Verantwoord gebruik
Aan wie wij verkopen is een beslissing, en wij nemen die zelf.
Software die aan politiediensten wordt verkocht verdient een pagina die zegt waar de grenzen liggen. Deze is in de eerste persoon meervoud geschreven omdat de toezeggingen van het bedrijf zijn, en omdat een beleid waaraan niemand zich heeft verbonden geen beleid is.
Waarom deze pagina bestaat
De sector heeft de vraag verdiend.
Digitale forensische analyse heeft een reputatieprobleem, en heeft dat verdiend. Producten die als onderzoekshulpmiddelen zijn verkocht zijn aangetroffen op de telefoons van journalisten, advocaten en oppositiepolitici, en de betrokken bedrijven ontdekten meestal pas een beleid nadat het verhaal naar buiten kwam, niet ervoor.
Wij gaan niet doen alsof VERA van die geschiedenis is vrijgesteld omdat het klein of Europees is. Iedereen die deze software beoordeelt moet kunnen lezen wat wij wel en niet zullen doen, beslissen of dat geloofwaardig is, en ons eraan houden. Dat is het hele doel van deze pagina.
Het onderscheid dat ertoe doet
Dit is forensische software, geen surveillancesoftware.
VERA leest een extractie die al bestaat, genomen van een apparaat dat al in het bezit van een onderzoeker is, in beslag genomen onder een wettelijk gezag dat was verleend voordat de software ooit werd geopend. De software extraheert geen apparaat, omzeilt geen vergrendeling of apparaatversleuteling, en heeft geen enkele acquisitiemogelijkheid.
De software kan geen communicatie onderscheppen. Ze kan een apparaat niet over een netwerk bereiken. Ze kan niet op een persoon worden gericht. Elk daarvan is een harde eigenschap van wat de software is en geen instelling die iemand zou kunnen wijzigen, en het plaatst VERA in een wezenlijk andere categorie dan de producten die de krantenkoppen haalden.
Dat onderscheid beperkt de manieren waarop deze software kan worden misbruikt. Het heft ze niet op, omdat een rechtmatige inbeslagname zelf een instrument van repressie kan zijn, en een hulpmiddel dat de analyse versnelt ook slechte analyse versnelt. Het onderscheid is een reden om zorgvuldig te zijn over wie het koopt, niet een reden om ons geen zorgen meer te maken.
Het sneller maken van bewijsbeoordeling is niet neutraal. Het is nuttig voor een dienst die haar werk goed doet, en het is nuttig voor een dienst die iets anders doet.
De grens
Waaraan wij wel en niet zullen verkopen.
De eerste lijst is de wettelijke ondergrens en is geen toezegging, omdat het gewoon de wet is. De tweede lijst is waar de eigenlijke beslissing ligt.
Verkocht aan
- Publieke autoriteiten die strafrechtelijke onderzoeken uitvoeren onder rechterlijk of gelijkwaardig onafhankelijk toezicht.
- Nationale en regionale forensische laboratoria die die autoriteiten bedienen.
- Openbare ministeries en rechtbanken, waar die een eigen onderzoekscapaciteit hebben.
- Academische en opleidingsinstellingen die digitale forensische analyse doceren, op synthetische gegevens.
Niet verkocht aan
- Elk rechtsgebied of elke entiteit onder restrictieve maatregelen van de Europese Unie of van Frankrijk.
- Particuliere inlichtingenbureaus, bedrijfsrecherchebedrijven en commerciële datahandelaren.
- Eenheden waarvan de taak de surveillance is van journalisten, advocaten, verdedigers van mensenrechten of politieke oppositie.
- Elke koper die ons niet wil vertellen waarvoor de software dient, of die de software wil zonder demonstratie en zonder vragen.
Hoe de beslissing wordt genomen
Niets bereikt een koper zonder onze instemming.
Dit is het concrete feit dat de rest van deze pagina controleerbaar maakt. Toegang tot VERA is nooit automatisch. Elke organisatie wordt door ons goedgekeurd voordat zij iets kan downloaden, elke licentiesleutel wordt door ons uitgegeven in naam van de houder, en elke houder aanvaardt de Licentievoorwaarden van de VERA-software in het eigen account. Er bestaat geen route waarlangs deze software een koper bereikt die wij niet hebben goedgekeurd.
Dat is geen morele prestatie, het is een gevolg van de manier waarop de toegang is opgebouwd. Maar het is een echte structurele eigenschap, en die is meer waard dan een beleidsdocument, omdat het gebruikelijke falen in deze sector niet een geschreven beleid is dat het verkeerde zegt. Het is een geschreven beleid dat op het moment van de verkoop stilletjes wordt omzeild. Hier zit de controle bij de toegang, en alleen wij hebben die in handen.
Wij verwachten ook verkopen te weigeren die volkomen legaal zijn. Dat een licentie rechtmatig mag worden verleend is het begin van de beoordeling en niet het einde ervan, en als het enige argument voor een verkoop is dat niets die verbiedt, is dat geen argument dat wij van plan zijn te aanvaarden.
Waar wij feilbaar zijn
Wat wij niet kunnen zien, en niet zullen beweren te zien.
VERA heeft geen telemetrie. De software rapporteert niets over hoe ze wordt gebruikt: afgezien van de licentiecontrole (de id van de sleutel, de werkstationcode en de versie), wanneer het werkstation een netwerk heeft, maakt ze alleen verbinding naar buiten wanneer haar VERA-internetverbinding aan staat, die standaard uit staat, en dan alleen voor de modeldownloads die de analist start en de basiskaart (OpenStreetMap, tenzij de analist alleen het lokale kaartenpakket houdt). De enige uitzondering is de catalogus van de openbare bibliotheek, een leesactie die geen zaakgegevens bevat. Wij hebben geen toegang tot enige uitrol. Dat is het juiste ontwerp voor een klant wiens bewijs het gebouw nooit mag verlaten, en wij zouden het niet veranderen.
Het betekent ook dat wij niet kunnen zien wat een klant doet. Zodra de software binnen een gesloten netwerk is geïnstalleerd, hebben wij geen technisch middel om te weten voor welke zaken ze wordt gebruikt. Wij kunnen een licentiesleutel intrekken, waardoor een werkstation dat een netwerk heeft stopt bij de volgende controle, maar niets vertelt ons waarvoor de software wordt gebruikt. Elke leverancier in deze positie die u vertelt dat hij het latere gebruik kan garanderen, draait ofwel telemetrie die hij niet heeft genoemd, of overdrijft wat hij beheerst.
Dus de eerlijke positie is deze. Wij beheersen wie toegang krijgt, en wij beheersen dat volledig omdat elke organisatie door ons wordt goedgekeurd en elke sleutel door ons wordt uitgegeven. Wij beheersen niet wat er daarna gebeurt, en wij gaan een contractclausule niet beschrijven alsof die een technische controle was. Wat wij kunnen doen is de volgende verkoop weigeren, en publiekelijk zeggen waarom.
De andere helft van de verantwoordelijkheid
Binnen het zaaksdossier geldt hetzelfde beginsel.
Verantwoord gebruik gaat niet alleen over wie de licentie heeft. Het gaat ook over wat de software een analist aanmoedigt te doen zodra die hem heeft, en daar zit het grootste deel van het dagelijkse risico.
VERA is zo gebouwd dat geen uitvoer in een rapport kan komen zonder dat een mens de bron heeft gecontroleerd. Elke uitspraak die de assistent doet draagt het exacte bestand, de tabel en de rij erachter, en verificatie is één klik. Gegenereerde dekking wordt nooit op een zaak toegepast voordat een analist een voorbeeld over de echte gegevens heeft bekeken en geaccepteerd. Herstelde records worden als hersteld gemarkeerd, zodat een herstelde rij nooit voor een actieve wordt aangezien.
Dat zijn ontwerpbeslissingen die zijn genomen omdat een hulpmiddel dat het makkelijk maakt om verificatie over te slaan uiteindelijk zo zal worden gebruikt, hoe zorgvuldig de handleiding ook is geschreven.
Als er iets mis is
Zeg het ons, en zeg het ons publiekelijk als u dat liever doet.
Als u meent dat VERA wordt gebruikt op een manier die deze pagina uitsluit, schrijf ons dan op alexandre@veraforensics.com. Wij zullen antwoorden, en als de zorg gegrond is zullen wij dat hier zeggen en niet alleen aan u.
Als u vindt dat een toezegging op deze pagina te zwak is, of te vaag om iets waard te zijn, is dat ook de moeite waard om ons over te schrijven. Deze pagina is bedoeld om ons eraan af te meten. Ze is niet veel waard als dat niet kan.
Alexandre Ansart
VERA Forensics · alexandre@veraforensics.com
Stel de moeilijke vragen in de demonstratie.
Meestal dertig minuten in een videogesprek, zonder script. Ter plaatse als u dat nodig heeft, of eerst een gesprek. Als de vragen die u beantwoord wilt hebben die van deze pagina zijn en niet die over de functies, is dat een beter gebruik van de tijd.
Elk verzoek wordt beoordeeld voordat de toegang wordt verleend.