Anonimizacja nagrań w środowiskach air-gapped: wdrożenie on-premise bez telemetrii

W skrócie: W środowisku odizolowanym nie chodzi jedynie o to, czy oprogramowanie do anonimizacji działa lokalnie, lecz o to, czy działa całkowicie dyskretnie: bez komunikacji z serwerami producenta, telemetrii i logów detekcji. Gallio PRO przetwarza materiały wyłącznie na Twoim sprzęcie oraz nie zapisuje logów detekcji ani danych osobowych. Ten przewodnik jest przeznaczony dla architektów bezpieczeństwa, kierowników zespołów odpowiedzialnych za materiał dowodowy oraz działów IT w służbach mundurowych, obronności, energetyce i sektorze infrastruktury krytycznej.

Co oznacza „air-gapped”, gdy do procesu wkracza dział zakupów

Zespoły często używają tego określenia dość swobodnie. Architekci bezpieczeństwa - nie. W formalnym procesie oceny wdrożenie w środowisku air-gapped musi spełniać co najmniej cztery warunki jednocześnie. Produkt może realizować trzy z nich, a mimo to zostać odrzucony.

1. Brak połączeń wychodzących. Dotyczy to licencjonowania, sprawdzania aktualizacji, raportowania awarii i analityki użytkowania.
2. Możliwość instalacji z nośnika offline. Bez menedżera pakietów pobierającego zależności, bez rejestru kontenerów i bez instalatora, który przy pierwszym uruchomieniu pobiera dodatkowe komponenty.
3. Wnioskowanie modelu odbywa się lokalnie. Model detekcji działa na komputerze znajdującym się przed Tobą, a nie za pośrednictwem interfejsu API.
4. Możliwość audytu lokalnego śladu systemowego. Uprawniona osoba może wskazać każdy plik zapisywany przez oprogramowanie i wyjaśnić jego przeznaczenie.

Większość narzędzi do anonimizacji nie spełnia pierwszego albo trzeciego warunku. Usługa przesyłająca nagrania do przetworzenia automatycznie odpada, zanim jeszcze rozpocznie się rozmowa. Szerszy bilans zysków i strat przedstawia nasze porównanie anonimizacji on-premise i anonimizacji w chmurze.

Dlaczego środowiska odizolowane w ogóle potrzebują anonimizacji nagrań

Częstym zastrzeżeniem w obiektach o wysokim poziomie bezpieczeństwa jest to, że odizolowanie już chroni nagrania, więc maskowanie danych jest zbędne. Tak nie jest, ponieważ materiały wideo rzadko pozostają wyłącznie wewnątrz obiektu. Mogą zostać przekazane jako materiał dowodowy, odpowiedź na wniosek o dostęp do informacji publicznej, załącznik procesowy, briefing dla wykonawcy lub materiał szkoleniowy.

W chwili, gdy nagranie przekracza granicę środowiska, powstają określone obowiązki:

• Dyrektywa (UE) 2016/680, nazywana dyrektywą policyjną, reguluje przetwarzanie danych przez właściwe organy do celów egzekwowania prawa karnego i wymaga stosowania odpowiednich środków bezpieczeństwa. Szczegółowe wymogi wynikają z przepisów wdrażających w poszczególnych państwach członkowskich.
• Art. 5 ust. 1 lit. f RODO wymaga zapewnienia integralności i poufności, a art. 32 ust. 1 RODO - zastosowania środków technicznych adekwatnych do ryzyka. W przypadku identyfikowalnych nagrań opuszczających obiekt oznacza to konieczność anonimizacji, a nie wyłącznie kontroli dostępu.
• Dyrektywa (UE) 2022/2555, znana jako NIS2, nakłada na podmioty kluczowe i ważne z sektorów energii, transportu, wody i innych branż obowiązek wdrażania udokumentowanych środków zarządzania ryzykiem oraz bezpieczeństwa łańcucha dostaw. Właśnie przez taki pryzmat zespół bezpieczeństwa ocenia każde nowe narzędzie w sieci odizolowanej.
• Art. 5 ust. 1 lit. e RODO ustanawia zasadę ograniczenia przechowywania, która dotyczy zarówno niezanonimizowanego oryginału, jak i wyeksportowanego materiału.

Druga część tego obowiązku - dotycząca retencji - została omówiona w naszym poradniku o bezpiecznym przechowywaniu i usuwaniu oryginalnych danych po anonimizacji.

Pięć pytań, które zada architekt bezpieczeństwa

Zadaj je każdemu dostawcy na piśmie, przed rozpoczęciem pilotażu. Odpowiedzi powinny znaleźć się w dokumentacji, a nie pozostać wyłącznie elementem rozmowy handlowej.

Pytanie	Dlaczego decyduje o wyniku oceny
Czy oprogramowanie nawiązuje jakiekolwiek połączenia wychodzące, w tym w celu weryfikacji licencji?	Jedno połączenie z serwerem producenta narusza separację sieci i założony model wdrożenia.
Jak wygląda procedura aktywacji offline?	Od niej zależy, czy licencję można zainstalować i odnowić bez dostępu do sieci.
Jakie pliki zapisuje oprogramowanie i czy zawierają one dane osobowe?	Logi zawierające wyniki detekcji tworzyłyby nową, niezarządzaną kopię danych osobowych.
Gdzie uruchamiany jest model detekcji?	Lokalne wnioskowanie odróżnia rozwiązanie on-premise od hostowanej usługi z lokalnym interfejsem.
W jaki sposób aktualizacje są dostarczane do odizolowanego węzła?	Węzeł, którego nie można aktualizować, sam w sobie jest uchybieniem audytowym.

Co Gallio PRO oferuje w tym scenariuszu

Przetwarzanie odbywa się w całości lokalnie. Nagrania są odczytywane, analizowane i eksportowane na Twoim komputerze lub serwerze, a na żadnym etapie nie opuszczają Twojej infrastruktury. Oprogramowanie nie przechowuje logów detekcji ani danych osobowych, co eliminuje najczęstsze zastrzeżenie w bezpiecznych środowiskach: obawę, że samo narzędzie stanie się drugim, niekontrolowanym rejestrem osób zarejestrowanych przez kamerę.

Dostępne opcje wdrożenia odpowiadają architekturom odizolowanym. Do dyspozycji są aplikacje desktopowe dla systemów Windows 10 i nowszych, macOS 10.14 i nowszych oraz Linux z glibc 2.35 lub nowszym. Dostępny jest również instalator MSI dla zarządzanych środowisk, kontener Docker dla współdzielonego wewnętrznego węzła przetwarzania, a także interfejs wiersza poleceń dla Linuksa i licencjonowanie pływające w planie Enterprise. Interfejs REST API jest dostępny wtedy, gdy maskowaniem danych ma sterować system wewnętrzny, a nie operator.

Dwa ograniczenia zakresu należy uwzględnić w dokumentacji projektu, zamiast odkrywać je na późniejszym etapie. Automatyczna detekcja obejmuje wyłącznie twarze i tablice rejestracyjne, dlatego identyfikatory imienne, ekrany monitorów, dokumenty, tatuaże i logotypy należy zamaskować we wbudowanym edytorze ręcznym. Gallio PRO przetwarza zapisane pliki, a nie transmisje na żywo, więc odizolowany podgląd na żywo w centrum monitoringu nie jest zastosowaniem dla tego narzędzia. Specyficzne aspekty dla organów ścigania opisuje artykuł o tym, jak anonimizacja oparta na AI pomaga organom ścigania spełniać wymogi przepisów o ochronie danych.

Jak wdrożyć anonimizację wideo w sieci odizolowanej - w sześciu krokach

1. Udokumentuj przepływ danych przed wyborem narzędzia. Określ, w jaki sposób nagrania trafiają do strefy odizolowanej, gdzie są przetwarzane, dokąd przekazywany jest eksport oraz jak niszczony jest oryginał. Jeśli taki schemat nie istnieje, żaden wybór oprogramowania tego nie naprawi.
2. Potwierdź brak komunikacji wychodzącej na monitorowanym węźle testowym. Zainstaluj rozwiązanie na komputerze z pełnym rejestrowaniem ruchu wychodzącego, przetwórz próbkę i potwierdź, że nie występują żadne połączenia wychodzące. Zachowaj zapis jako dowód w dokumentacji bezpieczeństwa.
3. Uzyskaj nośnik instalacyjny offline i pisemną procedurę aktywacji. Uwzględnij również odnowienie licencji, ponieważ licencja wygasająca po osiemnastu miesiącach bez możliwości ponownej aktywacji oznacza zaplanowany przestój.
4. Sporządź wykaz lokalnego śladu systemowego. Wymień dane zapisywane przez oprogramowanie na dysku, potwierdź, że nie zawierają danych osobowych, i obejmij te lokalizacje takimi samymi zasadami retencji jak nagrania.
5. Ustal zasady bezpiecznego transferu w obu kierunkach. Obsługa nośników wymiennych, sumy kontrolne, skanowanie oraz łańcuch dowodowy dotyczą zarówno wyeksportowanego materiału opuszczającego strefę, jak i nagrań do niej wprowadzanych.
6. Przetestuj własne nagrania, pobierając bezpłatną wersję demo Gallio PRO, a następnie sprawdź kompletność wykrywania. Wersja demo nie ma limitu użycia i dodaje znak wodny przy materiałach do 720p, co wystarcza, aby zmierzyć liczbę pominiętych detekcji przed wdrożeniem rozwiązania w docelowym środowisku.

Trzy błędy, które niweczą izolację

Tymczasowy most. Ktoś podłącza węzeł przetwarzania do ogólnej sieci na jedno popołudnie, aby zainstalować sterownik lub pobrać aktualizację. Wyjątek staje się konfiguracją, a nikt go nie dokumentuje.

Wygodny eksport. Zanonimizowany materiał jest wysyłany e-mailem ze stacji roboczej, na której znajduje się również niezanonimizowane źródło. Z czasem do wiadomości zostaje dołączony niewłaściwy plik. Przechowuj materiał źródłowy i eksport w oddzielnych, jednoznacznie oznaczonych lokalizacjach, a źródło usuwaj zgodnie z harmonogramem.

Nieaktualizowany węzeł. Odizolowana maszyna, która nigdy nie otrzymuje aktualizacji, nie jest bezpieczna - jest jedynie nieosiągalna. Przed uruchomieniem produkcyjnym określ, w jaki sposób poprawki i aktualizacje oprogramowania będą dostarczane na kontrolowanych nośnikach.

Co to oznacza dla decyzji

Dla organizacji, które nie mogą wysyłać nagrań poza własną infrastrukturę, lista rozwiązań jest z definicji krótka: oprogramowanie działające lokalnie, nieprzechowujące informacji o wykrytych obiektach, instalowane bez sieci i możliwe do audytu na danej maszynie. Gallio PRO zaprojektowano właśnie do takiego modelu pracy; korzystają z niego między innymi służby policyjne oraz duzi operatorzy transportowi. Zakres wdrożenia można oszacować, zaczynając od anonimizacji wideo w Gallio PRO. W przypadku wdrożeń Enterprise, konfiguracji on-premise lub szczególnych wymogów zgodności warto skontaktować się z zespołem.

FAQ

Czy oprogramowanie do anonimizacji wideo może działać bez połączenia z internetem?

Tak. Gallio PRO przetwarza materiały wyłącznie na lokalnym sprzęcie, dlatego nagrania nigdy nie opuszczają Twojej infrastruktury. Przed wdrożeniem poproś dostawcę o pisemne potwierdzenie procedury aktywacji licencji offline.

Czy oprogramowanie do anonimizacji zapisuje log wykrytych twarzy?

Gallio PRO nie przechowuje logów detekcji ani danych osobowych. Ma to szczególne znaczenie w bezpiecznych środowiskach, ponieważ log detekcji tworzyłby drugą kopię danych osobowych poza obowiązującymi zasadami retencji.

Czy on-premise oznacza to samo co air-gapped?

Nie. On-premise oznacza, że oprogramowanie działa na Twoim sprzęcie. Środowisko air-gapped wymaga dodatkowo braku połączeń wychodzących, instalacji offline, lokalnego wnioskowania modelu oraz możliwości audytu lokalnego śladu systemowego.

Czy Gallio PRO można wdrożyć jako kontener na wewnętrznym serwerze?

Tak. W planie Enterprise dostępne są kontener Docker, interfejs wiersza poleceń dla Linuksa oraz licencjonowanie pływające, a także aplikacje desktopowe i instalator MSI dla zarządzanych środowisk.

Czy sieć odizolowana eliminuje potrzebę maskowania nagrań?

Nie. Obowiązki pojawiają się w chwili, gdy nagranie opuszcza obiekt jako materiał dowodowy, odpowiedź na wniosek o dostęp do informacji publicznej, załącznik procesowy lub briefing. Wtedy anonimizacja musi być już wykonana.