Jak zabezpieczyć link, nagranie i zdjęcia z e-opłatka

Jedno zaproszenie powinno być źródłem prawdy

Wyślij link z rozpoznawalnego konta i tego samego kanału użyj do ewentualnej aktualizacji. W treści podaj nazwę platformy, nazwę gospodarza, datę, godzinę oraz kontakt do potwierdzenia. Nie przesyłaj samego skróconego adresu bez kontekstu. Jeżeli odbiorca ma się zalogować, powinien móc samodzielnie sprawdzić domenę usługi.

CERT Polska podkreśla, że wygląd strony można łatwo skopiować, dlatego należy analizować rzeczywisty adres w pasku przeglądarki. Uważaj na podobne litery, dodatkowe człony domeny i presję na pilne podanie danych. Wiadomość o nieoczekiwanej zmianie linku potwierdź u gospodarza innym znanym kanałem, zwłaszcza jeśli prosi o hasło, kod lub płatność.

Sprawdź domenę przed wpisaniem danych

Przeczytaj adres od prawej strony właściwej nazwy domeny i zwróć uwagę na znaki udające litery, nieoczekiwane subdomeny oraz inną końcówkę. Sama nazwa nadawcy, logo i kłódka przy połączeniu nie potwierdzają, kto stworzył stronę. W razie wątpliwości otwórz usługę z zapisanego wcześniej adresu i znajdź spotkanie po zalogowaniu, zamiast korzystać z nieoczekiwanego linku.

Ogranicz wejście do zamierzonej grupy

Dla zamkniętego wydarzenia zastosuj poczekalnię, hasło lub logowanie stosownie do możliwości platformy i potrzeb uczestników. Wyłącz dołączanie przed gospodarzem, jeśli nie jest potrzebne. Nie publikuj linku w otwartym profilu i nie pozwalaj na automatyczne przekazywanie bez wiedzy organizatora. Nazwij osobę, która będzie przyjmować uczestników i odrzucać nieznane konta.

Zasady nie mogą uniemożliwiać udziału osobie zaproszonej. Jeśli logowanie jest dla kogoś barierą, przygotuj bezpieczny alternatywny kanał albo indywidualną pomoc. Nie wysyłaj hasła do chronionego materiału w tym samym publicznym poście co link. Po wydarzeniu zamknij pokój stały lub zmień dane dostępu, jeśli adres miałby działać ponownie.

Konto gospodarza wymaga większej ochrony

Zaktualizuj aplikację z oficjalnego źródła, użyj unikalnego hasła i włącz dodatkowy składnik logowania, gdy platforma go oferuje. Sprawdź listę współgospodarzy i odbierz dawne uprawnienia. Nie loguj się do konta organizatora na przypadkowym urządzeniu ani nie wysyłaj jego hasła osobie pomagającej technicznie.

Przed spotkaniem przejrzyj ustawienia domyślne: nagrywanie, transkrypcję, zapisywanie czatu, możliwość udostępniania ekranu, zmianę nazwy, prywatne wiadomości i pobieranie plików. Funkcja dostępna technicznie nie musi być potrzebna. Pozostaw wyłączone to, czego scenariusz nie używa.

Nagranie jest osobną operacją

Najpierw określ cel. Czy osoba nieobecna potrzebuje całego nagrania, czy wystarczy tekst życzeń? Czy materiał ma trafić do zamkniętej grupy, czy do publicznego kanału? Ustal zakres, odbiorców, miejsce, zabezpieczenia i termin usunięcia. Dopiero wtedy oceń właściwe zasady prawne oraz ustawienia platformy.

Komunikat „spotkanie może być nagrywane” nie odpowiada na wszystkie pytania i nie jest automatycznym pozwoleniem na dowolną publikację. Daj uczestnikom informację z wyprzedzeniem oraz realną możliwość udziału bez wizerunku lub przekazania życzeń inną drogą. Jeśli ktoś dołącza później, również powinien zobaczyć stan nagrywania. Zatrzymaj zapis, gdy rozmowa przechodzi do prywatnych spraw nieobjętych celem.

Zrzut ekranu także może rozpowszechniać wizerunek

Nie traktuj wspólnego zdjęcia ekranu jako obowiązkowego finału. Zapowiedz je, pozwól wyłączyć kamerę lub opuścić kadr i wykonaj tylko uzgodnioną wersję. Ustal osobno prywatne przesłanie uczestnikom i publiczną publikację. Uczestnictwo w spotkaniu nie oznacza zgody na reklamowy post.

Materiał z dziećmi wymaga szczególnej ostrożności. Zastanów się, czy ich twarze, imiona, miejsce pobytu i skład rodziny są potrzebne do celu. UODO przypomina, że rozpoznawalny wizerunek może być daną osobową, a wyjątku dla osoby będącej szczegółem większej całości nie należy stosować mechanicznie. Ograniczenie publikacji jest często prostsze i bezpieczniejsze niż późniejsze próby odzyskania kopii.

Reaguj na obcą osobę bez publicznej konfrontacji

Gospodarz techniczny usuwa nieznane konto, blokuje ponowne wejście, jeśli platforma na to pozwala, i sprawdza listę uczestników. Jeżeli ktoś udostępnia niepożądaną treść, odbierz możliwość prezentacji oraz przerwij nagrywanie. Prowadzący krótko informuje o przerwie, nie rozpoczyna publicznego dochodzenia i nie pokazuje danych konta całej grupie.

Po incydencie zachowaj niezbędne informacje o czasie, koncie i działaniach, zgłoś zdarzenie operatorowi platformy, zmień dane dostępu i powiadom osoby, jeśli ryzyko ich dotyczy. Nie publikuj zrzutu z nazwami uczestników jako ostrzeżenia. Przy podejrzeniu przejęcia konta wyloguj aktywne sesje, zmień hasło i zastosuj aktualną instrukcję dostawcy.

Po spotkaniu wykonaj kontrolowane sprzątanie

Sprawdź, jakie pliki powstały lokalnie i w chmurze: nagranie, transkrypcja, czat, lista uczestników, ankieta i kopie automatyczne. Dla każdego zastosuj wcześniej ustaloną decyzję: przekazać uprawnionym osobom, ograniczyć, zachować przez określony czas albo usunąć. Samo przeniesienie do kosza może nie kończyć retencji, jeśli usługa przechowuje kopię przez dodatkowy okres.

Wyłącz publiczne udostępnienie i sprawdź listę osób z dostępem. Nie używaj listy adresowej do kolejnych wysyłek tylko dlatego, że już istnieje. Zapisz wnioski techniczne bez haseł i nadmiarowych danych uczestników. Następne spotkanie powinno korzystać z nowego, świadomie skonfigurowanego zaproszenia.

Sprawdź cały plan spotkania i role

Wróć do mapy decyzji e-opłatka

Źródła:

• CERT Polska, jak rozpoznawać fałszywe adresy stron.
• CERT Polska, zgłaszanie niebezpiecznych stron.
• UODO, materiał o wizerunku i publikacji zdjęć.
• W3C WAI, Accessibility of Remote Meetings.