Kako sigurnosno kopirati poruke s društvenih mreža za usklađenost

Izvoz poruka s društvenih mreža koristan je samo ako možete objasniti što sadržava, što izostavlja, tko mu može pristupiti i je li se promijenio nakon preuzimanja. Ovaj kontrolni popis obuhvaća izvorne izvoze, metapodatke, rokove čuvanja, pristup i provjeru, bez pretpostavke da je jedno preuzimanje s platforme potpun zapis.

1. Započnite zapisom koji trebate sačuvati

Za obranu u slučaju nadzora sačuvajte više od teksta poruke. Američki Nacionalni arhiv i uprava za dokumente (NARA) navodi da potpuni savezni zapis mora sadržavati sadržaj, kontekst i strukturu, zajedno s povezanim metapodacima poput autora i datuma stvaranja, te se mora održavati pouzdanim i autentičnim (smjernice NARA-e).

Koristite to kao provjeru potpunosti:

• Sadržaj: izvoz poruke ili razgovora.
• Kontekst: račun, profil, sudionici, raspon datuma i razlog snimanja.
• Struktura: format i odnos između datoteka, mapa, privitaka i zapisa poruka.
• Metapodaci: pojedinosti poput autora i datuma stvaranja, kao i opseg izvoza i vrijeme koje zabilježite.

Za potrebe ovog popisa preuzeti izvoz smatrajte kopijom koju čuvate, a zatim provjerite sadržava li navedene elemente. NARA navodi API-je specifične za platformu, snimanje weba, ručne metode i alate za izvoz platforme kao moguće metode snimanja. Također navodi da, kada pružatelj ne može izvesti potpuni zapis, organizacija i dalje odgovara za provedbu zahtjeva za snimanje (smjernice NARA-e).

2. Prije izvoza evidentirajte račune, skrbnike i rokove čuvanja

Prije zahtjeva za podacima izradite jedan redak za svaku mrežu i profil. Zabilježite:

• Mrežu i korisničko ime profila ili URL
• Vlasnika računa ili skrbnika
• Poslovnu svrhu i relevantni opseg poruka
• Zatraženi raspon datuma
• Način i format izvoza
• Datum zahtjeva, datum isporuke i vlasnika pristupa
• Mjesto pohrane i pravilo čuvanja
• Poznata izuzeća, kašnjenja ili upozorenja o izbrisanom sadržaju

Platforma nije jedini kriterij za to pripada li poruka reguliranom zapisu. FINRA navodi da obveze vođenja evidencije komunikacije na društvenim mrežama ovise o tome je li komunikacija poslovna komunikacija, a ne samo o platformi. Također navodi da analiza ne ovisi o uređaju ili tehnologiji, uključujući osobni uređaj (FINRA Obavijest 11-39).

Rok čuvanja također nije jedan univerzalni broj. Na primjer:

Razdoblje FINRA-e navedeno je u Obavijesti 11-39, zahtjev HIPAA-e nalazi se u 45 CFR 164.316, a jezik o pohrani i sigurnosti u uvodnoj izjavi 39 GDPR-a. To su primjeri iz izvora, a ne univerzalna politika čuvanja. NIST savjetuje primjenu forenzičkih praksi tek nakon savjetovanja s upravom i pravnim savjetnikom o primjenjivim zakonima i propisima (NIST SP 800-86).

Nemojte dopustiti da sustav koji automatski briše elektroničke komunikacije bude vaša jedina kontrola vođenja evidencije: FINRA navodi da bi takva tehnologija onemogućila zadržavanje komunikacija (Obavijest FINRA-e 11-39).

3. Izvezite poruke i podatke računa dokumentiranim izvornim postupcima

Koristite službeni postupak koji odgovara platformi i spremite pojedinosti zahtjeva zajedno s dobivenim datotekama.

Instagram

Na računalu službeni put za početak izvoza jest More > Settings > Meta Account > Your information and permissions > Export your information > Create export. Instagram navodi da prije početka izvoza možete odabrati određene informacije, raspon datuma, format, adresu e-pošte za obavijesti i kvalitetu medija (Instagramova pomoć).

Planirajte rok isporuke: Instagram navodi da je gotov izvoz dostupan četiri dana, dok poveznica za izvoz može stići tek za 30 dana. Stranica pomoći također navodi da se izbrisane informacije možda neće pojaviti te opisuje izvoz kao zaštićen lozinkom i dostupan samo vlasniku računa (Instagramova pomoć). Zabilježite datum zahtjeva i datum kada ste stvarno preuzeli datoteke.

Facebook

Na računalu službeni Facebookov put jest profile picture > Settings & privacy > Settings > Meta Account > Your information and permissions > Export your information > Create export. Facebook omogućuje odabir HTML-a ili JSON-a; njegova stranica pomoći opisuje HTML kao ZIP prilagođen pregledniku, a JSON kao format čitljiv strojevima (Facebookova pomoć).

Ista stranica pomoći navodi da gotovi izvozi ostaju dostupni četiri dana i da je izvoz zaštićen lozinkom. Facebook također upozorava da se kategorije čuvaju različita razdoblja te da se izbrisane informacije ili sadržaj neće pojaviti u izvozu (Facebookova pomoć; dostupnost Facebookovih podataka). Rezultat tretirajte kao izvoz podataka o računu koji treba pregledati, a ne kao dokaz da postoji svaka povijesna poruka.

LinkedIn

Službeni LinkedInov put na računalu jest Me > Settings & Privacy > Data Privacy > Download your data. LinkedIn navodi da možete odabrati određene kategorije ili veće preuzimanje: određena vrsta može stići u nekoliko minuta, veće preuzimanje unutar 24 sata, a poveznica za preuzimanje ostaje dostupna 72 sata (LinkedInova pomoć).

Postoje dva važna ograničenja opsega. LinkedIn navodi da funkcija preuzimanja nije dostupna na mobilnim uređajima te da pruža osobne podatke člana koji je podnio zahtjev, a ne podatke drugih članova (LinkedInova pomoć). Oba ograničenja zabilježite u zapisu o čuvanju.

WhatsApp

Službeni spremljeni postupak odnosi se na Android: otvorite razgovor > More options > More > Export chat > Without media ili Include media > odaberite način dijeljenja (WhatsAppova pomoć).

WhatsApp navodi da je izvezena povijest razgovora tekstualna datoteka, a ne datoteka sigurnosne kopije, te da se ne može ponovno uvesti. Ako odaberete Include media, najnoviji poslani mediji dodaju se kao privici. Tekstualni izvoz i privitke čuvajte zajedno i nemojte rezultat opisivati kao potpunu medijsku arhivu bez provjere njegova opsega (WhatsAppova pomoć).

Google Takeout i druge arhive računa

Google opisuje Takeout kao način izrade arhive za čuvanje zapisa ili prijenos podataka. Navodi da izrada arhive može trajati od nekoliko minuta do nekoliko dana te da možete odabrati vrstu datoteke i najveću veličinu arhive; kada odabrani podaci premaše tu veličinu, izrađuje se više arhiva (Google Takeout).

Google također upozorava da datoteka s podacima možda neće uključiti promjene napravljene između zahtjeva za preuzimanje i izrade arhive (Google Takeout). Zabilježite vrijeme zahtjeva i izrade arhive te sačuvajte svaki dio arhive.

TikTok i platforme za koje ovdje nema dokumentiranog postupka

Ovaj istraživački paket ne utvrđuje službeni postupak izvoza za TikTok niti tvrdnju o obuhvatu izravnih poruka na TikToku. Nemojte upute za Instagram, Facebook ili LinkedIn prenijeti na TikTok. Umjesto toga zabilježite trenutačnu dokumentiranu mogućnost izvoza platforme, ako postoji; u suprotnom dokumentirajte način snimanja i ograničenje. NARA navodi API-je, snimanje weba, ručne metode i alate za izvoz platforme kao moguće metode, pri čemu izbor ovisi o konfiguraciji platforme i potrebama organizacije (smjernice NARA-e).

4. Sačuvajte izvornik, kontekst i zapis o pristupu

Sačuvajte izvorne datoteke onako kako su isporučene. Nemojte ih prebrisati dok izrađujete čitljivu radnu kopiju. Uz izvoz spremite manifest koji sadržava:

• Platformu, korisničko ime profila ili URL i skrbnika
• Zatraženi opseg i raspon datuma
• Vrijeme zahtjeva i vrijeme preuzimanja
• Nazive datoteka, formate i broj dijelova arhive
• Postavku uključenih medija ili privitaka
• Napomene o roku isporuke i zaštiti lozinkom
• Nedostajuće kategorije, upozorenja o izbrisanom sadržaju ili druga ograničenja
• Mjesto pohrane i osobe ili uloge kojima je dopušten pristup

To je praktična primjena standarda NARA-e o sadržaju, kontekstu, strukturi i metapodacima (smjernice NARA-e).

Snimke zaslona mogu biti ručna metoda snimanja, ali samo sačuvani dokaz ne utvrđuje da je snimka zaslona potpuni zapis poruka. Kada je dostupan, sačuvajte izvorni izvoz, zadržite okolni kontekst i svako ručno snimanje označite kao metodu s dokumentiranim ograničenjem, umjesto da ga automatski nazivate potpunim.

Dokumentirani opseg SocialGuardiana odnosi se na povezani sadržaj s društvenih mreža: na njegovoj stranici piše da automatski sigurnosno kopira objave, priče i videozapise, uključuje medije i metapodatke te korisnicima omogućuje izvoz potpune arhive u bilo kojem trenutku. Ovdje nema dokaza za tvrdnju da izvozi privatne poruke, pa postupak izvoza poruka iznad držite odvojenim od opisa tog proizvoda (SocialGuardian).

5. Provjerite potpunost i nepromijenjenost datoteka

Za svaki izvoz provedite ovaj kontrolni postupak:

1. Usporedite zatraženu mrežu, profil, kategorije i raspon datuma s isporučenim sadržajem.
2. Prebrojite svaki dio arhive i privitak te zabilježite datoteke koje nedostaju ili se ne mogu pročitati.
3. Otvorite isporučeni HTML, JSON ili tekstualni izlaz i potvrdite da je čitljiv.
4. Usporedite manifest s navedenim rokom isporuke i ograničenjima platforme.
5. Zabilježite upozorenja o izbrisanom sadržaju i promjenama između zahtjeva i arhive.
6. Izvorni izvoz čuvajte odvojeno od svake kopije za pregled.
7. Izračunajte sažetak za svaku sačuvanu datoteku ili arhivu i vrijednost spremite u manifest.
8. Ponovno izračunajte sažetak kada se datoteka pregleda ili prenese te istražite promijenjenu vrijednost.

NIST definira hash-funkciju kao algoritam koji izračunava brojčanu vrijednost koja predstavlja podatkovnu datoteku ili elektroničku poruku i ovisi o cjelokupnom sadržaju te datoteke ili poruke (NIST-ov pojmovnik hash-funkcija). Zato je sažetak koristan za provjeru je li se spremljeni izvoz promijenio; ne odgovara na pitanje je li izvorni izvoz bio potpun.

Provjera potpunosti važna je jer Instagram navodi da se izbrisane informacije možda neće pojaviti, Facebook da se izbrisane informacije ili sadržaj neće pojaviti, a Google upozorava da promjene napravljene između zahtjeva za preuzimanje i izrade arhive mogu nedostajati. Zabilježite svaki nedostatak i proslijedite ga nadležnima umjesto da nepotpuni izvoz prešutno smatrate potpunim (Instagramova pomoć; dostupnost Facebookovih podataka; Google Takeout).

6. Primijenite kontrole čuvanja, pristupa i pravnog zadržavanja

Za primjenu pravila koje stvarno uređuje komunikaciju koristite evidenciju iz drugog koraka. Pristup ograničite na osobe ili uloge navedene u manifestu te sačuvajte razlog svake iznimke ili pravnog zadržavanja. Izvori podržavaju sljedeće provjere upravljanja:

• FINRA navodi da je važna poslovna svrha komunikacije, a navedeno pravilo za brokersko-dilerska društva zahtijeva da se određeni zapisi čuvaju najmanje tri godine, pri čemu prve dvije godine moraju biti lako dostupne (Obavijest FINRA-e 11-39).
• Navedeni HIPAA-ino sigurnosno pravilo zahtijeva čuvanje obvezne dokumentacije šest godina od nastanka ili od posljednjeg dana njezine primjene, ovisno o tome što je kasnije (45 CFR 164.316).
• Uvodna izjava 39 GDPR-a navodi da razdoblje pohrane treba biti ograničeno na strogi minimum, a osobni podaci obrađivani uz odgovarajuću sigurnost i povjerljivost (GDPR).

NARA preporučuje radnu skupinu za zapise s društvenih mreža koja uključuje stručnjake za upravljanje zapisima, društvene mreže, IT, privatnost i informacijsku sigurnost, pravnike te odnose s javnošću (smjernice NARA-e). Te funkcije — ili njihove ekvivalente — dodijelite odgovornostima za vlasništvo, pregled, pristup i eskalaciju. Pravilo primijenite tek nakon što odgovorni tim i pravni savjetnik potvrde da odgovara podacima i nadležnosti.

7. Kontrolni popis za čuvanje poruka na više platformi

Kopirajte ovo u zahtjev za čuvanje:

• Navedite svaku mrežu, korisničko ime profila ili URL, skrbnika i poslovnu svrhu.
• Definirajte kategorije poruka i raspon datuma koje treba sačuvati.
• Odaberite dokumentirani izvorni izvoz ili drugi dokumentirani način snimanja.
• Zabilježite vrijeme zahtjeva, vrijeme isporuke, format, postavku medija i rok isporuke.
• Sačuvajte izvorni izvoz te sve dijelove arhive i privitke.
• Sačuvajte sadržaj, kontekst, strukturu i povezane metapodatke.
• Zabilježite ograničenja zbog izbrisanog sadržaja, dostupnosti na mobilnim uređajima, podataka samo o vlastitom računu, tekstualnog formata ili rokova.
• Otvorite i pregledajte isporučene datoteke.
• Izračunajte i spremite sažetak za svaku izvornu datoteku ili arhivu.
• Ograničite pristup i zabilježite vlasnika pristupa.
• Primijenite potvrđeno pravilo čuvanja i svako zadržavanje.
• Nepotpuni izvoz proslijedite nadležnoj osobi za evidencije, sigurnost, privatnost ili pravna pitanja.

FAQ

Koja je razlika između sigurnosnog kopiranja i arhiviranja poruka s društvenih mreža?

Izvoz koristite kao kopiju koju čuvate, a zatim ga provjerite prema sadržaju, kontekstu, strukturi i metapodacima. Potpuni zapis može zahtijevati dodatno snimanje kada pružatelj ne može izvesti cijeli zapis; NARA navodi da organizacija i dalje odgovara za provedbu zahtjeva za snimanje (smjernice NARA-e).

Kako izvesti izravne poruke s Instagrama radi usklađenosti?

Na računalu koristite More > Settings > Meta Account > Your information and permissions > Export your information > Create export. Odaberite informacije, raspon datuma, format, adresu e-pošte za obavijesti i kvalitetu medija. Zabilježite četverodnevni rok dostupnosti, moguće čekanje do 30 dana, zaštitu lozinkom i ograničenje vezano uz izbrisane informacije (Instagramova pomoć).

Možete li preuzeti poruke iz Facebook Messengera?

Facebook dokumentira izvoz podataka o računu u HTML-u ili JSON-u putem profile picture > Settings & privacy > Settings > Meta Account > Your information and permissions > Export your information > Create export. Pregledajte isporučene kategorije umjesto da pretpostavite da su prisutne sve povijesne poruke: Facebook navodi da kategorije imaju različita razdoblja pohrane i da se izbrisani sadržaj neće pojaviti (Facebookova pomoć; dostupnost Facebookovih podataka).

Kako izvesti LinkedIn poruke ili podatke računa?

Na računalu koristite Me > Settings & Privacy > Data Privacy > Download your data. LinkedIn navodi da određene kategorije mogu stići u nekoliko minuta, veće preuzimanje unutar 24 sata, a poveznica ostaje dostupna 72 sata. Funkcija nije dostupna na mobilnim uređajima i pruža podatke člana koji je podnio zahtjev, a ne podatke drugih članova (LinkedInova pomoć).

Mogu li se WhatsApp razgovori izvesti za pravne potrebe ili usklađenost?

Na Androidu otvorite razgovor, odaberite More options > More > Export chat, zatim Without media ili Include media i način dijeljenja. WhatsApp navodi da je rezultat tekstualna datoteka, a ne sigurnosna kopija koja se može ponovno uvesti; uključivanje medija dodaje najnovije poslane medije kao privitke (WhatsAppova pomoć). Izvoz i njegova ograničenja sačuvajte u manifestu.

Omogućuje li TikTok preuzimanje izravnih poruka i podataka računa?

Ovaj paket dokaza ne utvrđuje postupak izvoza za TikTok ni obuhvat izravnih poruka. Nemojte ga zaključiti na temelju druge platforme. Provjerite važeću TikTokovu dokumentaciju i zabilježite način i ograničenja; NARA također navodi API-je, snimanje weba, ručne metode i alate za izvoz platforme kao moguće metode snimanja (smjernice NARA-e).

Jesu li snimke zaslona dovoljne i koje metapodatke treba sačuvati?

Sačuvani dokazi navode ručne metode kao jednu moguću metodu snimanja, ali ne utvrđuju da su same snimke zaslona potpuni zapis. Kada je dostupan, sačuvajte izvorni izvoz i zadržite sadržaj, kontekst, strukturu te povezane metapodatke poput autora i datuma stvaranja (smjernice NARA-e).

Koliko dugo treba čuvati poruke i kako provjeriti sigurnosnu kopiju?

Primijenite pravilo potvrđeno za tu komunikaciju. Navedeni primjeri uključuju najmanje tri godine za određene FINRA zapise brokersko-dilerskih društava, šest godina za obveznu HIPAA dokumentaciju i načelo GDPR-a o čuvanju tijekom strogog minimuma. Za provjeru sigurnosne kopije usporedite opseg s isporučenim datotekama, zabilježite ograničenja platforme, sačuvajte izvornike i spremite sažetke; NIST navodi da sažetak ovisi o cjelokupnom sadržaju datoteke ili poruke (Obavijest FINRA-e 11-39; 45 CFR 164.316; GDPR; NIST-ov pojmovnik hash-funkcija).