Po pierwsze, bezpieczeństwo! Podstawy zachowywania bezpieczeństwa cyfrowego

Ten warsztat zaznajamia uczestników z podstawami zachowywania bezpieczeństwa cyfrowego oraz środków informujących o zagrożeniach, które będą mogli zastosować do własnych kontekstów. Dodatkowo, ujęto w nim główne zasady oraz kryteria doboru narzędzi cyfrowych w zależności od pojedynczych użytkowników lub grup z nich korzystających / bieżącej sytuacji oraz potrzeb.

Przebieg warsztatu

Początek (15 minut)

Instrukcje

• Przykuj uwagę uczestników, zadając pytanie lub komentując wydarzenie, zdjęcie, itp., istotne w odniesieniu do warsztatu.

• Przedstaw siebie oraz cele warsztatu.

• Opcjonalnie: Przedstaw źródło użytych w warsztacie materiałów (Tactical Tech.)

• Poinformuj uczestników o planie warsztatu.

• Zasugeruj podstawowe zasady, które będą obowiązywały podczas trwania warsztatu: w jaki sposób uczestnicy mają się zachowywać i odnosić, także w stosunku do siebie nawzajem, itp. Zachęć uczestników do komentowania zasad i dodawania własnych. Jeśli prowadzisz dłuższą sesję szkoleniową, rozważ stworzenie Ogólnego Kodeksu Postępowania lub Wspólnego Porozumienia (wskazówki znajdziesz w sekcji „Wspólne porozumienie” poradnika Tactical Tech's dotyczącego płci i technologii.

Instrukcje

• Ułatw szybką prezentację uczestnikom warsztatu, zadając im kilka pytań dotyczących ich osoby, wykonywanej przez nich pracy oraz oczekiwań, jakie mają odnośnie warsztatu, itp.

• Jako alternatywę możesz przeprowadzić ćwiczenie na przełamanie lodów, rozbudzając kreatywność uczestników. Na przykład, prosząc ich, aby nanieśli swoje pomysły i odpowiedzi na tablicę (online) lub wykonali określone zadanie (offline). Dalsze przykładu znajdziesz w sekcji Przełamywanie lodów w Poradniku instruktora.

Ocena ryzyka (1 godzina i 15 minut)

Instrukcje

Zrób krótką prezentację, skupiając się na kluczowych punktach:

• Nastawienie Po pierwsze, bezpieczeństwo! - Każda planująca rozpoczęcie śledztwa/badania/projektu osoba powinna pomyśleć o jego zabezpieczeniu i ochronie własnej prywatności, działając z wyprzedzeniem i traktując to działanie jako proces ciągły, a nie jako doraźne rozwiązanie sytuacji kryzysowej.

• Zasada Nie czyń szkody - Zawsze planuj swoje działania tak, aby zwiększyć ich pozytywny wpływ na ludzi, z którymi będziesz współpracował, na zagadnienie, którym się zajmujesz, i na samego siebie, przy jednoczesnym ograniczaniu wpływu negatywnego.

Narzędzia/Materiały

• [Tabela „Samooceny bezpieczeństwa cyfrowego”](](https://cdn.ttc.io/s/exposingtheinvisible.org/workshops/safety-first/ETI-Workshop_SafetyFirst-Self-Assessment-Chart_PL.docx) (plik Word)

Instrukcje

[10 minut] Poproś uczestników, żeby uzupełnili tabelę dotyczącą ich pracy, podając informacje dotyczące:

1. Podejmowanych działań - Żeby ułatwić to ćwiczenie uczestnikom, możesz podać kilka przykładów, np.: Badanie prowadzonego online (przy użyciu komputera) Badanie prowadzonego offline Korzystanie z narzędzi do komunikacji: poczta, telefon, online, offline Archiwizowanie informacji i danych na stosownych urządzeniach Przesyłanie informacji i danych Zdalna współpraca Wyjazdy: krajowe i zagraniczne * Rozmowy ze źródłami, poruszanie wrażliwych tematów, itp.

*2. Narzędzi / technik / urządzeń wykorzystywanych do realizacji wymienionych powyżej działań (od narzędzi/usług online do urządzenia fizyczne).

*3. Środków zabezpieczających bezpieczeństwo cyfrowe oraz zagrożeń wynikających z podejmowanych działań.

[5 minut] Podsumowanie

• Po upływie wyznaczonego czasu poproś kilku ochotników, by podzielili się z resztą grupy tym, co napisali. Możesz wybrać uczestników wykonujących inne czynności lub tę samą czynność, lecz w innym kontekście, lub poprosić, żeby głos zabrała osoba wykonująca określone działania, które chciałbyś omówić.

• Zakończ ćwiczenie, podkreślając następujące punkty:

  • Zbierane i zabezpieczane przez nas dane mogą zawierać informacje na temat tożsamości innych osób, na przykład ludzi, z którymi przeprowadziliśmy wywiady, ofiar przemocy, sygnalistów, pracowników firmy, której dotyczy śledztwo, itp.

  • Dlatego też naszym obowiązkiem jest dbanie nie tylko o własne bezpieczeństwo, lecz również o bezpieczeństwo osób mających związek z wykonywaną przez nas pracą oraz podejmowanymi przez nas czynnościami.

Narzędzia/Materiały

• Breakout-room / przestrzeń do ćwiczeń grupowych online lub offline
• Współdzielone pliki / tablice (online) lub kartki papieru i długopisy (offline).

Instrukcje

[25 minut]

• Podziel uczestników na małe grupy liczące od 3 do 5 osób. Jeśli warsztat prowadzony jest online, utwórz break-out room dla każdej z nich / jeśli warsztat prowadzony jest online przydziel każdej osobny stolik.

• Każda grupa wybierze jeden z przykładów wymienionych podczas poprzedniego ćwiczenia (funkcja-kontekst-narzędzia-dane) i dostanie 15 minut na identyfikacje zagrożeń oraz ryzyka związanych z danym śledztwem . scenariuszem.

• Poproś członków grup, by skupili się na szukaniu zagrożeń związanych z metodami badawczymi, urządzeniami, programami, archiwizacją danych, transferem danych, itp.

• Uczestnicy mogą zapisywać swoje przemyślenia we współdzielonym pliku / na tablicy / na kartce papieru (im więcej pomysłów, tym lepiej).

• Zachęć uczestników, żeby identyfikowali zarówno zagrożenia fizyczne, jak i cyfrowe, a także punkty je łączące – nie powinni rozpatrywać ich w oderwaniu od siebie.

• Po upływie wyznaczonego czasu uczestnicy ponownie tworzą jedną dużą grupę / wracają do głównego pokoju (online).

• Wyznaczona przez grupę osoba prezentuje pozostałym uczestnikom omawiany przypadek oraz zidentyfikowane podczas ćwiczenia zagrożenia. W zależności od liczby grup przydziel na każdą prezentację od 2 do 3 minut.

[5 minut] Podsumowanie

Podsumuj ćwiczenie, skupiając się na następujących punktach:

• Uczestnicy mogli skupić się na zagrożeniach związanych z własna osobą a mniej uwagi poświęcić swoim źródłom lub współpracownikom. Zachęć ich do tego, żeby uwzględniali w ocenach również osoby, z którymi współpracują.

• Uczestnicy mogli również wpaść w pułapkę traktowania zagrożeń fizycznych i cyfrowych w oderwaniu od siebie. Zaznacz, że oba typy zagrożeń są ze sobą ściśle powiązane, a zagrożenie cyfrowe może wywołać fizyczne skutki i vice versa.

• Podkreśl, że ocenianie ryzyka i dbanie o bezpieczeństwo to procesy stałe, gdyż ludzie zachowują się nieprzewidywalnie a my nie mamy kontroli nad wydarzeniami.

• Ryzyko jest przenoszone: śledczy nigdy nie wykonują swojej pracy samodzielnie a ryzyko z nią związane dotyczy również innych i vice versa. Zasada ta obowiązuje bez względu na to, czy mówimy o kolegach z pracy, źródłach, osobach, których dotyczy śledztwo, itp.

Instrukcje

• Zrób krótką prezentację i objaśnij, jak dokonywać oceny ryzyka, korzystając z matrycy zagrożeń.
• Możesz podać prosty przykład, żeby zilustrować, jak działa matryca.

Narzędzia/Materiały

• Breakout-room / przestrzeń do ćwiczeń grupowych online lub offline
• Te same współdzielone pliki / tablice (online) lub kartki papieru i długopisy (offline) co w poprzednim ćwiczeniu.

Instrukcje

• Poproś uczestników, żeby podzielili się na mniejsze grupy, identyczne jak podczas poprzedniego ćwiczenia.

• Poproś ich, żeby korzystając z zagrożeń zidentyfikowanych w trakcie poprzedniego ćwiczenia, zastanowili się wspólnie nad sposobami ograniczania / zmniejszania ryzyka ich wystąpienia.

Podsumowanie

• Uczestnicy dzielą się sposobami ograniczania ryzyka, na które wpadli podczas ćwiczenia.

• Możesz je skomentować i dodać do nich własne propozycje.

Narzędzia/Materiały

• Współdzielona tablica offline lub online (np. Miro lub Mural)

Instrukcje

• Poproś uczestników, żeby zastanowili się nad słowami „ochrona” i „bezpieczeństwo” i tym, co dla niech znaczą. Czego potrzebują, aby poczuć się bezpiecznie?

• Nanieś na tablicę trzy pola lub kolumny (po jednej na każde pytanie) i poproś uczestników, żeby udzielili odpowiedzi na poniższe pytania:

  • Co robisz każdego dnia, żeby unikać niebezpieczeństw i zabezpieczyć siebie, swój dobytek, swoją rodzinę lub znajomych?

  • Przypomnij sobie niebezpieczną czynność, którą wykonywałeś. W jaki sposób się wtedy zabezpieczyłeś?

  • Jakie czynności i narzędzia są konieczne do tego, być poczuł się bezpiecznie?

Podsumowanie

Skomentuj naniesione na tablice informacje, podkreślając następujące punkty:

• Holistyczna ochrona dotyczy zapewniania bezpieczeństwa fizycznego, psycho-społecznego oraz cyfrowego.
• Ochrona nie skupia się wyłącznie na fizycznych i cyfrowych aspektach działania, lecz również na stanie psychicznym, zachowaniu i zasadach kierujących poczynaniami indywidualnych śledczych i całych zespołów.
• Bezpieczeństwo to termin osobisty i subiektywny. Każdy definiuje je na własny sposób.
• Zdrowie i dobre samopoczucie nas samych oraz naszych współpracowników, powinny służyć za podstawowy wskaźnik definiujący bezpieczeństwo.
• Nie zaczynamy od zera. W każdej pracy korzystamy z określonych technik i własnej odporności, które pozwalają nam mierzyć się z wyzwaniami.

MATERIAŁY:

• Podręcznik holistycznej ochrony autorstwa Tactical Tech.

Bezpieczeństwo cyfrowe (60 minut)

Narzędzia/Materiały

• Breakout-room / przestrzeń do ćwiczeń grupowych online lub offline
• Współdzielone pliki / tablice (online) lub kartki papieru i długopisy (offline).

Instrukcje

• Skorzystaj z hipotetycznego scenariusza i zapytaj uczestników:

  • „Znaleźliście zgubiony telefon komórkowy. Klawiatura jest odblokowana. Czego możecie się dowiedzieć o jego właścicielu”?

• Podziel uczestników na małe grupy liczące od 3 do 5 osób.

• Każda z grup ma za zdanie sporządzić jak najdłuższą listę informacji o użytkowniku telefonu, korzystając jedynie ze znalezionego urządzenia. Poproś uczestników, żeby zastanowili się nad tym, w jaki sposób uzyskują te informacje, z jakich funkcji urządzenia i jakich źródeł przy tym korzystają.

Podsumowanie

• Poproś jedną lub dwie grupy o zaprezentowanie swoich list wraz ze źródłami informacji.

• Jeśli zajdzie taka potrzeba, dodaj do list brakujące punkty, na przykład:

  • wygląd właściciela uzyskany dzięki zdjęciom,
  • wykonywaną przez niego pracę, o której dowiedziałeś się dzięki zdjęciom i poczcie elektronicznej,
  • zainteresowania, które poznałeś dzięki profilom w mediach społecznościowych, historii wyszukiwań.
  • plany na przyszłość uzyskane dzięki historii wyszukiwani,
  • bieżące transakcje płatnicze uzyskane dzięki dokumentom i poczcie elektronicznej,
  • stan zdrowia uzyskany dzięki dokumentom i poczcie elektronicznej,
  • miejsca i lokale, do których chodzi, dzięki historii zameldowań,
  • szczegóły na temat związku(ów) zgormadzone dzięki poczcie elektronicznej, zapisanym kontaktom, wymienianym wiadomościom.
  • ...

Instrukcje

Przygotuj i wygłoś krótką prezentację zgodnie z poniższymi wksazówkami:

• Wyjaśnij, że narzędzia zapewniające cyfrową ochronę zabezpieczają:

  • Urządzenia oraz dane
  • Komunikację
  • Połączenia sieciowe
  • Konta internetowe

• Wymień i omów siedem zasad, które Tactical Tech wykorzystuje podczas oceniania narzędzi:

  1. Otwarty kod (open source)
  2. Sprawdzone i polecane
  3. Działające stabilnie, z aktywną społecznością użytkowników i reagującymi na sugestie producentami
  4. Przyjazne dla użytkownika
  5. Wiele wersji językowych i lokalne wsparcie
  6. Wiele platform (Mac, Windows, Linux, Android)
  7. Dostęp do dokumentacji

ŻRÓDŁA:

• Technologia jest głupia: Jak wybierać narzędzia do pracy zdalnej artykuł autorstwa Marka Tuszyńskiego, Tactical Tech.
• Poradnik „Po pierwsze, bezpieczeństwo!”, w Exposing the Invisible: Niezbędnik

Narzędzia/Materiały

• Breakout-room / przestrzeń do ćwiczeń grupowych online lub offline
• Współdzielone pliki / tablice (online) lub kartki papieru i długopisy (offline).

Instrukcje

• Podziel uczestników na małe grupy liczące od 2 do 3 osób. Możesz też przeprowadzić to ćwiczenie indywidualnie.

• Jeśli warsztat prowadzony jest online, przydziel uczestników do oddzielnych break-out room lub wyznacz odpowiedni czas do wykonania ćwiczenia indywidualnie.

• Daj uczestnikom 20 minut i poproś ich, żeby przez ten czas przeanalizowali wybrane przez siebie narzędzie (może to być aplikacja do komunikacji, usługa w chmurze, itp.) pod kątem wymienionych 7 zasad, a następnie zdecydowali, czy narzędzie odpowiada ich potrzebom i czy jego użycie nie tworzy zagrożeń dla ich bezpieczeństwa lub prywatności.

• Po upływie wyznaczonego czasu uczestnicy ponownie tworzą jedną dużą grupę / wracają do głównego pokoju (online).

• Referenci z każdej grupy prezentują pozostałym uczestnikom spisane wnioski. Jeśli ćwiczenie wykonywane było indywidualnie, poproś o prezentację 2 lub 3 osoby.

Instrukcje

• Zaprezentuj pokrótce uczestnikom kilka narzędzi zapewniających częściową ochronę, wymieniając ich zalety i wady.

• Zaznacz, że dobór odpowiednich funkcji, użyteczności (przyjazności dla użytkownika) i ochrony wymaga często kompromisów.

• Zagrożenia dla bezpieczeństwa można pogrupować w następujące kategorie:

  • Dane i urządzenia
  • Udostępnianie i przesyłanie danych
  • Bezpieczeństwo w sieci: Konta / Przeglądarki / Wirtualne sieci prywatne (VPN) / Komunikatory

MATERIAŁY:

• Poradnik „Po pierwsze, bezpieczeństwo!” w Exposing the Invisible: Niezpędnik

Instrukcje

Poprowadź grupową dyskusję, podkreślając wagę i nakierowując uczestników na następujące punkty, które możesz nanieść na tablicę lub zaprezentować na slajdach:

• Wybór narzędzi i metod działania musi być elastyczny i racjonalny, jeśli mają one zapewnić ochronę i bezpieczeństwo.

• Narzędzie zapewniające najlepszą ochronę nie będzie zawsze dostępne dla wszystkich osób zaangażowanych w projekt lub uczestniczących w wymianie informacji.

• Możesz zadać uczestnikom następujące pytanie:

  • „Kiedy musieliście skorzystać z narzędzia zapewniającego gorszą ochronę, aby ukończyć zadanie?"

• Zaznacz, że wybór narzędzi wiąże się z kompromisami pomiędzy:

  • poziomem zapewnianej ochrony (zabezpieczenia danych, źródeł, samego siebie)
  • funkcjonalnością (narzędzie wykonuje te zadania, które ma wykonać)
  • użytecznością (jest przyjazne dla użytkownika, mogą z niego skorzystać wszyscy członkowie zespołu)

• Przypomnij, że ochrona nie ogranicza się jedynie do narzędzi. Myśląc o bezpieczeństwie, warto pamiętać o tym:

  • co udostępniamy innym,
  • jak się komunikujemy
  • na co klikamy (phishing),
  • z jakich usług korzystamy,
  • komu udostępniamy informacje.

• Nasze nawyki i rutynowe czynności mogą stwarzać większe zagrożenie niż narzędzia, z których korzystamy.

• Kilka wskazówek pomagających w lepszym zabezpieczeniu danych i informacji:

  • używaj długich haseł,
  • używaj dwuskładnikowego uwierzytelniania,
  • zabezpieczaj hasła menadżerem haseł,
  • korzystaj z narzędzi do odzyskiwania danych, na przykład wiadomości poczty elektronicznej,
  • rób kopie danych,
  • szyfruj dane,
  • szyfrowanie typu end-to-end (na całej drodze transferu danych) gwarantuje, że dostawca usługi nie będzie miał wglądu do przesyłanych informacji,
  • pamiętaj, kto ma dostęp do twoich danych,
  • dokonuj oceny wykorzystywanych przez siebie narzędzi.

Zakończenie (10 minut)

Narzędzia/Materiały

• Współdzielony blok rysunkowy / slajdy / tablica (online)
• Tablica suchościeralna / flip-chart, kartki samoprzylepne, markery (offline)

Instrukcje

• Poproś uczestników, żeby stworzyli plakat na wynos, umieszczając na współdzielonej tablicy / bloku rysunkowym swoje odpowiedzi na następujące pytanie:

  • Co wynieśli z dzisiejszego warsztatu?

• Daj uczestnikom kilka minut na zapisanie lub narysowanie swoich przemyśleń, a także na przeczytanie odpowiedzi pozostałych uczestników.

Podsumowanie

• Omów kilka punktów umieszczonych na tablicy.

Narzędzia/Materiały: bez materiałów.

Instrukcje

• Zakończ warsztat i podsumuj jego przebieg.

• Przeprowadź krótką ocenę warsztatu. Pozwól każdemu uczestnikowi, by wymienił:

  • jeden element warsztatu, który uznał za bardzo dobry.
  • jeden element warsztatu, który wymaga poprawy.

• Możesz zachęcić uczestników do zadawania pytań lub udzielić im ostatnich wskazówek.

• Udostępnij uczestnikom stosowne dane kontaktowe i inne istotne szczegóły.

Dodatkowe materiały

• Technologia jest głupia: Jak wybierać narzędzia do pracy zdalnej, artykuł autorstwa Marka Tuszyńskiego, Tactical Tech.
• Poradnik „Po pierwsze, bezpieczeństwo!”, w Exposing the Invisible: Niezbędnik
• „Bezpieczeństwo w pudełku", podręczniki na temat bezpieczeństwa i ochrony autorstwa Tactical Tech i Front Line Defenders
• Podręcznik holistycznego bezpieczeństwa autorstwa Tactical Tech
• Poradniki i podręczniki dotyczące podstaw bezpieczeństwa autorstwa Electronic Frontier Foundation (EFF)

Skontaktuj się z nami

Zapraszamy do skontaktowania się z nami poprzez Exposing the Invisible, jeśli:

• macie jakiekolwiek pytania odnośnie tego warsztatu oraz porad dla moderatorów,

• korzystacie z tego planu warsztatu i chcecie podzielić się z nami własnymi przemyśleniami na jego temat oraz sugestiami, które mogą pomóc w jego ulepszeniu,

• dostosowujecie ten plan warsztatu do określonych, specyficznych kontekstów i chcecie się z nami podzielić rezultatami,

• chcecie zasugerować nam nowe ćwiczenia, macie nowe rady lub przykłady, które moglibyśmy dołączyć do tego planu warsztatu,

• chcecie podzielić się z nami własnym doświadczeniem oraz wiedzą i pomóc nam w opracowywaniu i testowaniu nowych warsztatów.

Kontakt: eti@tacticaltech.org (GPG Key / fingerprint: BD30 C622 D030 FCF1 38EC C26D DD04 627E 1411 0C02).

Autorzy i licencje

CC BY-SA 4.0

Ten tekst został wyprodukowany przez projekt Exposing the Invisible Tactical Tech's i zarejestrowany na licencji Creative Commons Attribution-ShareAlike 4.0 International license

• Autorzy warsztatu: A. Hayder, Wael Eskandar

• Projekt szkoleniowy: A. Hayder

• Redakcja i treść: Christy Lange, Laura Ranca, Wael Eskandar

• Projekt graficzny: Yiorgos Bagakis

• Opracowanie strony internetowej: Laurent Dellere, Saqib Sohail

• Koordynacja projektów i nadzór: Christy Lange, Laura Ranca, Lieke Ploeger, Marek Tuszynski, Safa Ghnaim, Wael Eskandar

To narzędzie zostało opracowane jako część Collaborative and Investigative Journalism Initiative (CIJI), współfinansowanego przez Komisję Europejską w ramach projektu pilotażowanego: "Supporting investigative journalism and media freedom in the EU" (DG CONNECT).

Ten tekst odzwierciedla poglądy autora i Komisja nie odpowiada za wykorzystanie informacji w nim zawartych.