Wyszukiwanie ignorujące uprawnienia udostępnia wszystkim wszystko — nawet jeśli same dokumenty pozostają zamknięte.
Filtrowanie przed, nie po
Zawężenie zbioru do treści dostępnych użytkownikowi przed wyszukiwaniem. Odfiltrowanie wyników po fakcie bywa zawodne i kosztowne.
Kosztowne, bo przy filtrowaniu po fakcie trzeba pobrać znacznie więcej wyników, żeby po odsianiu zostało cokolwiek. Zawodne, bo przy dokumentach zastrzeżonych lista potrafi zrobić się pusta, a użytkownik dostaje pustkę zamiast tego, do czego ma prawo. Możliwość zawężania przed wyszukiwaniem jest jednym z kryteriów wyboru miejsca składowania osadzeń.
Wyciek przez fragment
Odpowiedź zbudowana na podstawie dokumentu, którego użytkownik nie powinien widzieć, ujawnia jego treść. To najczęstsze przeoczenie w takich wdrożeniach.
Wyciek bywa też pośredni. Sama informacja, że dokument o danym tytule istnieje, potrafi być poufna — przy sprawach kadrowych albo negocjacjach handlowych wystarczy nazwa pliku na liście wyników.
Stąd zasada: to, czego użytkownik nie może otworzyć, nie może też zasilić odpowiedzi ani pojawić się w podsumowaniu wyników. Odpowiedź złożona z fragmentów jest tak samo poufna jak najbardziej zastrzeżony fragment, z którego powstała.
Uprawnienia przy fragmencie
Każdy indeksowany fragment musi nieść informację, kto ma do niego dostęp. Sprawdzanie ich dopiero na poziomie dokumentu jest niewystarczające.
Wynika stąd konkretny wymóg wobec podziału na fragmenty: razem z tekstem trzeba zapisać przypisanie do działu, roli albo grupy. Dopisanie tego później oznacza przeliczenie zbioru od nowa.
Co trzeba przygotować
Uporządkowany model uprawnień po stronie firmy. Jeśli dostęp do dokumentów opiera się dziś na tym, kto komu wysłał plik, nie ma czego przenieść do indeksu. Potrzebne są grupy, przypisanie ludzi do nich i jedno źródło prawdy o tym, kto gdzie należy — najlepiej to samo, z którego korzystają pozostałe systemy.
Przy okazji wychodzą sprawy odkładane latami: konta byłych pracowników, katalogi bez właściciela, pliki dostępne wszystkim przez przeoczenie. Wdrożenie wyszukiwania jest dobrym momentem, żeby to uporządkować, bo dopiero teraz robi się widoczne.
Zmiana uprawnień
Musi natychmiast wpływać na wyniki. Indeks odświeżany raz na dobę oznacza dobę dostępu po jego odebraniu.
Dlatego uprawnienia warto sprawdzać w chwili zapytania, a nie polegać wyłącznie na tym, co zapisano przy fragmencie. Zapis w indeksie zawęża zbiór szybko, sprawdzenie na bieżąco zamyka lukę czasową.
Sprawdzenie
Zapytania o treści zastrzeżone zadawane z konta bez uprawnień. Prosty sprawdzian, który warto powtarzać po każdej zmianie.
Warto przygotować kilka kont odpowiadających typowym rolom w firmie i zestaw pytań celujących w treści, których dana rola widzieć nie powinna. Uruchamia się to po zmianie podziału na fragmenty, po zmianie modelu i po każdej większej zmianie w strukturze działów.
Zapis dostępu
Kto o co pytał i jakie fragmenty zostały wykorzystane. Podstawa wyjaśnienia każdego podejrzenia wycieku.
Sam zapis też jest zbiorem wrażliwym — pokazuje, czym zajmowali się poszczególni ludzie. Warto z góry ustalić, kto ma do niego dostęp i jak długo się go przechowuje.
