Zamazane dane w PDF-ie wciąż da się odczytać. Ten błąd popełnia wiele firm i urzędów

Wiele dokumentów codziennie opuszcza firmę. Czy to, co ukryte, na pewno nie wycieka razem z nimi?

Organizacje coraz chętniej inwestują w zapory sieciowe, ochronę stacji roboczych i filtrowanie poczty, żeby lepiej zabezpieczyć przetwarzane dane - i trudno się temu dziwić. Z raportu Ministerstwa Cyfryzacji wynika, że w 2025 r. zespoły reagowania na incydenty obsłużyły niemal 273 tys. incydentów, czyli o ponad 144 proc. więcej niż rok wcześniej (zdecydowaną większość stanowiły oszustwa komputerowe). Rośnie też liczba naruszeń ochrony danych osobowych zgłaszanych do UODO. W 2025 r. było ich już ok. 22 tys., podczas gdy dwa lata wcześniej wynosiła ponad 14 tys.

Nie wszystkie te naruszenia są jednak skutkiem ataku z zewnątrz; część z nich wynika ze zwykłych błędów popełnianych przy codziennej pracy z dokumentami, a konkretniej - z dokumentami wysyłanymi na zewnątrz organizacji. Chodzi na przykład o umowę dla kontrahenta, odpowiedź na wniosek o udostępnienie informacji publicznej czy zestawienie przekazywane biuru rachunkowemu. Każdy z tych dokumentów może zawierać dane osobowe lub informacje finansowe, które powinny zostać usunięte przed wysyłką - a o tym, co zniknie z pliku, decyduje zazwyczaj pracownik.

Problem polega na tym, że każdy robi to po swojemu. Jedna osoba korzysta z darmowego edytora i zakreśla lub zamazuje poufne informacje. Inna drukuje dokument i skanuje go ponownie, jeszcze inna konwertuje plik do formatu edytowalnego, a następnie ponownie zapisuje go jako PDF. Można się domyślać, że w takich warunkach trudno ustalić, czy dane rzeczywiście zostały usunięte. Osobną kwestią są bezpłatne konwertery dostępne w przeglądarce; plik z danymi klientów trafia wtedy na serwer zewnętrznej firmy, a organizacja traci kontrolę nad tym, gdzie znalazła się jego kopia.

Nowe przepisy o cyberbezpieczeństwie już obowiązują. Na dostosowanie zostało kilka miesięcy

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża unijną dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Podmioty kluczowe i ważne mają czas do 3 kwietnia 2027 r., by dostosować do nowych wymogów swoje systemy, procedury i sposób zarządzania ryzykiem. Najprawdopodobniej wiele firm skupi się przede wszystkim na infrastrukturze - tymczasem zarządzanie ryzykiem obejmuje również programy, z których pracownicy korzystają na co dzień. Stara, niewspierana wersja edytora PDF nie otrzymuje już poprawek bezpieczeństwa, a pliki PDF same w sobie mogą zostać wykorzystane do ataku. Trudno więc uznać takie narzędzie za wystarczające zabezpieczenie.

Do tego dochodzą oczywiście obowiązki wynikające z RODO, które od lat wymagają odpowiedniego zabezpieczenia przetwarzanych danych osobowych. Wysłanie dokumentu z z zasłoniętym, ale nieusuniętym numerem PESEL może zostać uznane za naruszenie ochrony danych.

Trwałe usuwanie danych i praca bez chmury. Co oferuje FineReader PDF?

Oprogramowaniem, które pozwala na trwałe wymazywanie poufnych informacji z pliku, jest m.in. ABBYY FineReader PDF. Usunięty wraz z metadanymi i warstwą tekstową  fragment znika ze struktury dokumentu, więc nie da się go odzyskać ani skopiować. Program umożliwia też wyszukanie wszystkich wystąpień danego ciągu znaków, na przykład nazwiska, trwałe usunięcie wszystkich wskazanych wystąpień jednocześnie, co przydaje się zwłaszcza przy dłuższych dokumentach. Dzięki rozpoznawaniu tekstu tę samą operację można przeprowadzić na zeskanowanych pismach, w których dane zapisane są w postaci obrazu. Gotowy plik da się zabezpieczyć hasłem i podpisać cyfrowo.

Wszystkie operacje na dokumentach są realizowane lokalnie, na urządzeniu użytkownika. Dokument nie musi trafiać do żadnej usługi w chmurze tylko po to, by go przekonwertować, połączyć z innym plikiem czy usunąć z niego dane. W wersji Corporate dostępne jest także porównywanie dokumentów, w tym skanów i plików Office. Funkcja pozwala wykryć różnice w treści między różnymi wersjami dokumentów, co ułatwia sprawdzenie, czy poza zamierzonym usunięciem informacji nie wprowadzono innych zmian.

Jednoczesny dostęp zamiast licencji na każde biurko. Firma płaci za faktyczne wykorzystanie

Wprowadzenie jednego programu dla wszystkich pracowników wiąże się zwykle z kosztami - i tu pojawia się kwestia modelu licencjonowania. W średnich i dużych firmach dobrze sprawdza się licencja typu jednoczesny dostęp. Firma kupuje określoną pulę licencji, z której korzystają ci pracownicy, którzy w danym momencie potrzebują programu. W organizacji zatrudniającej 200 osób z dokumentami PDF pracuje zwykle jednocześnie tylko część zespołu, więc liczba potrzebnych licencji może być znacznie niższa od liczby pracowników.

Dział IT zyskuje z kolei kontrolę nad tym, jaka wersja programu działa na stanowiskach. FineReader PDF 16 można wdrażać centralnie, m.in. przy użyciu zasad grupy (GPO) czy Microsoft Azure. Darmowa przeglądarka PDF dla organizacji współpracuje z licencjami jednoczesnego dostępu, więc osoby, które dokumenty jedynie czytają, nie zajmują licencji potrzebnych tym, którzy je edytują i przygotowują do wysyłki.

Bezpieczeństwo dokumentów zależy więc w dużej mierze od tego, czy wszyscy pracownicy korzystają z tego samego, aktualnego narzędzia i usuwają dane w ten sam sposób. W przypadku podmiotów objętych nowymi przepisami o cyberbezpieczeństwie warto zająć się tym jeszcze przed kwietniem 2027 r.

Więcej informacji o programie: finereader.pl. Filmy pokazujące działanie poszczególnych funkcji można znaleźć na kanale FineReader Polska na YouTube.

Tekst powstał we współpracy z AutoID Polska S.A. — Generalnym Dystrybutorem oprogramowania ABBYY FineReader PDF w Polsce

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj