
🔷«Когда сотрудник какой-то компании хочет поделиться с вами информацией о нарушениях, важно не «подставить» этого человека, и сохранить его конфиденциальность, как до, так и после публикации.
Иначе у вас появится репутация организации, которой плевать на источники» -- считает вице-президент по корпоративной безопасности The New York Times Джейсон Райх.
🔷 Небанальные рецепты безопасности от Райха:
• исчезающие сообщения в мессенджере;
• скрытые водяные знаки на изображениях;
• специальный порядок слов, как сигнал тревоги.
🔷 При работе со знакомыми источниками вы легко можете договориться о способах связи и даже проверить онлайн, что с вами говорит именно он. Например, спросить, что он заказал на обед, когда вы впервые встречались.
Если же человек обратился к вам впервые, нужно принять особые меры безопасности -- отметила директор по информационной безопасности Freedom of the Press Foundation Харло Холмс.
🔷Проблемы первого контакта, о которых необходимо помнить:
- Источник может написать вам из незащищенной почты.
- Позвонить по незащищенному каналу связи, например, с рабочего телефона или на домашний телефон.
- Часто источники ничего не знают о метаданных файлов.
- Мало что знают о безопасности девайсов.
- Работодатель может предоставить сотруднику «управляемое устройство», куда имеют доступ айтишники. И они могут увидеть, какие файлы человек просматривал, скачивал, отправлял с этого устройства, на какие страницы заходил в браузере или, например, обратить внимание на то, что сотрудник зачем-то установил браузер Tor.
- Источник может использовать рабочий принтер со скрытыми водяными знаками или просто сетевой принтер, на котором сохраняются отправленные на него файлы.
🔷 Допустим, новый источник из крупной компании предлагает переслать вам документы о допущенных этой компаниях нарушениях.
🔷 Что следует обсудить?
• жаловался ли этот человек руководству на нарушения, данными о которых он хочет поделиться с журналистами (тогда при утечке подозрение сразу падет на него);
• есть ли в помещении, где он работает, камеры и прослушка;
• принадлежит ли телефон и компьютер источника компании, на которую он работает;
• если он может сфотографировать документы незаметно для камер, узнайте, загружаются ли изображения с его телефона на облако;
• сможет ли он, скрывшись от камер, снять с безопасного устройства экран;
• попросите отправить фото документа через Signal – информация, пересылаемая через этот мессенджер не может быть отслежена;
• однако, если телефон источника отслеживается, и он вдруг начнет скачивать Сигнал, его служба безопасности может встревожиться. Поэтому, если у вашего информатора уже есть WhatsApp или Тelegram, лучше воспользоваться ими.
• Если документы нам нужны в цифровом виде – попросите прислать через Securedrop.org; он используется для безопасного получения документов из анонимных источников через браузер Tor.
Более подробный обзор этой сессии скоро появится тут.














