Správná redakce dokumentů: Odstranění citlivého textu v PDF místo jeho překrytí

Proč „překrytí“ není odstranění a kde se v PDF skrývají citlivé údaje

Při sdílení dokumentů s citlivými informacemi je častou reakcí „překrýt“ text černým obdélníkem nebo bílou výplní. V PDF se tím však obvykle pouze přidá nová grafická vrstva nad stávající obsah. Původní text, vektorová grafika, odkazy či poznámky často v souboru zůstávají a lze je získat například kopírováním, vyhledáváním, přístupem prostřednictvím asistenčních technologií, extrakcí obsahu nebo jednoduchým odstraněním překrývajících objektů. Z hlediska ochrany soukromí jde o kritickou chybu.

Správná „redakce“ (redaction) znamená nevratné odstranění citlivého obsahu z datové struktury PDF – nejen jeho vizuální skrytí.

Stručná anatomie PDF: proč je odstranění složitější, než se zdá

Obsahové proudy (content streams) definují text, tvary a obrázky na stránce pomocí operátorů (např. zobrazení textu, přesun kurzoru, kreslení cest).
Písma a glyfy mohou být v PDF částečně vložené; text se může jevit jako text, ale může být také vektorovou křivkou (obrázkem).
Vrstvy (OCG/OCMD) umožňují skrýt části obsahu; skrytý obsah ≠ odstraněný obsah.
Anotace a formuláře (AcroForm/XFA) často obsahují hodnoty a komentáře mimo hlavní obsah stránek.
Přílohy (EmbeddedFiles) mohou obsahovat původní zdrojové soubory.
Metadata (XMP, slovník Info) zahrnují autory, historii, software a někdy také generované náhledy s citlivým textem.
Inkrementální ukládání staré objekty nemaže, pouze přidává nové revize. Stará data často v souboru fyzicky zůstávají.
Vrstvy OCR u naskenovaných PDF vytvářejí nad obrázkem „neviditelný text“ – ten je také třeba odstranit.

Nejčastější chybné postupy při „redigování“

Překrývající obdélník (černý/„bílý rámeček“): původní text zůstává a lze ho kopírovat nebo extrahovat.
Vymazání ve vizuálním editoru bez skutečného zásahu do objektů: editor objekt pouze skryje vrstvou nebo stylem.
Export do obrázku s následným OCR bez kontroly: OCR citlivý text znovu „objeví“.
Uložení volbou „Uložit jako“ místo „Použít redakci“: staré objekty se v souboru zachovají kvůli inkrementálnímu ukládání.
Ignorování anotací, polí formulářů, odkazů a příloh: citlivé údaje bývají právě tam.
Spoléhání na náhledové obrázky: náhled neříká nic o tom, co je obsaženo v datech PDF.

Zásady bezpečné redakce: co musí nástroj udělat

Identifikovat všechny odpovídající objekty (text, vektory, obrázky, text OCR, odkazy, anotace, formuláře) související s citlivým obsahem.
Nezvratně odstranit tyto objekty a jejich reference z datové struktury PDF.
Sloučit a přepsat křížové reference tak, aby v souboru nezůstaly osiřelé objekty ze starých verzí (vyhnout se pouhému inkrementálnímu dopisování).
Vyčistit metadata (XMP, Info), odpojit přílohy a odstranit nepotřebné objekty.
Zkontrolovat vrstvy (OCG), odkazy a akce (JavaScript v PDF), aby nezůstaly skryté kanály.

Doporučený pracovní postup krok za krokem

Inventarizace citlivého obsahu: sepište, co je třeba odstranit (osobní údaje, identifikátory, interní poznámky, čísla smluv, podpisové vzory, mapy s polohopisem…).
Pracujte s kopií souboru a původní originál uložte do zabezpečeného archivu (s protokoly přístupu).
Použijte redakční nástroj (funkci „Redact/Apply Redactions“), nikoli „Draw/Rectangle“. V režimu redakce označíte oblasti/výrazy a redakci použijete.
Použijte redakci a uložte jako nový soubor; zvolte neinkrementální ukládání (úplný přepis), pokud to nástroj umožňuje.
Vyčistěte a ověřte metadata: odstraňte autory, historii, cesty k souborům, miniatury a vlastní pole.
Zkontrolujte přílohy a formuláře (odstraňte přílohy, sloučte pole formulářů tak, aby v datech nezůstaly jejich hodnoty).
Ověření: zkuste vyhledat klíčové výrazy, kopírovat text, extrahovat text a otevřít soubor v jiném prohlížeči a nástroji pro extrakci – nesmí se objevit nic citlivého.
Interní peer review / audit u citlivých publikací (pravidlo „čtyř očí“).
Publikujte až po zdokumentovaném ověření a uložte si protokol o provedených krocích (kvůli souladu a doložitelnosti).

Práce s naskenovanými PDF (obrázkovými dokumenty)

Naskenované dokumenty představují specifický případ: citlivý obsah je v rastrovém obrázku. Možnosti:

Cílená retuš obrázku (např. rozmazání/odstranění oblasti) před vložením do PDF. Pozor: při pozdějším OCR může být text znovu „vytvořen“ – nastavte OCR tak, aby na redigovaných oblastech nevytvářelo text, nebo před OCR použijte maskování.
Rasterizace celé stránky na nevratné obrázky jako „těžké kladivo“. Výhody: odstraní textové objekty. Nevýhody: zvětšení souboru, ztráta přístupnosti, snížení kvality. Pokud potřebujete přístupnost, proveďte OCR po redakci a ověřte, že redigované oblasti neprocházejí OCR.

Formuláře, anotace, odkazy a skryté kanály

Formuláře (AcroForm): údaje bývají v hodnotách polí i v záznamu událostí. Po redakci pole slučte nebo odstraňte.
Anotace a komentáře: odstraňte všechny, nejen je skryjte. Komentáře mohou obsahovat diskusi s citlivými údaji.
Odkazy a akce (včetně JavaScriptu): zkontrolujte je a odstraňte, pokud souvisejí s citlivým obsahem.
Přílohy: smažte celý strom EmbeddedFiles. Častý únik: k dokumentu je přiložen původní soubor Word/Excel.
Vrstvy (OCG): neodstraňujte pouze jejich viditelnost; odstraňte objekty přiřazené k vrstvě.

Metadata a historie dokumentu

PDF obsahuje metadata ve slovníku Info a XMP (např. dc:creator, pdf:Producer, vlastní pole). Některé nástroje vytvářejí také náhledové obrázky se staršími verzemi stránek. Bezpečný postup:

Vyčistit Info a XMP (autoři, cesty, názvy projektů, interní kódy).
Odstranit náhledy/miniatury, pokud je nástroj uchovává mimo stránky.
Uložit bez inkrementální historie (úplný přepis), aby nezůstaly staré objekty.

Digitální podpisy a časová razítka

Redakce upravuje soubor a zneplatní stávající podpisy. Správné pořadí kroků:

Nejprve úplná redakce a vyčištění.
Teprve poté finalizace (linearizace, optimalizace) a nové podpisy/časová razítka.

Kontrolní seznam před zveřejněním

Všechny oblasti s citlivým obsahem jsou označené a redakční akce jsou použité.
Vyhledávání klíčových slov v PDF vrací 0 výsledků.
Kopírování z redigovaných oblastí v různých čtečkách vrací prázdný výsledek nebo nesmyslné znaky.
Extrakce textu jiným nástrojem neodhalí citlivý text.
Žádné anotace, přílohy, odkazy ani JavaScript neobsahují citlivý obsah.
Metadata jsou smysluplně minimalizována.
Soubor byl uložen neinkrementálně (úplný přepis), případně proběhl proces „optimalizace/přepisu“.
Proběhla druhá kontrola kolegou a vznikl protokol o postupu.

Organizační pravidla a školení

Definujte standardní postup redakce a povinné nástroje.
Stanovte rizikové kategorie údajů a připravené slovníky/regexy (rodná čísla, IBAN, adresy, e-maily…).
Zaveďte kontrolu čtyřma očima u dokumentů s vyšší citlivostí.
Pravidelně školte kolegy o rozdílu mezi překrytím a odstraněním.
Udržujte záznamy o verzích a krocích redakce kvůli auditu a souladu (GDPR, smluvní ustanovení).

Automatizace: „bezpečná brána“ pro publikování PDF

Pokud často publikujete PDF, vyplatí se zavést „publikační bránu“:

Vstupní testy: kontrola klíčových frází a vzorů (čísla dokladů, osobní údaje).
Strojová redakce předem definovaných typů údajů (např. kontaktů), u ostatních s manuálním schválením.
Vyčištění metadat a příloh + neinkrementální přepis.
Ověření pomocí více nástrojů: alespoň dva různé extraktory/prohlížeče.
Protokol a archivace – každý výstup má záznam o provedených krocích.

Specifika: mapy, výkresy, grafy a vektorová data

Vektorové vrstvy mohou obsahovat souřadnice, kóty nebo identifikátory objektů. Redigujte objekty, nejen jejich styl. Skrytí vrstvy nebo změna barvy nestačí. Při exportu ze zdrojových nástrojů CAD/GIS používejte volbu „exportovat bez citlivých vrstev“ a nezahrnujte přílohy (např. původní soubory .dwg/.shp).

Minimalizace údajů a alternativy k PDF

Nejbezpečnější údaj je ten, který organizaci nikdy neopustí. Před publikováním PDF zvažte:

Je potřeba celý dokument, nebo postačí výňatek bez citlivých částí?
Nejde o strukturovaná data, pro která by byla vhodnější tabulka s anonymizací?
Má smysl poslat text jako obrázek bez OCR, pokud není nutná přístupnost?

Praktické tipy a „triky“ pro ověřování

Otevřete PDF ve třech různých prohlížečích a zkuste Ctrl/Cmd+F pro vyhledání citlivých slov.
Zkuste zkopírovat oblast s redigovaným textem – výsledek vložte do čistého textového editoru.
Použijte externí nástroj pro extrakci textu (jiný než ten, ve kterém jste redigovali).
Zkontrolujte panel příloh a seznam anotací.
Ověřte metadata (autor, předmět, vlastní pole) a způsob ukládání verze.

Co sdělit příjemcům: limity, které by měli znát

I dobře redigovaný dokument má svá omezení. Informujte příjemce, že:

Dokument byl redigován a obsahuje pouze informace, které lze zveřejnit.
Jakékoli pokusy o rekonstrukci nebo obcházení jsou zakázány smluvně/politikou.
Uvedené informace jsou aktuální k datu zveřejnění – před dalším šířením požádejte o nové vydání.

Shrnutí: odstranit, nikoli zakrýt

Bezpečná redakce v PDF znamená pracovat s datovou strukturou dokumentu, nikoli s jeho „vzhledem“. Klíčem je používat nástroje a postupy, které obsah fyzicky odstraní, přepíší křížové reference, vyčistí metadata, odstraní přílohy a výsledek ověří několika metodami. Z hlediska ochrany soukromí a souladu s právními předpisy je to jediný správný postup.