Etica e privacy nell'OSINT: che cosa non raccogliere

Un'informazione pubblica non è per forza un'informazione che puoi raccogliere. Un profilo può essere visibile a tutti e restare comunque un cattivo oggetto di ricerca. Etica nell'OSINT significa decidere, prima di qualsiasi ricerca, perché stai cercando, chi è d'accordo, che cosa conserverai e quando lo cancellerai. Questo articolo mostra come prendere queste decisioni e come scriverle in un piano di una pagina. Presuppone che tu abbia letto Che cos'è l'OSINT.

#Che cosa significa etica nell'OSINT

In questo campo l'etica è una questione pratica. Guida le scelte che definiscono una raccolta: quale domanda fai, quali fonti apri, quanto registri e che cosa pubblichi. La legge fissa una soglia minima. La pratica professionale di solito sta più in alto, perché una raccolta lecita può comunque danneggiare persone che non hanno avuto voce in capitolo.

Cinque idee coprono la maggior parte dei casi: finalità, proporzionalità, autorizzazione, minimizzazione e conservazione. Puoi applicarle tutte e cinque con una penna e un foglio bianco, prima di aprire il browser.

#Limitazione della finalità

Scrivi una frase che nomini la decisione che la tua ricerca deve sostenere. "Scoprire il possibile su questa persona" è un desiderio, non una finalità. "Confermare se ogni dominio registrato con il nome della nostra azienda è nel nostro inventario degli asset" è una finalità. Una buona finalità ti dice quali fonti contano e quali risultati sono rumore.

I dati raccolti per una finalità non dovrebbero scivolare verso un'altra. Se una revisione dei domini della tua azienda fa emergere l'account social personale di un dipendente, quell'account resta fuori dalla revisione, anche se l'hai trovato.

#Proporzionalità

Chiediti se la profondità della raccolta è adeguata all'importanza della domanda. Un controllo di routine dei bollettini di sicurezza pubblici di un fornitore non giustifica una cronologia del suo personale.

La proporzionalità riguarda anche il metodo. Una consultazione passiva di registri pubblici è un'intrusione più leggera dell'invio di richieste a un server attivo. È la domanda a stabilire quale tipo di passo ti serve, e quando basta il passo più leggero, fai quello.

#Autorizzazione e consenso

Nel lavoro di sicurezza, chi può approvare la tua ricerca sono i proprietari degli asset. Se valuti un'organizzazione, l'autorizzazione scritta dovrebbe nominare l'organizzazione, gli asset, il periodo e i metodi ammessi. Se manca l'autorizzazione ti fermi, non è un dettaglio da sistemare dopo.

Anche una ricerca pubblica su un'organizzazione che non rappresenti ha bisogno di un motivo che una persona ragionevole accetterebbe. E deve fermarsi dove comincia la vita privata di una persona identificata. Il consenso è una base giuridica per i dati personali in alcuni ordinamenti e, in altri, una delle varie possibilità. Il fatto che una pagina sia pubblica non ti dà una scorciatoia.

#Minimizzazione dei dati

Raccogli i campi che ti servono per rispondere alla domanda e nient'altro. Per controllare se un dominio punta al tuo server di posta ti servono il dominio, il tipo di record, la risposta e il momento dell'osservazione. Non ti servono l'indirizzo di casa dell'intestatario, l'HTML completo di una pagina con commenti estranei o uno screenshot con uno sconosciuto sullo sfondo.

Minimizzare costa meno che ripulire. Ogni campo che non raccogli è un campo che non puoi far trapelare.

#Conservazione e cancellazione

Scrivi per quanto tempo terrai il materiale e chi può leggerlo. Una prassi ragionevole è conservare le prove a sostegno di ogni finding, cancellare i dati personali grezzi quando il report viene accettato e registrare la data di cancellazione. Il numero esatto di giorni dipende dall'incarico e dalla legge che vale nel tuo caso. L'importante è che la data stia nel piano e non solo nella tua memoria.

#Perché i dati pubblici non sono automaticamente a tua disposizione

I motivi sono tre.

Primo, le persone pubblicano le informazioni con uno scopo. Una foto di matrimonio si condivide con gli amici, un curriculum con i recruiter, un post su un forum con un gruppo di appassionati. Spostare quell'informazione in un contesto nuovo può causare danni anche se nessuno ha violato nulla.

Secondo, l'aggregazione crea informazioni nuove. Un indirizzo, un posto di lavoro, la scuola di un figlio e gli orari della palestra possono essere innocui presi uno per uno e pericolosi messi insieme. Un profilo costruito così può esporre una persona come nessuna singola fonte aveva fatto.

Terzo, le fonti pubbliche includono dati trapelati, estratti con lo scraping o pubblicati da qualcun altro. La persona a cui si riferiscono può non aver mai voluto condividerli, e tenerli può essere illecito. L'accesso ti dice che puoi vedere una cosa. Non dice nulla sul fatto che tu debba conservarla.

#I privati non sono materiale per esercitarsi

Non fare pratica di OSINT su persone private. Questo vale per amici, ex partner, colleghi, vicini, persone conosciute online e personaggi pubblici che ti stanno antipatici. Chi impara spesso vuole un nome vero per provare una tecnica. È esattamente lì che la tecnica comincia a fare male a qualcuno.

Usa invece ciò che controlli: i tuoi account e domini, un'organizzazione di test che hai il permesso di valutare o i dati sintetici del tuo lab. Se un esercizio in aula ha bisogno di un bersaglio, inventalo e costruisci tu i suoi dati. Cercare il tuo nome per vedere la tua esposizione è un esercizio utile, e richiede comunque una finalità scritta.

#Le basi legali: LGPD e GDPR

La maggior parte dei lettori in Brasile o nell'Unione europea ricadrà sotto una di queste due leggi. Questa sezione è una panoramica e non è una consulenza legale. Se il tuo lavoro tocca dati personali su larga scala, parla con un avvocato che conosce il tuo ordinamento.

#Brasile: LGPD

La Lei 13.709/2018, Lei Geral de Proteção de Dados (LGPD), regola il trattamento dei dati personali da parte di persone e aziende, online e offline, con alcune eccezioni. Per un ricercatore contano tre parti.

L'articolo 6 elenca i principi. Due pesano più degli altri qui. La finalidade (finalità) richiede scopi legittimi, specifici ed espliciti che l'interessato possa conoscere. La necessidade (necessità) limita il trattamento a ciò che è pertinente e proporzionato a quegli scopi. L'adequação (adeguatezza) chiede che il trattamento sia coerente con la finalità dichiarata nel suo contesto.

L'articolo 7 elenca dieci basi giuridiche. Il consenso è una di queste, ma non l'unica. Il legittimo interesse (punto IX) è disponibile, ma cede dove prevalgono i diritti fondamentali dell'interessato, e deve comunque rispettare i principi dell'articolo 6. Sono previsti anche gli studi degli enti di ricerca (punto IV), con una preferenza per l'anonimizzazione dei dati quando è possibile.

L'articolo 4, punto III, esclude i trattamenti fatti esclusivamente per sicurezza pubblica, difesa nazionale, sicurezza dello Stato o indagine e repressione di reati. I ricercatori privati non dovrebbero dare per scontato che quell'esenzione li copra. Riguarda leggi specifiche e autorità pubbliche, e il paragrafo 2 limita il trattamento da parte di soggetti privati, salvo sotto la vigilanza di un ente di diritto pubblico. Una società di consulenza che lavora per un cliente non è un'autorità pubblica.

Gli articoli 15 e 16 stabiliscono quando il trattamento termina e quando i dati vanno cancellati. L'articolo 5, punto III, definisce i dati anonimizzati, e l'articolo 12 dice che i dati anonimizzati non sono dati personali a meno che l'anonimizzazione non si possa invertire con uno sforzo ragionevole. In pratica, anche un dataset che chiami anonimo richiede attenzione. Pochi quasi-identificatori, come CAP, qualifica professionale e data di nascita, possono individuare una persona.

#Unione europea: GDPR

Il Regolamento (UE) 2016/679, il Regolamento generale sulla protezione dei dati (GDPR), definisce in modo ampio i dati personali all'articolo 4(1): informazioni riguardanti una persona fisica identificata o identificabile. L'articolo 5 fissa i principi. La lettera (b) riguarda la limitazione della finalità, la lettera (c) la minimizzazione dei dati, la lettera (e) la limitazione della conservazione. Il paragrafo 2 rende il titolare del trattamento responsabile di dimostrare la conformità.

L'articolo 6 elenca le basi giuridiche. L'articolo 9 riguarda le categorie particolari di dati, come salute, opinioni politiche e convinzioni religiose, che richiedono una condizione aggiuntiva. L'articolo 17 riguarda la cancellazione. L'articolo 35 impone una valutazione d'impatto sulla protezione dei dati quando il trattamento può presentare un rischio elevato.

L'esenzione domestica dell'articolo 2(2)(c) copre le attività a carattere esclusivamente personale o domestico. La ricerca professionale ne resta fuori. Appena lavori per un cliente, l'esenzione non ti riguarda più.

#Che cosa significano le leggi per il tuo piano

Entrambe le leggi fanno le stesse domande: perché, su quale base, quanto, per quanto tempo e chi può vedere i dati. Un piano di ricerca che risponde in anticipo a queste domande soddisfa la maggior parte degli obblighi che si applicano a una piccola indagine. L'esercizio qui sotto pone ogni domanda in modo diretto.

#Il Berkeley Protocol come riferimento professionale

Il Berkeley Protocol on Digital Open Source Investigations è stato sviluppato dallo Human Rights Center della University of California, Berkeley, e pubblicato dall'Ufficio delle Nazioni Unite per i diritti umani. È un riferimento per chi indaga su materiale digitale open source, compreso il lavoro sui diritti umani e sull'accertamento delle responsabilità. Tratta la pianificazione e il quadro etico e legale come il punto di partenza di un'indagine, non come un'aggiunta a posteriori.

Non serve occuparsi di diritti umani per imparare qualcosa da questo testo. Le sezioni etiche mostrano come i professionisti attenti ragionano sul danno prima di qualsiasi query. Leggi direttamente il protocollo prima di fare affidamento su qualsiasi riassunto, compreso questo.

#Che cosa non dovresti raccogliere

L'elenco qui sotto è un punto di partenza. La tua autorizzazione e il tuo ordinamento possono aggiungere altro.

• Password, token di sessione, chiavi API o altre credenziali, anche quando compaiono in un paste pubblico. Segnalale al proprietario attraverso un canale responsabile e non provarle.
• Dati personali di persone fuori dal perimetro, come parenti dei dipendenti, clienti o chi ha commentato un post.
• Dati di categorie particolari, come salute, religione, opinioni politiche o orientamento sessuale, a meno che la base giuridica non sia chiara e il lavoro non ne abbia davvero bisogno. La maggior parte della ricerca di sicurezza non ne ha bisogno.
• Indirizzi di casa, numeri di telefono personali e cronologia degli spostamenti di singole persone.
• Contenuti di gruppi privati, chat chiuse o account a cui sei arrivato con le credenziali di qualcun altro.
• Copie complete di dataset trapelati. Una singola riga oscurata basta a dimostrare un punto, se devi proprio dimostrarne uno.
• Foto di persone quando una descrizione testuale risponde alla domanda.

Se raccogli qualcosa che non avresti dovuto, fermati. Registra che cosa hai fatto e quando. Avvisa il responsabile dell'incarico. Cancella la copia che non dovresti avere e annota la cancellazione.

#Pratica: scrivi un piano di ricerca di una pagina

Questo esercizio non richiede un lab né comandi. Scegli un'organizzazione di tua proprietà o che hai il permesso di valutare. Vanno bene un dominio del tuo lab, un'azienda di test che hai creato o un cliente che ti ha dato il permesso scritto. Non usare una persona reale, un concorrente o un fornitore che non rappresenti.

Copia questo modello in un file di testo e compila ogni campo.

Organisation and authorisation
  Who owns or runs the assets:
  Written permission (document name, date, who signed):
  Valid until:

Research question
  One sentence. Which decision will this support?

Purpose
  Why this data is needed, and what it will not be used for:

Scope
  In scope (domains, public repositories, public documents):
  Out of scope (people, accounts, systems, data types):

Sources and methods
  Source 1 (URL or dataset, how accessed, date):
  Source 2 (URL or dataset, how accessed, date):
  Passive only? Active steps are out of scope for this exercise.

Data minimisation
  Fields to record:
  Fields you will not record:
  Personal data expected? yes / no. If yes, the legal basis is:

Storage and retention
  Where raw material is kept, and who can access it:
  Deletion date:
  What remains after deletion (the finding and its citation only):

Review
  Reviewer name and date:

#Come compilarlo

Una buona finalità nomina una decisione. "Informarsi sulla nostra azienda" è un argomento, non una finalità. Una versione migliore è: "Trovare i record DNS pubblici sotto example-corp.test che mancano dal nostro inventario degli asset, così l'IT può confermarli o dismetterli entro la fine dello sprint."

Un buon perimetro elenca ciò che sta fuori oltre a ciò che sta dentro. Scrivere le voci fuori perimetro ti costringe ad accorgerti quando una ricerca sta scivolando verso una persona.

Per le fonti, indica l'URL o il dataset e la data di accesso. Se un passo tocca un sistema attivo, il piano deve dirlo e citare l'autorizzazione. Questo esercizio resta tutto passivo.

Per la minimizzazione, elenca i campi che registrerai, poi quelli che salterai di proposito. Se il piano prevede dati personali, indica la base giuridica.

Per la conservazione, metti una data vera. Un piano che dice "cancellare più tardi" non cancella mai niente.

#Controlla il tuo piano

Rileggi il piano e chiediti se un revisore che non l'ha scritto capirebbe che cosa raccoglierai, perché, chi può leggerlo e quando sarà cancellato. Se la risposta è no, riscrivi prima la finalità. La maggior parte delle altre lacune deriva da una finalità vaga.

#Errori comuni

• Trattare ciò che è pubblico come permesso. La visibilità risponde a una domanda tecnica. Quella etica resta aperta.
• Scrivere la finalità dopo la raccolta. Una finalità scritta per adattarsi a dati già raccolti è una razionalizzazione.
• Tenere tutto, nel dubbio. Conservare ha un costo, e lo ha anche la prossima persona che apre la cartella.
• Costruire un profilo per una domanda da un solo dato. Se ti serve il registrar di un dominio, non ti serve l'albero genealogico del proprietario.
• Dimenticare la data di cancellazione. Il materiale grezzo sopravvive al progetto per anni.
• Confondere il permesso del cliente con il consenso dei suoi dipendenti. L'autorizzazione copre gli asset, non chiunque ci lavori.
• Pubblicare dettagli identificativi nel report. A chi legge serve il finding, non i dati personali che ci stanno dietro.

#Per andare oltre

Leggi il Berkeley Protocol per intero, e leggi di persona i testi di LGPD e GDPR senza affidarti a riassunti di seconda mano. Per le indicazioni brasiliane, guarda le pubblicazioni dell'Autoridade Nacional de Proteção de Dados (ANPD). Per l'UE, guarda le linee guida della tua autorità nazionale per la protezione dei dati.

Il prossimo articolo di questo percorso, Certificate Transparency per i tuoi domini, applica queste regole a un esercizio passivo e con un perimetro definito su un dominio di tua proprietà. Tieni aperto il tuo piano di ricerca mentre lo leggi.

#Fonti

• Berkeley Protocol on Digital Open Source Investigations, OHCHR
• Lei 13.709/2018, LGPD, Planalto
• Regulation (EU) 2016/679, GDPR, EUR-Lex