Cách sao lưu tin nhắn mạng xã hội để tuân thủ quy định

Bản xuất tin nhắn mạng xã hội chỉ hữu ích khi bạn có thể giải thích bản xuất chứa gì, bỏ sót gì, ai có thể truy cập và liệu nội dung có thay đổi sau khi thu thập hay không. Danh sách kiểm tra này bao quát bản xuất gốc, siêu dữ liệu, thời hạn lưu giữ, quyền truy cập và xác minh, mà không mặc định rằng một bản tải xuống từ nền tảng là hồ sơ đầy đủ.

1. Bắt đầu với hồ sơ cần bảo toàn

Để thiết lập đường cơ sở có thể bảo vệ được, hãy bảo toàn nhiều hơn văn bản tin nhắn. Cơ quan Lưu trữ và Hồ sơ Quốc gia Hoa Kỳ (NARA) cho biết một hồ sơ Liên bang đầy đủ phải có nội dung, bối cảnh và cấu trúc, cùng siêu dữ liệu liên quan như tác giả và ngày tạo, đồng thời phải được duy trì để bảo đảm độ tin cậy và tính xác thực (hướng dẫn NARA).

Hãy dùng các yếu tố này làm phép kiểm tra tính đầy đủ:

• Nội dung: bản xuất tin nhắn hoặc cuộc trò chuyện.
• Bối cảnh: tài khoản, hồ sơ, người tham gia, phạm vi ngày tháng và lý do thu thập.
• Cấu trúc: định dạng và mối quan hệ giữa tệp, thư mục, tệp đính kèm và bản ghi tin nhắn.
• Siêu dữ liệu: các chi tiết như tác giả và ngày tạo, cùng phạm vi và thời điểm xuất mà bạn ghi lại.

Trong danh sách kiểm tra này, hãy coi bản xuất đã tải xuống là bản sao được bảo toàn, sau đó kiểm tra xem bản xuất có chứa các yếu tố đó hay không. NARA liệt kê API theo nền tảng, thu thập trên web, phương pháp thủ công và công cụ xuất của nền tảng là những phương pháp thu thập khả thi. NARA cũng cho biết khi nhà cung cấp không thể xuất hồ sơ đầy đủ, tổ chức vẫn chịu trách nhiệm triển khai các yêu cầu thu thập (hướng dẫn NARA).

2. Lập danh mục tài khoản, người quản lý và thời hạn lưu giữ trước khi xuất

Tạo một dòng cho mỗi mạng và hồ sơ trước khi yêu cầu dữ liệu. Ghi lại:

• Mạng và tên người dùng hoặc URL hồ sơ
• Chủ tài khoản hoặc người quản lý
• Mục đích kinh doanh và phạm vi tin nhắn liên quan
• Phạm vi ngày tháng được yêu cầu
• Phương pháp và định dạng xuất
• Ngày yêu cầu, ngày nhận và người quản lý quyền truy cập
• Vị trí lưu trữ và quy tắc lưu giữ
• Các nội dung loại trừ, trì hoãn hoặc cảnh báo về nội dung đã xóa được biết

Nền tảng không phải là tiêu chí duy nhất để xác định một tin nhắn có thuộc hồ sơ được quản lý hay không. FINRA cho biết nghĩa vụ lưu giữ hồ sơ mạng xã hội phụ thuộc vào việc thông tin đó có phải là trao đổi công việc hay không, chứ không chỉ phụ thuộc vào nền tảng. FINRA cũng cho biết việc phân tích không phụ thuộc vào thiết bị hay công nghệ, kể cả thiết bị cá nhân (Thông báo FINRA 11-39).

Thời hạn lưu giữ cũng không có một con số chung cho mọi trường hợp. Ví dụ:

Thời hạn của FINRA được nêu trong Thông báo 11-39, yêu cầu HIPAA xuất hiện tại 45 CFR 164.316, còn nội dung về lưu trữ và bảo mật xuất hiện trong đoạn 39 phần mở đầu GDPR. Đây là các ví dụ có nguồn dẫn, không phải chính sách lưu giữ áp dụng cho mọi trường hợp. NIST khuyến nghị chỉ áp dụng các biện pháp pháp chứng sau khi tham vấn ban quản lý và cố vấn pháp lý về luật và quy định hiện hành (NIST SP 800-86).

Đừng để hệ thống tự động xóa hoặc loại bỏ thông tin liên lạc điện tử là biện pháp kiểm soát lưu giữ hồ sơ duy nhất: FINRA cho biết công nghệ như vậy sẽ ngăn khả năng lưu giữ thông tin liên lạc (Thông báo FINRA 11-39).

3. Xuất tin nhắn và dữ liệu tài khoản bằng quy trình gốc được ghi nhận

Sử dụng quy trình chính thức phù hợp với nền tảng và lưu thông tin yêu cầu cùng các tệp nhận được.

Instagram

Trên máy tính, đường dẫn chính thức để bắt đầu xuất là More > Settings > Meta Account > Your information and permissions > Export your information > Create export. Instagram cho biết bạn có thể chọn thông tin cụ thể, phạm vi ngày, định dạng, email thông báo và chất lượng phương tiện trước khi bắt đầu xuất (Trợ giúp Instagram).

Hãy lập kế hoạch theo thời hạn cung cấp: Instagram cho biết bản xuất đã sẵn sàng có thể được tải trong bốn ngày, trong khi liên kết xuất có thể mất tới 30 ngày mới được gửi. Trang trợ giúp cũng lưu ý rằng thông tin đã xóa có thể không xuất hiện, đồng thời mô tả bản xuất là được bảo vệ bằng mật khẩu và chỉ chủ tài khoản mới có thể truy cập (Trợ giúp Instagram). Ghi lại ngày yêu cầu và ngày bạn thực sự tải tệp xuống.

Facebook

Trên máy tính, đường dẫn chính thức của Facebook là profile picture > Settings & privacy > Settings > Meta Account > Your information and permissions > Export your information > Create export. Facebook cho phép chọn HTML hoặc JSON; trang trợ giúp mô tả HTML là định dạng thân thiện với trình duyệt trong tệp ZIP, còn JSON có thể đọc bằng máy (Trợ giúp Facebook).

Cùng trang trợ giúp cho biết bản xuất đã sẵn sàng vẫn có thể truy cập trong bốn ngày và thao tác xuất được bảo vệ bằng mật khẩu. Facebook cũng cảnh báo rằng các danh mục được lưu trong những khoảng thời gian khác nhau, còn thông tin hoặc nội dung đã xóa sẽ không xuất hiện trong bản xuất (Trợ giúp Facebook; Tính khả dụng của dữ liệu Facebook). Hãy coi kết quả là bản xuất thông tin tài khoản cần được xem xét, không phải bằng chứng rằng mọi tin nhắn trong quá khứ đều tồn tại.

LinkedIn

Đường dẫn chính thức trên máy tính của LinkedIn là Me > Settings & Privacy > Data Privacy > Download your data. LinkedIn cho biết bạn có thể chọn các danh mục cụ thể hoặc tải xuống lớn hơn: loại dữ liệu cụ thể có thể đến trong vài phút, bản tải xuống lớn hơn trong vòng 24 giờ và liên kết tải xuống vẫn có hiệu lực trong 72 giờ (Trợ giúp LinkedIn).

Có hai giới hạn phạm vi quan trọng. LinkedIn cho biết tính năng tải xuống không có trên thiết bị di động và chỉ cung cấp dữ liệu cá nhân của thành viên yêu cầu, không phải dữ liệu của các thành viên khác (Trợ giúp LinkedIn). Ghi cả hai giới hạn này vào hồ sơ bảo toàn.

WhatsApp

Quy trình chính thức được lưu lại dành cho Android: mở cuộc trò chuyện > More options > More > Export chat > Without media hoặc Include media > chọn phương thức chia sẻ (Trợ giúp WhatsApp).

WhatsApp cho biết lịch sử trò chuyện đã xuất là tệp văn bản, không phải tệp sao lưu và không thể nhập lại. Nếu chọn Include media, các phương tiện gần đây nhất đã gửi sẽ được thêm dưới dạng tệp đính kèm. Bảo toàn bản xuất văn bản và tệp đính kèm cùng nhau, đồng thời không mô tả kết quả là kho lưu trữ phương tiện đầy đủ nếu chưa xác minh phạm vi (Trợ giúp WhatsApp).

Google Takeout và các kho lưu trữ tài khoản khác

Google mô tả Takeout là cách tạo kho lưu trữ để giữ hồ sơ hoặc chuyển dữ liệu. Google cho biết quá trình tạo kho có thể mất từ vài phút đến vài ngày, và bạn có thể chọn loại tệp cùng kích thước kho tối đa; khi dữ liệu đã chọn vượt quá kích thước đó, nhiều kho lưu trữ sẽ được tạo (Google Takeout).

Google cũng cảnh báo rằng tệp dữ liệu có thể không bao gồm những thay đổi được thực hiện giữa thời điểm yêu cầu tải xuống và thời điểm tạo kho lưu trữ (Google Takeout). Ghi lại thời điểm yêu cầu và thời điểm tạo kho, đồng thời giữ mọi phần của kho lưu trữ.

TikTok và các nền tảng chưa có quy trình được ghi nhận ở đây

Bộ tài liệu nghiên cứu này không thiết lập đường dẫn xuất chính thức của TikTok hoặc tuyên bố về phạm vi tin nhắn trực tiếp của TikTok. Đừng sao chép đường dẫn Instagram, Facebook hoặc LinkedIn vào hướng dẫn TikTok. Thay vào đó, ghi lại tùy chọn xuất hiện được ghi nhận hiện tại của nền tảng nếu có; nếu không, hãy ghi lại phương pháp thu thập và giới hạn. NARA xác định API, thu thập trên web, phương pháp thủ công và công cụ xuất của nền tảng là các phương pháp khả thi, với lựa chọn phụ thuộc vào cấu hình nền tảng và nhu cầu của tổ chức (hướng dẫn NARA).

4. Bảo toàn bản gốc, bối cảnh và hồ sơ truy cập

Giữ nguyên các tệp như khi được cung cấp. Không ghi đè lên chúng khi tạo bản sao dễ đọc để làm việc. Cùng với bản xuất, hãy lưu một tệp kê khai gồm:

• Nền tảng, tên người dùng hoặc URL hồ sơ và người quản lý
• Phạm vi được yêu cầu và khoảng ngày
• Thời điểm yêu cầu và thời điểm tải xuống
• Tên tệp, định dạng và số phần của kho lưu trữ
• Cài đặt phương tiện hoặc tệp đính kèm được bao gồm
• Ghi chú về thời hạn cung cấp và bảo vệ bằng mật khẩu
• Danh mục còn thiếu, cảnh báo nội dung đã xóa hoặc các giới hạn khác
• Vị trí lưu trữ và những người hoặc vai trò được phép truy cập

Đây là cách áp dụng thực tế tiêu chuẩn về nội dung, bối cảnh, cấu trúc và siêu dữ liệu của NARA (hướng dẫn NARA).

Ảnh chụp màn hình có thể là phương pháp thu thập thủ công, nhưng bằng chứng được lưu không xác lập rằng chỉ một ảnh chụp màn hình đã là hồ sơ tin nhắn đầy đủ. Khi có thể, hãy bảo toàn bản xuất gốc, giữ bối cảnh xung quanh và gắn nhãn cho mọi hoạt động thu thập thủ công như một phương pháp có giới hạn được ghi nhận thay vì mặc định gọi là đầy đủ.

Phạm vi sản phẩm được SocialGuardian ghi nhận là nội dung mạng xã hội xung quanh: trang web cho biết dịch vụ tự động sao lưu bài đăng, tin và video, bao gồm phương tiện cùng siêu dữ liệu, và cho phép người dùng xuất toàn bộ kho lưu trữ bất cứ lúc nào. Tại đây không có bằng chứng để khẳng định dịch vụ xuất tin nhắn riêng tư, vì vậy hãy tách quy trình xuất tin nhắn ở trên khỏi mô tả sản phẩm này (SocialGuardian).

5. Xác minh tính đầy đủ và tệp không bị thay đổi

Thực hiện bảng kiểm tra xác minh này cho mỗi bản xuất:

1. So sánh mạng, hồ sơ, danh mục và phạm vi ngày được yêu cầu với những gì đã được cung cấp.
2. Đếm mọi phần của kho lưu trữ và tệp đính kèm; ghi lại các tệp bị thiếu hoặc không thể đọc.
3. Mở đầu ra HTML, JSON hoặc văn bản được cung cấp và xác nhận rằng nội dung có thể đọc được.
4. Đối chiếu tệp kê khai với thời hạn cung cấp và các giới hạn do nền tảng nêu.
5. Ghi lại cảnh báo về nội dung đã xóa và các thay đổi giữa thời điểm yêu cầu và thời điểm tạo kho.
6. Bảo toàn bản xuất gốc tách biệt với mọi bản sao dùng để xem xét.
7. Tính mã băm cho từng tệp hoặc kho lưu trữ được bảo toàn và lưu giá trị trong tệp kê khai.
8. Tính lại mã băm khi tệp được xem xét hoặc chuyển giao, đồng thời điều tra nếu giá trị thay đổi.

NIST định nghĩa hàm băm là thuật toán tính một giá trị số đại diện cho một tệp dữ liệu hoặc tin nhắn điện tử, dựa trên toàn bộ nội dung của tệp hoặc tin nhắn đó (bảng thuật ngữ hàm băm NIST). Vì vậy, mã băm hữu ích để kiểm tra bản xuất đã lưu có thay đổi hay không; mã băm không cho biết bản xuất gốc có đầy đủ hay không.

Việc kiểm tra tính đầy đủ rất quan trọng vì Instagram cho biết thông tin đã xóa có thể không xuất hiện, Facebook cho biết thông tin hoặc nội dung đã xóa sẽ không xuất hiện, còn Google cảnh báo rằng các thay đổi giữa thời điểm yêu cầu tải xuống và thời điểm tạo kho có thể bị thiếu. Ghi lại từng khoảng trống và chuyển cấp xử lý thay vì âm thầm coi bản xuất một phần là đầy đủ (Trợ giúp Instagram; Tính khả dụng của dữ liệu Facebook; Google Takeout).

6. Áp dụng biện pháp kiểm soát lưu giữ, truy cập và tạm giữ

Sử dụng danh mục từ bước 2 để áp dụng quy tắc thực sự điều chỉnh thông tin liên lạc. Giới hạn quyền truy cập cho những người hoặc vai trò được ghi trong tệp kê khai, đồng thời lưu lý do của mọi ngoại lệ hoặc lệnh tạm giữ pháp lý. Các nguồn hỗ trợ những kiểm tra quản trị sau:

• FINRA cho biết mục đích kinh doanh của thông tin liên lạc là yếu tố quan trọng, và quy tắc dành cho công ty môi giới-đại lý được trích dẫn yêu cầu một số hồ sơ phải được lưu giữ ít nhất ba năm, trong đó hai năm đầu phải dễ dàng truy cập (Thông báo FINRA 11-39).
• Yêu cầu về tài liệu theo Quy tắc An ninh HIPAA được trích dẫn yêu cầu lưu giữ tài liệu bắt buộc trong sáu năm kể từ khi tạo hoặc từ lần cuối có hiệu lực, tùy thời điểm nào muộn hơn (45 CFR 164.316).
• Đoạn 39 phần mở đầu GDPR cho biết thời hạn lưu trữ nên được giới hạn ở mức tối thiểu nghiêm ngặt và dữ liệu cá nhân phải được xử lý với bảo mật và tính riêng tư phù hợp (GDPR).

NARA khuyến nghị thành lập nhóm làm việc về hồ sơ mạng xã hội gồm nhân sự quản lý hồ sơ, mạng xã hội, CNTT, quyền riêng tư và an ninh thông tin, cố vấn pháp lý và quan hệ công chúng (hướng dẫn NARA). Phân công các chức năng đó—hoặc chức năng tương đương—cho trách nhiệm sở hữu, xem xét, truy cập và chuyển cấp xử lý. Chỉ áp dụng quy tắc sau khi nhóm chịu trách nhiệm và cố vấn xác nhận quy tắc phù hợp với dữ liệu và khu vực pháp lý.

7. Danh sách kiểm tra bảo toàn tin nhắn trên nhiều nền tảng

Sao chép nội dung này vào phiếu bảo toàn:

• Liệt kê mọi mạng, tên người dùng hoặc URL hồ sơ, người quản lý và mục đích kinh doanh.
• Xác định các danh mục tin nhắn và phạm vi ngày cần bảo toàn.
• Chọn bản xuất gốc được ghi nhận hoặc phương pháp thu thập được ghi nhận khác.
• Ghi lại thời gian yêu cầu, thời gian cung cấp, định dạng, cài đặt phương tiện và thời hạn cung cấp.
• Bảo toàn bản xuất gốc cùng mọi phần của kho lưu trữ và tệp đính kèm.
• Bảo toàn nội dung, bối cảnh, cấu trúc và siêu dữ liệu liên quan.
• Ghi lại các giới hạn về nội dung đã xóa, khả năng sử dụng trên thiết bị di động, chỉ dữ liệu của chính người dùng, chỉ văn bản hoặc thời điểm.
• Mở và xem xét các tệp được cung cấp.
• Tính và lưu mã băm cho từng tệp hoặc kho lưu trữ gốc.
• Hạn chế quyền truy cập và ghi lại người quản lý quyền truy cập.
• Áp dụng quy tắc lưu giữ đã xác nhận và mọi lệnh tạm giữ.
• Chuyển bản xuất không đầy đủ cho người phụ trách hồ sơ, an ninh, quyền riêng tư hoặc pháp lý.

FAQ

Sự khác biệt giữa sao lưu và lưu trữ tin nhắn mạng xã hội là gì?

Hãy sử dụng bản xuất làm bản sao được bảo toàn, sau đó kiểm tra bản xuất theo nội dung, bối cảnh, cấu trúc và siêu dữ liệu. Khi nhà cung cấp không thể xuất hồ sơ đầy đủ, có thể cần thu thập bổ sung; NARA cho biết tổ chức vẫn chịu trách nhiệm triển khai các yêu cầu thu thập (hướng dẫn NARA).

Làm thế nào để xuất tin nhắn trực tiếp Instagram cho mục đích tuân thủ?

Trên máy tính, sử dụng More > Settings > Meta Account > Your information and permissions > Export your information > Create export. Chọn thông tin, phạm vi ngày, định dạng, email thông báo và chất lượng phương tiện. Ghi lại thời hạn bốn ngày để tải bản xuất đã sẵn sàng, thời gian chờ email có thể lên đến 30 ngày, việc bảo vệ bằng mật khẩu và giới hạn đối với thông tin đã xóa (Trợ giúp Instagram).

Có thể tải tin nhắn Facebook Messenger không?

Facebook ghi nhận bản xuất thông tin tài khoản ở định dạng HTML hoặc JSON qua profile picture > Settings & privacy > Settings > Meta Account > Your information and permissions > Export your information > Create export. Hãy xem xét các danh mục được cung cấp thay vì cho rằng mọi tin nhắn trong quá khứ đều có mặt: Facebook cho biết các danh mục có thời hạn lưu trữ khác nhau và nội dung đã xóa sẽ không xuất hiện (Trợ giúp Facebook; Tính khả dụng của dữ liệu Facebook).

Làm thế nào để xuất tin nhắn hoặc dữ liệu tài khoản LinkedIn?

Trên máy tính, sử dụng Me > Settings & Privacy > Data Privacy > Download your data. LinkedIn cho biết các danh mục cụ thể có thể đến trong vài phút, bản tải xuống lớn hơn trong vòng 24 giờ và liên kết vẫn có hiệu lực trong 72 giờ. Tính năng này không có trên thiết bị di động và chỉ cung cấp dữ liệu của thành viên yêu cầu, không phải dữ liệu của các thành viên khác (Trợ giúp LinkedIn).

Có thể xuất cuộc trò chuyện WhatsApp cho mục đích pháp lý hoặc tuân thủ không?

Trên Android, mở cuộc trò chuyện, chọn More options > More > Export chat, chọn Without media hoặc Include media, rồi chọn phương thức chia sẻ. WhatsApp cho biết kết quả là tệp văn bản, không phải bản sao lưu có thể nhập lại; việc bao gồm phương tiện sẽ thêm phương tiện gần đây nhất đã gửi dưới dạng tệp đính kèm (Trợ giúp WhatsApp). Bảo toàn bản xuất và các giới hạn của nó trong tệp kê khai.

TikTok có cho phép tải tin nhắn trực tiếp và dữ liệu tài khoản không?

Bộ bằng chứng này không thiết lập đường dẫn xuất TikTok hoặc phạm vi tin nhắn trực tiếp. Đừng suy ra quy trình từ nền tảng khác. Kiểm tra tài liệu hiện tại của TikTok và ghi lại phương pháp cùng các giới hạn; NARA cũng liệt kê API, thu thập trên web, phương pháp thủ công và công cụ xuất của nền tảng là các phương pháp khả thi (hướng dẫn NARA).

Ảnh chụp màn hình có đủ không và nên bảo toàn siêu dữ liệu nào?

Bằng chứng được lưu xác định phương pháp thủ công là một phương pháp thu thập khả thi, nhưng không xác lập rằng chỉ ảnh chụp màn hình đã là hồ sơ đầy đủ. Khi có thể, hãy bảo toàn bản xuất gốc và giữ nội dung, bối cảnh, cấu trúc cùng siêu dữ liệu liên quan như tác giả và ngày tạo (hướng dẫn NARA).

Nên lưu giữ tin nhắn trong bao lâu và xác minh bản sao lưu như thế nào?

Áp dụng quy tắc đã được xác nhận cho thông tin liên lạc đó. Các ví dụ được trích dẫn gồm ít nhất ba năm đối với một số hồ sơ công ty môi giới-đại lý FINRA, sáu năm đối với tài liệu HIPAA bắt buộc và nguyên tắc lưu trữ ở mức tối thiểu nghiêm ngặt của GDPR. Để xác minh bản sao lưu, so sánh phạm vi với các tệp được cung cấp, ghi lại giới hạn của nền tảng, bảo toàn bản gốc và lưu mã băm; NIST cho biết mã băm phụ thuộc vào toàn bộ nội dung của tệp hoặc tin nhắn (Thông báo FINRA 11-39; 45 CFR 164.316; GDPR; bảng thuật ngữ hàm băm NIST).