשאר שנים אחרי שהפרויקט נגמר.
• בלבול בין הרשאת הלקוח להסכמת העובדים שלו. ההרשאה מכסה את הנכסים. היא לא מכסה את כל מי שעובד איתם.
• פרסום פרטים מזהים בדוח. הקורא צריך את הממצא, ולא את המידע האישי שמאחוריו.

#איך ממשיכים מכאן

כדאי לקרוא את Berkeley Protocol במלואו, ואת הנוסחים של LGPD ו-GDPR עצמם, בלי להסתמך על סיכומים משניים. להנחיות בברזיל, כדאי לעבור על הפרסומים של Autoridade Nacional de Proteção de Dados (ANPD). באיחוד האירופי, על ההנחיות של הרשות הלאומית להגנת מידע במדינה שלך.

המאמר הבא במסלול, Certificate Transparency לדומיינים שלך, מיישם את הכללים האלה בתרגיל פסיבי ותחום על דומיין בבעלותך. כדאי להשאיר את תוכנית המחקר פתוחה בזמן הקריאה.

#מקורות

• Berkeley Protocol on Digital Open Source Investigations, OHCHR
• Lei 13.709/2018, LGPD, Planalto
• Regulation (EU) 2016/679, GDPR, EUR-Lex