Ένα πρόβλημα που σχεδόν κανείς δεν βλέπει
Ένας δικηγόρος λαμβάνει ένα ευαίσθητο έγγραφο από τον πελάτη του. Ένας γιατρός συζητά μια διάγνωση με συνάδελφο. Ένας ψυχολόγος συντονίζει τη θεραπεία με ψυχίατρο. Ένας φορολογικός σύμβουλος στέλνει τα στοιχεία μιας δήλωσης. Όλοι το κάνουν μέσω μηνυμάτων. Και σχεδόν κανείς δεν αναρωτήθηκε πού καταλήγουν αυτά τα μηνύματα.
Η απάντηση, στις περισσότερες περιπτώσεις, είναι: σε διακομιστή που δεν ελέγχουν, σε χώρα της οποίας τη νομοθεσία δεν γνωρίζουν, υπό τη διαχείριση εταιρείας της οποίας το επιχειρηματικό μοντέλο είναι ακριβώς η συσσώρευση δεδομένων. Το μήνυμα μπορεί να είναι κρυπτογραφημένο κατά τη μεταφορά, αλλά μόλις φτάσει στον διακομιστή, είναι αποθηκευμένο αντίγραφο στην υποδομή τρίτου.
Τι λέει ο νόμος
Ο Ευρωπαϊκός GDPR είναι σαφής: όποιος χειρίζεται προσωπικά δεδομένα τρίτων είναι υπεύθυνος να τα προστατεύει με κατάλληλα τεχνικά μέτρα. Δεν αρκεί η καλή πρόθεση. Δεν αρκεί ότι η εφαρμογή λέει ότι κρυπτογραφεί. Αν τα δεδομένα του πελάτη σου βρίσκονται σε διακομιστή που δεν συμμορφώνεται με τους ευρωπαϊκούς κανόνες, εσύ είσαι ο υπεύθυνος.
Και δεν αφορά μόνο τον GDPR. Το επαγγελματικό απόρρητο — ρυθμισμένο για δικηγόρους, γιατρούς, ψυχολόγους, ελεγκτές και πολλούς άλλους — απαιτεί η επικοινωνία με τον πελάτη να είναι εμπιστευτική. Όχι εμπιστευτική «στο μέτρο του δυνατού». Εμπιστευτική πραγματικά. Αν το κανάλι που χρησιμοποιείς δεν μπορεί να το εγγυηθεί τεχνικά, αναλαμβάνεις κίνδυνο που δεν θα έπρεπε.
Τι χρειάζεται ένας επαγγελματίας;
Αυτό που χρειάζεται ένας επαγγελματίας που χειρίζεται ευαίσθητες πληροφορίες είναι εκπληκτικά απλό. Χρειάζεται ένα κανάλι όπου τα μηνύματα πηγαίνουν απευθείας από τη συσκευή του στη συσκευή του παραλήπτη, χωρίς να περνάνε από κανέναν ενδιάμεσο διακομιστή. Χωρίς αντίγραφο στο cloud. Χωρίς να χρειάζεται να δώσει προσωπικό αριθμό τηλεφώνου. Και με υποδομή που συμμορφώνεται πλήρως με την ευρωπαϊκή νομοθεσία.
Δε χρειάζεται πολύπλοκη εφαρμογή. Δε χρειάζεται εκπαίδευση. Δε χρειάζεται να αλλάξει τον τρόπο εργασίας. Χρειάζεται ακριβώς αυτό που ήδη χρησιμοποιεί — άμεσα μηνύματα — αλλά με την τεχνική εγγύηση ότι οι πληροφορίες δεν φεύγουν από τις συσκευές των δύο ατόμων που συμμετέχουν στη συνομιλία.
Η διαφορά μεταξύ κρυπτογράφησης και μη αποθήκευσης
Το να κρυπτογραφήσεις ένα μήνυμα και να το αποθηκεύσεις σε διακομιστή είναι σαν να βάλεις ένα έγγραφο σε χρηματοκιβώτιο και να το αφήσεις στο σπίτι ενός αγνώστου. Το χρηματοκιβώτιο είναι καλό, ναι. Αλλά το έγγραφο εξακολουθεί να βρίσκεται στο σπίτι κάποιου άλλου. Και εκείνος μπορεί να λάβει δικαστική εντολή, μπορεί να υποστεί κυβερνοεπίθεση ή μπορεί απλά να αλλάξει τους όρους χρήσης.
Η εναλλακτική είναι το έγγραφο να μη φύγει ποτέ από το γραφείο σου. Να πάει απευθείας από το γραφείο σου στο γραφείο του πελάτη σου, χωρίς μεσάζοντα. Ακριβώς αυτό κάνει η απευθείας επικοινωνία μεταξύ συσκευών: εξαλείφει τον μεσάζοντα. Όχι ότι ο μεσάζοντας είναι κακός. Απλά είναι περιττός. Και το περιττό, στην ασφάλεια, είναι πάντα κίνδυνος.
Ζήτημα ευθύνης
Στην τελική, η ερώτηση που κάθε επαγγελματίας πρέπει να κάνει στον εαυτό του είναι: αν αύριο διαρρεύσει μια συνομιλία με τον πελάτη μου, μπορώ να αποδείξω ότι χρησιμοποίησα τεχνικά ασφαλές κανάλι; Μπορώ να αποδείξω ότι τα δεδομένα δεν έφυγαν ποτέ από τις συσκευές μας; Μπορώ να αποδείξω ότι δεν εξαρτήθηκα από την καλή θέληση εταιρείας σε άλλη ήπειρο;
Το εργαλείο που επιλέγεις για να επικοινωνείς με τους πελάτες σου λέει πολλά για το πώς εκτιμάς την εμπιστοσύνη τους. Και υπάρχουν εργαλεία σχεδιασμένα ακριβώς γι' αυτό: ώστε η εμπιστοσύνη να μην εξαρτάται από υποσχέσεις, αλλά από την αρχιτεκτονική.