Видалення SSN з PDF

Номери соціального страхування (SSN) — це класичний випадок для видалення: SSN короткий, його легко не помітити, він однозначно ідентифікує особу і завдає непоправної шкоди у разі витоку. Якщо ви готуєте заяву до суду, відповідь на запит публічної інформації, договір з постачальником або страховий пакет документів, «я закрив його чорним прямокутником» не є захистом — це радше закладка для тих, хто знає, як шукати. Ось як насправді працює видалення конфіденційної інформації і як це зробити, нікуди не завантажуючи документ.

Критична помилка: малювання чорного прямокутника

Перший інстинкт — відкрити PDF-редактор, намалювати чорний прямокутник поверх конфіденційного тексту та зберегти. Цей спосіб гарантовано дає збій, і причина полягає в самому форматі PDF.

PDF зберігає два паралельні подання тексту. Існує видимий шар — гліфи, які малюються на екрані, — і текстовий шар, фактичні коди символів, які знаходяться в потоці вмісту сторінки, і це саме те, що читають пошукові системи, функція копіювання-вставлення та програми зчитування з екрана. Коли ви малюєте чорний прямокутник, ви змінюєте лише видимий шар. Текстовий шар під ним залишається абсолютно неушкодженим, і будь-хто може виділити «відредаговану» ділянку, скопіювати її або експортувати текст і прочитати SSN у вигляді звичайного тексту. Гірше того, деякі функції «видалення» в базових редакторах — це буквально просто прямокутники з темною заливкою.

Цей тип збою має назву в електронному розкритті інформації (e-discovery): він називається порушенням метаданих / текстового шару, і через нього було розкрито запечатані документи в реальних судових справах. Якщо ваше видалення можна обійти за допомогою Ctrl+A, Ctrl+C, це не є видаленням.

Що робить справжнє видалення

Справжнє видалення прибирає текст із самого потоку вмісту. Символи фізично видаляються з файлу, і лише після цього візуальна область перекривається. Після справжнього видалення:

Виділення ділянки нічого не виділяє.
Копіювання-вставлення не повертає прихованого тексту.
Пошук SSN у файлі дає нуль результатів.
Коди символів більше не існують у байтах файлу.

Будь-який інструмент, який робить менше, ніж це, не виконує справжнє видалення, і цю різницю можна перевірити за лічені секунди (ми до цього дійдемо).

Спершу знайдіть усі збіги

Ще одна класична помилка: видалення SSN на 4-й сторінці та залишення ідентичного номера на 12-й сторінці — у колонтитулі, блоці підпису або додатку. Ретельна робота починається зі сканування за шаблоном, а не з ручного перечитування.

Американський SSN відповідає передбачуваному шаблону (дев’ять цифр, часто згрупованих 3-2-4), що означає, що його можна знайти програмно — разом з іншими ідентифікаторами високого ризику: номерами паспортів та національних посвідчень, номерами кредитних карток, номерами телефонів, адресами електронної пошти та реквізитами банківських рахунків. Інструмент PII Redaction від PDFLean виконує це сканування локально: він виявляє кандидатів за шаблоном SSN, ідентифікаційними номерами, телефонами, картками та електронними поштами в браузері, показує кожен з них у контексті та дозволяє підтвердити або відхилити їх перед будь-яким видаленням. Власний набір ключових слів (кодова назва проєкту, ім’я контрагента) можна додати до того ж проходу.

Крок «показати кожен збіг у контексті та дозволити підтвердити» має велике значення: саме лише зіставлення із шаблоном позначить багато нешкідливих дев’ятизначних чисел. Видалення є незворотним, тому кожне знайдене значення повинна схвалити людина.

Крок за кроком: видалення без завантаження

Відкрийте інструмент PII Redaction. Усе сканування виконується у вашому браузері.
Завантажте PDF. Він потрапляє лише в локальну пам’ять — нічого не передається.
Перегляньте виявлених кандидатів (SSN, ID, телефон, картка, електронна пошта, власні ключові слова). Увімкніть або вимкніть кожен знайдений збіг на основі навколишнього контексту.
Запустіть видалення. Інструмент видаляє коди символів із потоку вмісту та перекриває відповідні ділянки.
Перевірте (наступний розділ — не пропускайте).
Збережіть відредаговану копію.

Для цілеспрямованого видалення — одного конкретного імені або значення, яке ви вже знаєте — інструмент Redact PDF для ручного видалення приймає список ключових слів і видаляє кожне входження в такий самий спосіб.

Крок перевірки, який майже всі пропускають

Заяви про видалення нічого не варті; перевірка є доказом. У вихідному файлі виконайте всі три дії:

Тест на пошук. Відкрийте збережений PDF і виконайте пошук точного SSN (спробуйте з дефісами та без: 123-45-6789 і 123456789). Нуль збігів — це єдиний прийнятний результат.
Тест на виділення. Виділіть відредаговану ділянку курсором і скопіюйте. Якщо у вашому буфері обміну містяться цифри, текстовий шар зберігся.
Тест на витягування тексту. Експортуйте весь текст (Екстрактор тексту робить це локально) і виконайте пошук у вивантажених даних. Якщо номер з’являється будь-де, видалення неповне — найімовірніше, це друга копія на іншій сторінці.

Робіть це на остаточно збереженому файлі, а не в попередньому перегляді застосунку. Попередній перегляд відтворюється з поточного стану; лише збережені байти говорять правду.

Ще одна річ: метадані

Текстовий вміст є очевидною мішенню, але метадані PDF — більш прихованою. Властивості документа — автор, назва, тема, програмне забезпечення, яке його створило, а іноді й спеціальні поля — можуть містити імена, ID та внутрішні шляхи з оригінальної програми-розробника. Повністю відредагований документ із записом Author: J. Smith, SSN 123-45-6789 у його властивостях досі допускає витік інформації.

Видаліть метадані як завершальний крок будь-якої роботи з видалення, а якщо файл надсилається в потенційно вороже середовище (публічна публікація, запит FOIA), інструмент очищення вилучає вбудовані скрипти, приховані дії та інший активний вміст у тому ж дусі.

Коли видалення є неправильним інструментом

Видалення назавжди знищує базовий текст. Якщо вам потрібно розкрити номер пізніше (внутрішня команда переглядає невідредагований оригінал), зберігайте окрему невідредаговану копію в контрольованому сховищі і редагуйте лише ту копію, яку ви розповсюджуєте. Файл для розповсюдження має бути очищеним; головний файл залишається там, де вже зберігаються ваші конфіденційні оригінали.

Для форм, які використовуються повторно, кращим підходом часто є видалення-на-копії: тримайте головний файл у чистоті і генеруйте відредаговану версію для кожного зовнішнього одержувача, щоб жодна помилка під час видалення не поширилася назад у ваш вихідний документ.

Часті запитання

Чи можу я видаляти дані (redact) зі сканованого PDF? Ви можете закрити видиме зображення, але скан не має текстового шару для видалення — спочатку застосуйте OCR (PDF OCR), видаліть відновлений текст, а потім вирішіть, чи зберігати, чи сплющувати шар зображення. Чорний прямокутник поверх скану є адекватним лише в тому разі, якщо пікселі скану насправді знищуються, а не просто замальовуються.

Чи є видалення оборотним? Ні — в цьому й суть. Байти зникли. Ось чому підтвердження кожного виявленого кандидата перед запуском має значення, і чому ви зберігаєте чистий головний файл.

Чи вважається захист паролем видаленням? Ні. Шифрування контролює доступ; видалення прибирає вміст. Захищений паролем PDF із невідредагованим SSN усе ще містить SSN, і будь-хто з паролем (або інструментом для зламу) зможе його прочитати.

Чому кнопка «redact» мого інструмента просто робить чорний прямокутник? Багато базових редакторів реалізують виділення/обведення в стилі анотацій замість справжнього видалення з потоку вмісту. Якщо після цього інструмент не може показати вам файл, чистий за результатами пошуку, він малює, а не видаляє.

Уся робота зводиться до одного твердження, яке можна перевірити: після завершення роботи конфіденційних символів не повинно бути у файлі. Шукайте їх, виділяйте їх, витягуйте текст — якщо будь-що з цього знаходить номер, видалення не вдалося. Намалюйте прямокутник, видаліть байти, перевірте на збереженому файлі, очистіть метадані та збережіть чистий головний файл. Ця послідовність — і нічого менше — ось що означає «відредаговано».