Ako zálohovať správy zo sociálnych sietí na účely súladu

Export správy zo sociálnej siete je užitočný iba vtedy, keď viete vysvetliť, čo obsahuje, čo vynecháva, kto k nemu má prístup a či sa po zachytení zmenil. Tento kontrolný zoznam sa venuje natívnym exportom, metadátam, uchovávaniu, prístupu a overovaniu bez predpokladu, že stiahnutie z jednej platformy predstavuje úplný záznam.

1. Začnite záznamom, ktorý potrebujete uchovať

Na obhájiteľné minimum uchovajte viac než len text správy. Americký National Archives and Records Administration (NARA) uvádza, že úplný federálny záznam musí obsahovať obsah, kontext a štruktúru, spolu so súvisiacimi metadátami, ako sú autor a dátum vytvorenia, a musí sa udržiavať tak, aby bol spoľahlivý a autentický (pokyny NARA).

Použite to ako test úplnosti:

• Obsah: export správy alebo konverzácie.
• Kontext: účet, profil, účastníci, časové obdobie a dôvod zachytenia.
• Štruktúra: formát a vzťahy medzi súbormi, priečinkami, prílohami a záznamami správ.
• Metadáta: údaje, ako autor a dátum vytvorenia, spolu s rozsahom exportu a časovou pečiatkou, ktorú zaznamenáte.

V tomto kontrolnom zozname považujte stiahnutý export za kópiu, ktorú uchovávate, a potom overte, či obsahuje uvedené prvky. NARA uvádza ako možné metódy zachytenia platformovo špecifické API, zachytenie webu, manuálne metódy a exportné nástroje platformy. Zároveň uvádza, že ak poskytovateľ nedokáže exportovať úplný záznam, organizácia zostáva zodpovedná za zavedenie požiadaviek na zachytenie (pokyny NARA).

2. Pred exportom zmapujte účty, správcov a dobu uchovávania

Pred vyžiadaním údajov vytvorte jeden riadok pre každú sieť a profil. Zaznamenajte:

• Sieť a používateľské meno alebo URL profilu
• Vlastník účtu alebo správca
• Obchodný účel a relevantný rozsah správ
• Požadované časové obdobie
• Metóda a formát exportu
• Dátum žiadosti, dátum doručenia a vlastník prístupu
• Umiestnenie úložiska a pravidlo uchovávania
• Známe vylúčenia, oneskorenia alebo upozornenia na odstránený obsah

Platforma nie je jediným kritériom pri rozhodovaní, či správa patrí do regulovaného záznamu. FINRA uvádza, že povinnosti uchovávania záznamov zo sociálnych sietí závisia od toho, či ide o obchodnú komunikáciu, nie iba od platformy. Uvádza tiež, že toto posúdenie nezávisí od zariadenia ani technológie vrátane osobného zariadenia (FINRA Notice 11-39).

Doba uchovávania tiež nie je jedno univerzálne číslo. Napríklad:

Lehota podľa FINRA je uvedená v Notice 11-39, požiadavka HIPAA v 45 CFR 164.316 a jazyk o ukladaní a bezpečnosti v odôvodnení 39 GDPR. Ide o príklady zo zdrojov, nie o univerzálnu politiku uchovávania. NIST odporúča používať forenzné postupy až po konzultácii s vedením a právnym poradcom o príslušných zákonoch a nariadeniach (NIST SP 800-86).

Nedovoľte, aby systém, ktorý automaticky vymazáva alebo odstraňuje elektronickú komunikáciu, bol vašou jedinou kontrolou uchovávania záznamov: FINRA uvádza, že takáto technológia by znemožnila uchovávanie komunikácie (FINRA Notice 11-39).

3. Exportujte správy a údaje účtu pomocou zdokumentovaných natívnych postupov

Použite oficiálny postup pre príslušnú platformu a podrobnosti žiadosti uložte spolu s výslednými súbormi.

Instagram

Na počítači začnete oficiálny export cez More > Settings > Meta Account > Your information and permissions > Export your information > Create export. Instagram uvádza, že pred spustením exportu môžete vybrať konkrétne informácie, časové obdobie, formát, e-mail na upozornenie a kvalitu médií (Pomocník Instagramu).

Naplánujte si lehotu doručenia: Instagram uvádza, že pripravený export je k dispozícii štyri dni, pričom doručenie odkazu na export môže trvať až 30 dní. Stránka pomoci tiež uvádza, že odstránené informácie sa nemusia zobraziť a export je chránený heslom a dostupný iba vlastníkovi účtu (Pomocník Instagramu). Zaznamenajte dátum žiadosti a dátum, keď ste súbory skutočne stiahli.

Facebook

Na počítači vedie oficiálny postup Facebooku cez profilový obrázok > Settings & privacy > Settings > Meta Account > Your information and permissions > Export your information > Create export. Facebook umožňuje vybrať HTML alebo JSON; jeho stránka pomoci opisuje HTML ako formát vhodný na prehliadanie v ZIP súbore a JSON ako strojovo čitateľný formát (Pomocník Facebooku).

Tá istá stránka pomoci uvádza, že pripravené exporty zostávajú dostupné štyri dni a export je chránený heslom. Facebook tiež upozorňuje, že kategórie sa uchovávajú rôzne dlho a odstránené informácie alebo obsah sa v exporte nezobrazia (Pomocník Facebooku; Dostupnosť údajov na Facebooku). Výsledok považujte za export informácií účtu na kontrolu, nie za dôkaz, že existuje každá historická správa.

LinkedIn

Oficiálny postup LinkedInu na počítači je Me > Settings & Privacy > Data Privacy > Download your data. LinkedIn uvádza, že môžete vybrať konkrétne kategórie alebo väčší objem údajov: konkrétny typ môže prísť do niekoľkých minút, väčší download do 24 hodín a odkaz na stiahnutie zostáva dostupný 72 hodín (Pomocník LinkedInu).

Existujú dve dôležité obmedzenia rozsahu. LinkedIn uvádza, že funkcia sťahovania nie je dostupná v mobilnej aplikácii a poskytuje osobné údaje žiadajúceho člena, nie údaje iných členov (Pomocník LinkedInu). Obe obmedzenia uveďte v zázname o uchovávaní.

WhatsApp

Uložený oficiálny postup je určený pre Android: otvorte chat > More options > More > Export chat > Without media alebo Include media > vyberte spôsob zdieľania (Pomocník WhatsAppu).

WhatsApp uvádza, že exportovaná história chatu je textový súbor, nie záložný súbor, a nedá sa znova importovať. Ak vyberiete Include media, najnovšie odoslané médiá sa pridajú ako prílohy. Uchovajte textový export a prílohy spolu a výsledok neoznačujte za úplný archív médií bez overenia jeho rozsahu (Pomocník WhatsAppu).

Google Takeout a ďalšie archívy účtov

Google opisuje Takeout ako spôsob vytvorenia archívu na uchovávanie záznamov alebo prenos údajov. Uvádza, že vytvorenie archívu môže trvať od niekoľkých minút do niekoľkých dní a môžete vybrať typ súboru a maximálnu veľkosť archívu; ak vybrané údaje túto veľkosť prekročia, vytvorí sa viac archívov (Google Takeout).

Google tiež upozorňuje, že dátový súbor nemusí obsahovať zmeny vykonané medzi vyžiadaním stiahnutia a vytvorením archívu (Google Takeout). Zaznamenajte čas vyžiadania a vytvorenia archívu a uchovajte každú časť archívu.

TikTok a platformy bez zdokumentovaného postupu v tomto texte

Tento výskumný podklad nepotvrdzuje oficiálny postup exportu TikToku ani rozsah pokrytia priamych správ TikToku. Nekopírujte do pokynov pre TikTok postup z Instagramu, Facebooku alebo LinkedInu. Namiesto toho zaznamenajte aktuálnu zdokumentovanú možnosť exportu platformy, ak existuje; v opačnom prípade zdokumentujte metódu zachytenia a jej obmedzenie. NARA uvádza API, zachytenie webu, manuálne metódy a exportné nástroje platforiem ako možné metódy, pričom výber závisí od konfigurácie platformy a potrieb organizácie (pokyny NARA).

4. Uchovajte originál, kontext a záznam o prístupe

Uchovajte pôvodné súbory tak, ako boli doručené. Pri vytváraní čitateľnej pracovnej kópie ich neprepisujte. Spolu s exportom uložte manifest obsahujúci:

• Platformu, používateľské meno alebo URL profilu a správcu
• Požadovaný rozsah a časové obdobie
• Časovú pečiatku žiadosti a stiahnutia
• Názvy súborov, formáty a počet častí archívu
• Nastavenie zahrnutia médií alebo príloh
• Poznámky o lehote doručenia a ochrane heslom
• Chýbajúce kategórie, upozornenia na odstránený obsah alebo iné obmedzenia
• Umiestnenie úložiska a osoby alebo roly s povoleným prístupom

Ide o praktické uplatnenie štandardu NARA pre obsah, kontext, štruktúru a metadáta (pokyny NARA).

Snímky obrazovky môžu byť manuálnou metódou zachytenia, ale uložený dôkaz sám osebe nepotvrdzuje snímku obrazovky ako úplný záznam správy. Ak je k dispozícii natívny export, uchovajte ho, zachovajte súvisiaci kontext a každé manuálne zachytenie označte ako metódu s dokumentovaným obmedzením, nie ako úplné zachytenie bez ďalšieho overenia.

Zdokumentovaný rozsah produktu SocialGuardian sa týka súvisiaceho obsahu zo sociálnych sietí: jeho stránka uvádza, že automaticky zálohuje príspevky, príbehy a videá, zahŕňa médiá a metadáta a umožňuje kedykoľvek exportovať úplný archív. Tento text neposkytuje dôkaz na tvrdenie, že exportuje súkromné správy, preto workflow exportu správ vyššie oddeľte od opisu produktu (SocialGuardian).

5. Overte úplnosť a nezmenenosť súborov

Pre každý export použite tento overovací pracovný hárok:

1. Porovnajte požadovanú sieť, profil, kategórie a časové obdobie s tým, čo bolo doručené.
2. Spočítajte každú časť archívu a prílohu; zaznamenajte chýbajúce alebo nečitateľné súbory.
3. Otvorte doručený HTML, JSON alebo textový výstup a potvrďte, že je čitateľný.
4. Skontrolujte manifest podľa deklarovanej lehoty doručenia a obmedzení platformy.
5. Zaznamenajte upozornenia na odstránený obsah a zmeny medzi žiadosťou a vytvorením archívu.
6. Uchovajte pôvodný export oddelene od pracovnej kópie na kontrolu.
7. Vypočítajte hash každého uchovávaného súboru alebo archívu a hodnotu uložte do manifestu.
8. Pri kontrole alebo prenose súboru hash znovu vypočítajte a zmenu hodnoty preskúmajte.

NIST definuje hashovaciu funkciu ako algoritmus, ktorý vypočítava číselnú hodnotu reprezentujúcu dátový súbor alebo elektronickú správu a závisí od celého obsahu daného súboru alebo správy (slovník hashovacích funkcií NIST). Hash je preto užitočný na kontrolu, či sa uložený export zmenil; neodpovedá však na otázku, či bol pôvodný export úplný.

Kontrola úplnosti je dôležitá, pretože Instagram uvádza, že odstránené informácie sa nemusia zobraziť, Facebook uvádza, že odstránené informácie alebo obsah sa nezobrazia, a Google upozorňuje, že zmeny vykonané medzi vyžiadaním stiahnutia a vytvorením archívu môžu chýbať. Každú medzeru zaznamenajte a eskalujte namiesto toho, aby ste čiastočný export potichu považovali za úplný (Pomocník Instagramu; Dostupnosť údajov na Facebooku; Google Takeout).

6. Uplatnite kontroly uchovávania, prístupu a právnych blokácií

Na uplatnenie pravidla, ktorým sa komunikácia skutočne riadi, použite mapu z kroku 2. Prístup obmedzte na osoby alebo roly uvedené v manifeste a zachovajte dôvod každej výnimky alebo právnej blokácie. Zdroje podporujú tieto kontroly riadenia:

• FINRA uvádza, že dôležitý je obchodný účel komunikácie, a citované pravidlo pre brokerov a dílerov vyžaduje uchovávanie niektorých záznamov najmenej tri roky, pričom prvé dva roky musia byť ľahko dostupné (FINRA Notice 11-39).
• Citovaná požiadavka bezpečnostného pravidla HIPAA uvádza uchovávanie požadovanej dokumentácie šesť rokov od vytvorenia alebo od posledného platného použitia, podľa toho, čo nastane neskôr (45 CFR 164.316).
• Odôvodnenie 39 GDPR uvádza, že doba uchovávania má byť obmedzená na nevyhnutné minimum a osobné údaje sa majú spracúvať s primeranou bezpečnosťou a dôvernosťou (GDPR).

NARA odporúča pracovnú skupinu pre záznamy zo sociálnych sietí, ktorá zahŕňa pracovníkov pre správu záznamov, sociálne siete, IT, súkromie a informačnú bezpečnosť, právne poradenstvo a verejné záležitosti (pokyny NARA). Priraďte tieto funkcie alebo ich ekvivalenty k zodpovednostiam za vlastníctvo, kontrolu, prístup a eskaláciu. Pravidlo uplatnite až po potvrdení zodpovedným tímom a právnym poradcom, že sa vzťahuje na údaje a jurisdikciu.

7. Kontrolný zoznam uchovávania správ naprieč platformami

Skopírujte ho do tiketu na uchovávanie:

• Uveďte každú sieť, používateľské meno alebo URL profilu, správcu a obchodný účel.
• Definujte kategórie správ a časové obdobie, ktoré treba uchovať.
• Vyberte zdokumentovaný natívny export alebo inú zdokumentovanú metódu zachytenia.
• Zaznamenajte čas žiadosti, čas doručenia, formát, nastavenie médií a lehotu doručenia.
• Uchovajte pôvodný export, všetky časti archívu a prílohy.
• Uchovajte obsah, kontext, štruktúru a súvisiace metadáta.
• Zaznamenajte obmedzenia týkajúce sa odstráneného obsahu, dostupnosti v mobile, údajov iba o vlastníkovi, textového formátu alebo načasovania.
• Otvorte a skontrolujte doručené súbory.
• Vypočítajte a uložte hash každého pôvodného súboru alebo archívu.
• Obmedzte prístup a zaznamenajte vlastníka prístupu.
• Uplatnite potvrdené pravidlo uchovávania a prípadnú právnu blokáciu.
• Neúplný export eskalujte zodpovednému vlastníkovi záznamov, bezpečnosti, ochrany súkromia alebo právnych záležitostí.

FAQ

Aký je rozdiel medzi zálohovaním a archiváciou správ zo sociálnych sietí?

Export použite ako kópiu, ktorú uchovávate, a potom ho porovnajte s obsahom, kontextom, štruktúrou a metadátami. Úplný záznam môže vyžadovať dodatočné zachytenie, ak poskytovateľ nedokáže exportovať úplný záznam; NARA uvádza, že organizácia zostáva zodpovedná za zavedenie požiadaviek na zachytenie (pokyny NARA).

Ako exportovať priame správy z Instagramu na účely súladu?

Na počítači použite More > Settings > Meta Account > Your information and permissions > Export your information > Create export. Vyberte informácie, časové obdobie, formát, e-mail na upozornenie a kvalitu médií. Zaznamenajte štvordňovú lehotu dostupnosti, možné 30-dňové čakanie na e-mail, ochranu heslom a obmedzenie týkajúce sa odstránených informácií (Pomocník Instagramu).

Je možné stiahnuť správy z Facebook Messengera?

Facebook dokumentuje export informácií účtu v HTML alebo JSON cez profilový obrázok > Settings & privacy > Settings > Meta Account > Your information and permissions > Export your information > Create export. Skontrolujte doručené kategórie namiesto predpokladu, že obsahujú každú historickú správu: Facebook uvádza, že kategórie majú rôzne doby uchovávania a odstránený obsah sa nezobrazí (Pomocník Facebooku; Dostupnosť údajov na Facebooku).

Ako exportovať správy alebo údaje účtu z LinkedInu?

Na počítači použite Me > Settings & Privacy > Data Privacy > Download your data. LinkedIn uvádza, že konkrétne kategórie môžu prísť do niekoľkých minút, väčší download do 24 hodín a odkaz zostáva dostupný 72 hodín. Funkcia nie je dostupná v mobile a poskytuje údaje žiadajúceho člena, nie údaje iných členov (Pomocník LinkedInu).

Je možné exportovať chaty z WhatsAppu na právne účely alebo účely súladu?

V Androide otvorte chat, vyberte More options > More > Export chat, zvoľte Without media alebo Include media a vyberte spôsob zdieľania. WhatsApp uvádza, že výsledkom je textový súbor, nie záloha, ktorú možno znova importovať; zahrnutie médií pridá najnovšie odoslané médiá ako prílohy (Pomocník WhatsAppu). Export a jeho obmedzenia uchovajte v manifeste.

Umožňuje TikTok stiahnuť priame správy a údaje účtu?

Tento podklad nepotvrdzuje postup exportu TikToku ani rozsah priamych správ. Neodvodzujte ho z inej platformy. Skontrolujte aktuálnu dokumentáciu TikToku a zaznamenajte metódu a obmedzenia; NARA tiež uvádza API, zachytenie webu, manuálne metódy a exportné nástroje platforiem ako možné metódy zachytenia (pokyny NARA).

Stačia snímky obrazovky a aké metadáta treba uchovať?

Uložené dôkazy označujú manuálne metódy za jednu z možných metód zachytenia, ale nepotvrdzujú snímky obrazovky ako úplný záznam. Ak je k dispozícii natívny export, uchovajte ho a zachovajte obsah, kontext, štruktúru a súvisiace metadáta, ako sú autor a dátum vytvorenia (pokyny NARA).

Ako dlho treba správy uchovávať a ako overiť zálohu?

Uplatnite pravidlo potvrdené pre danú komunikáciu. Medzi citované príklady patria najmenej tri roky pre niektoré záznamy brokerov a dílerov podľa FINRA, šesť rokov pre požadovanú dokumentáciu HIPAA a zásada GDPR týkajúca sa nevyhnutného minima. Zálohu overíte porovnaním rozsahu s doručenými súbormi, zaznamenaním obmedzení platformy, uchovaním originálov a uložením hashov; NIST uvádza, že hash závisí od celého obsahu súboru alebo správy (FINRA Notice 11-39; 45 CFR 164.316; GDPR; slovník hashovacích funkcií NIST).