Управляйте каждой копией, создаваемой функциями работы с голосом и изображениями
Безопасное управление начинается до захвата данных и продолжается после отключения разрешений на доступ к микрофону или камере. Для каждой голосовой заметки или изображения отслеживайте три группы копий: источник на вашем устройстве, загруженные на сторону сервиса данные и любые производные элементы (например, расшифровки или миниатюры), а также копии, созданные в результате предоставления общего доступа, экспорта, резервного копирования или загрузки. Предоставляйте только те разрешения, которые необходимы для конкретного действия, проверяйте, какие данные приложение сохраняет и использует повторно согласно его описанию, и закрывайте элемент в два этапа: отзовите будущий доступ, а затем удалите и проверьте существующие копии. Отключение разрешения обычно меняет условия доступа в будущем; само по себе оно не подтверждает, что уже загруженная запись или фотография была удалена.
Выбирайте минимальный путь захвата данных
Определите, требует ли задача постоянного доступа к микрофону в реальном времени, разового голосового файла, нового снимка с камеры или одного существующего изображения. Эти пути раскрывают различные объемы материалов. Широкое разрешение на доступ ко всей библиотеке фотографий может открыть больше данных, чем выбор одного файла; непрерывный доступ к микрофону отличается от нажатия кнопки для записи одного фрагмента. Для подтверждения разрешения используйте системный запрос операционной системы, а не запрос внутри чата. И Apple, и Android предоставляют системные настройки, где можно проверить доступ к камере и микрофону, при этом точные параметры зависят от устройства и версии. Если задачу можно решить с помощью текста, обрезанного изображения или короткого фрагмента, не предоставляйте исходный файл большего объема только ради удобства.
Ведите журнал трех уровней копий перед загрузкой
Выделите одну строку для источника на устройстве, одну для копии на стороне сервиса и одну для внешних копий. Строка устройства включает оригинальную фотографию, запись, отредактированную версию, папку с удаленными файлами, облачную библиотеку фото и резервную копию устройства. Строка сервиса включает отображаемый диалог, загруженный файл, воспроизведение аудио, расшифровку, миниатюру, извлеченный текст, элемент профиля или памяти, а также любой связанный проект. Строка внешних копий включает публичные ссылки, вложения в сообщениях, загруженные файлы экспорта, уведомления по электронной почте или сохранения другими пользователями. Для каждой строки фиксируйте владельца, местоположение, цель, условия хранения, статус доступа и действия по удалению. Такой журнал гораздо полезнее, чем вопрос о том, «есть ли у приложения эта фотография», поскольку один захват данных может создать несколько независимо управляемых объектов.
Проверяйте детали фона наряду с основным содержимым
В запись могут попасть фоновые голоса, произнесенные вслух имена, окружающие звуки или шум телевизора. Изображение может содержать другого человека, документ, экран, бейдж, отражение или подсказки на заднем плане. Файлы также могут содержать даты, имена файлов, размеры, информацию об устройстве или метаданные о местоположении в зависимости от пути передачи и сервиса. Проверяйте кадр и воспроизведение перед отправкой. Обрезайте или скрывайте данные только в том случае, если полученный файл по-прежнему подходит для выполнения задачи, и запрашивайте разрешение перед включением чужого голоса, изображения, сообщения или личных вещей. Не предполагайте, что удаление чего-либо из видимой области кадра стирает информацию, которая уже была встроена в ранее экспортированную версию. Сначала создайте минимальный файл, а затем загружайте именно эту версию.
Разделяйте функции обработки и параметры хранения
Функции работы с голосом и изображениями могут выполнять транскрипцию, распознавание объектов, создание субтитров, поиск, персонализацию, проверку контента или улучшение моделей в соответствии с различными элементами управления. Ознакомьтесь с актуальным описанием продукта для вашей учетной записи и региона. Фиксируйте, происходит ли обработка на устройстве или удаленно, только в том случае, если об этом прямо заявляет поставщик; не делайте выводов на основе скорости работы или дизайна интерфейса. Проверьте, сохраняется ли расшифровка как отдельный объект, может ли изображение попадать в историю или память, прикрепляется ли исходный элемент при отправке отзыва и меняет ли временный режим правила хранения данных. Структура NIST Privacy Framework рекомендует анализировать риски конфиденциальности на всех этапах обработки данных, поэтому важный вопрос заключается не только в том, «было ли это собрано?», но и в том, «что было получено, повторно использовано, раскрыто и сохранено?».
Проверяйте общий доступ, экспорт, уведомления и резервные копии
Перед предоставлением доступа определите, кто может открыть элемент, требуется ли вход в систему, могут ли получатели скачать его и как отозвать доступ. Если сервис предлагает публичные ссылки, протестируйте образец, не содержащий конфиденциальных данных, выйдя из учетной записи. При экспорте переписки откройте полученный архив и проверьте, хранятся ли записи, изображения, расшифровки, миниатюры и метаданные в виде отдельных файлов. Переместите экспортированные данные из общей папки загрузок и удалите тестовую копию после завершения проверки. Ограничьте показ превью на экране блокировки, которые могут раскрывать имена файлов или расшифровки. Помните, что удаление элемента в сервисе не затронет сохраненную получателем копию, скриншот, резервную копию операционной системы или файл, синхронизированный с другой библиотекой. Для каждого внешнего пути требуется собственная процедура закрытия.
Закрывайте доступ и существующие копии в два этапа
Первый этап ограничивает будущее: остановите захват данных в реальном времени, отзовите доступ к микрофону, камере или фотографиям, который больше не требуется, отключите источник и подтвердите настройку после повторного открытия приложения. Второй этап касается того, что уже существует: удалите элемент переписки, расшифровку, загруженный файл, созданную память, общую ссылку, экспорт и дубликат на устройстве, от которых вы действительно намерены избавиться. Обновите данные на другом устройстве с выполненным входом и дождитесь окончания регламентированного сервисом периода обработки перед финальной проверкой. Сохраняйте подтверждение с датой, учетной записью, идентификатором элемента, действиями и результатом, но ни в коем случае не сам голос или изображение. Заново заполняйте журнал после крупных обновлений приложений или системы, поскольку названия разрешений и пути хранения данных в продукте могут меняться.
Частые вопросы
Удаляет ли отключение доступа к микрофону старые записи?
Нет. Это лишь ограничивает будущий доступ; удаляйте существующие записи, расшифровки и копии с помощью соответствующих собственных элементов управления.
Отличается ли выбор одной фотографии от предоставления доступа ко всей библиотеке?
Часто да. Используйте наиболее узкий вариант, который предлагают ваша операционная система и функция.
Что следует протестировать в первую очередь?
Используйте нейтральную запись или изображение и проследите их копии на устройстве, в сервисе, производные, общие и экспортированные копии, прежде чем использовать личные материалы.