Säkerhet: vad som kontrolleras och vad som inte gör det

Den här sidan är till för er IT-avdelning, ert dataskyddsombud och er jurist. Den säger vad Utlämna gör, hur ni kan kontrollera det, och var gränserna går.

Allt körs på datorn

Programmet kräver ingen server och inget konto. Det finns ingen inloggning och ingen telemetri.
Maskningsmotorn startar som ett lokalt program som bara lyssnar på den egna datorn (127.0.0.1), på en slumpad port.
Appen vägrar anropa någon annan adress, och webbvyns säkerhetspolicy tillåter inga externa anrop.
Inga uppdateringar hämtas över nätet. En ny version kommer som installationsfil, som er IT rullar ut.

Så kan ni kontrollera det

Blockera appens och motorns utgående trafik i brandväggen och kör ett ärende från början till slut. Det ska fungera.
Titta på öppna anslutningar medan appen kör (netstat -ano). Motorn ska bara lyssna på 127.0.0.1.
Läs loggen: den anger motorns version och kontrollsumma för varje utlämning.

Maskningen är permanent

En maskad uppgift tas bort ur filens innehåll. Sedan görs varje sida om till en bild, så att det inte finns något textlager kvar. Innan paketet skrivs kontrolleras resultatet:

Ingen sida har textoperatorer, och filen innehåller inga typsnitt.
Inga kommentarer, bilagor, formulär, JavaScript, metadata eller tidigare versioner följer med.
Varje maskad uppgift söks i filens alla byte. Hittas den, skapas inget paket.
Appen renderar den färdiga filen och mäter att varje maskad ruta är svart. Rutorna växer först till hela ordet, eftersom OCR-lagrets rutor ofta är för korta.
Handlingarna slås ihop till en enda maskad.pdf först efter att de gjorts om till bild.

Misslyckas något av detta skrivs ingenting till den mapp ni valt. En svart ruta som någon ritat men som inte tagits fram av motorn går inte att exportera.

Samma kontroller finns i det fristående kontrollverktyget, så att mottagaren kan upprepa dem.

Vad Utlämna inte gör

Fattar inga sekretessbeslut. Programmet föreslår träffar. Handläggaren väljer Maskera eller Behåll, och måste bekräfta det innan paketet kan skapas.
Hittar inte allt. Personnummer, samordningsnummer, e-post och telefonnummer kontrolleras mot datum, kontrollsiffra eller form. Konton hittas bara på rader med etikett. Namn hittas efter etiketter som "Barnet:" och "Vårdnadshavare:", och därefter i resten av ärendet, eller om de står i ordlistan. Ett namn som varken står efter en etikett eller i ordlistan hittas inte.
Läser inte skannade sidor felfritt. OCR kan läsa fel och kan dela ett nummer över två rader. Appen varnar på varje OCR-tolkad fil: läs sidan, lita inte bara på listan.
Föreslår inte namn efter tjänsteroller, som "Socialsekreterare:". Det är en avvägning vi gjort. Handläggaren kan lägga till dem i ordlistan.
Bedömer inte lagrum. Handläggaren kan ange lagrum per maskning, och loggen sammanställer dem som underlag. Beslutet och dess motivering är handläggarens.

Läget idag

Vi har byggt för att kunna visa det här, men vi vill vara tydliga med vad som är provat.

Vad	Läge
Kontrollerna på en skannad testakt	Provade. Falsk maskning underkänns och äkta godkänns.
Kontrollverktyget som färdig fil	Under bygge. Publiceras med kontrollsumma när det är provat.
Hela kedjan mot den motorversion vi låser	Ej klart. Provas före första piloten.
Installation på en låst Windows-dator, signerad	Ej klart. Görs tillsammans med pilotkommunen.

Vi uppdaterar tabellen när det ändras.