Większość systemów do zgłoszeń sygnalistów wygląda podobnie: formularz online, odpowiedzi trafiające do skrzynki e-mail lub prostej bazy danych, dostęp przez hasło dla administratora. Prosty i zrozumiały proces — lecz z perspektywy bezpieczeństwa danych jest to przepis na katastrofę. Kryptografia End-to-End i podejście Zero-Knowledge to nie marketing technologiczny. To jedyna architektura, która naprawdę chroni sygnalistów. Wyjaśniamy, dlaczego.
Zaczniemy od podstaw: co to znaczy, że dane są zaszyfrowane?
Szyfrowanie to proces przekształcenia czytelnych danych w nieczytelny ciąg znaków — tak, by tylko osoba posiadająca odpowiedni klucz mogła je odszyfrować. Brzmi prosto, ale diabeł tkwi w szczegółach: gdzie odbywa się szyfrowanie i kto posiada klucze?
W tradycyjnym modelu (stosowanym przez większość tanich lub darmowych formularzy online) szyfrowanie odbywa się w trakcie transmisji (HTTPS), ale dane są przechowywane na serwerze w formie czytelnej lub z szyfrowaniem, do którego klucz należy do operatora platformy. Oznacza to, że:
- Operator platformy może odczytać zgłoszenia.
- W razie włamania do serwera, atakujący uzyskuje dostęp do treści.
- Administrator IT firmy-klienta lub hostingodawca może mieć dostęp do danych.
To fundamentalne zagrożenie dla poufności zgłoszeń sygnalistów.
Szyfrowanie End-to-End (E2E): klucz nigdy nie opuszcza urządzenia
Szyfrowanie End-to-End działa inaczej: dane są szyfrowane na urządzeniu nadawcy (np. w przeglądarce sygnalisty) zanim zostaną wysłane na serwer. Serwer przechowuje jedynie zaszyfrowany „bełkot” — bez dostępu do klucza prywatnego nie można go odczytać. Klucz prywatny pozostaje wyłącznie po stronie uprawnionych odbiorców zgłoszenia.
W praktyce oznacza to, że nawet jeśli serwer zostanie zhakowany, atakujący nie uzyska dostępu do treści zgłoszeń — otrzyma jedynie zaszyfrowane dane, których odczytanie bez klucza jest praktycznie niemożliwe przy aktualnych możliwościach obliczeniowych.
Zero-Knowledge: jeszcze wyższy standard
Podejście Zero-Knowledge (ZK) idzie krok dalej: architektura systemu jest zaprojektowana w taki sposób, że operator platformy — w tym przypadku Sygnato — nie ma technicznej możliwości odczytania treści zgłoszeń, nawet gdyby chciał lub był do tego zmuszony przez sąd lub organ administracyjny.
To niezwykle ważna cecha dla firm, które obawiają się scenariuszy takich jak: nakaz sądowy zobowiązujący operatora platformy do ujawnienia danych, wyciek danych po stronie dostawcy oprogramowania, nieuczciwy pracownik operatora próbujący uzyskać dostęp do danych klienta.
W modelu Zero-Knowledge żaden z tych scenariuszy nie prowadzi do ujawnienia treści zgłoszeń, ponieważ operator po prostu nie posiada kluczy do ich odszyfrowania.
Dlaczego tanie formularze online są niebezpieczne?
Rynek oferuje dziesiątki „bezpłatnych” lub bardzo tanich formularzy do zgłoszeń sygnalistów — często jako dodatek do platform HR lub narzędzi do zarządzania projektami. Większość z nich ma jedną wspólną wadę: dane przechowywane są w formie jawnej lub z szyfrowaniem symetrycznym (gdzie operator posiada klucz).
Co to oznacza w praktyce dla firmy korzystającej z takiego rozwiązania?
- Dostawca platformy może odczytać zgłoszenia — co może być ryzykiem przy dostawcach spoza UE, niezwiązanych RODO.
- W przypadku naruszenia bezpieczeństwa u dostawcy (a duże serwisy SaaS są częstym celem ataków), treść zgłoszeń sygnalistów trafia do atakujących.
- Inspektor UODO może zakwestionować, czy firma wdrożyła „odpowiednie środki techniczne i organizacyjne” wymagane przez RODO — i udzielona odpowiedź „korzystamy z darmowego formularza” nie będzie uznana za satysfakcjonującą.
Jak Sygnato implementuje E2E i Zero-Knowledge?
Sygnato zostało zbudowane na architekturze, w której szyfrowanie odbywa się w przeglądarce sygnalisty przed wysłaniem danych na serwer. Klucz sesji jest generowany jednorazowo i nie jest przechowywany przez Sygnato. Firma-klient posiada własne klucze dostępu, a cała kryptografia jest oparta na otwartych, publicznie audytowalnych standardach (AES-256, RSA-4096).
Dla działu HR i specjalistów ds. compliance oznacza to:
- Pełna ochrona tożsamości sygnalisty nawet w razie wycieku serwerowego.
- Dokumentacja techniczna dostępna dla UODO potwierdzająca wdrożenie odpowiednich środków.
- Brak ryzyka, że operator platformy „zajrzy” do zgłoszeń.
Argument dla zarządu: porównanie ryzyka
Zarząd często pyta: „Czy naprawdę potrzebujemy takiego poziomu bezpieczeństwa? To tylko wewnętrzne zgłoszenia.” Odpowiedź brzmi: tak, i to z kilku powodów.
Po pierwsze, treść zgłoszeń często dotyczy osób w zarządzie lub im bliskich — wyobraź sobie wyciek zgłoszenia informującego o korupcji dyrektora finansowego. Po drugie, dane w zgłoszeniach mogą być niezwykle wrażliwe — informacje o mobbingu, molestowaniu seksualnym, nadużyciach finansowych. Ich ujawnienie może zniszczyć reputację firmy i narazić ofiary na wtórną wiktymizację. Po trzecie, RODO nakłada na administratorów danych obowiązek minimalizacji ryzyka — korzystanie z systemu bez E2E jest trudne do obrony jako „odpowiedni środek organizacyjno-techniczny”.
Podsumowanie
Kryptografia End-to-End i architektura Zero-Knowledge to nie luksus ani ciekawostka techniczna. W kontekście systemu zgłoszeń sygnalistów to podstawowe wymogi bezpieczeństwa, które chronią zarówno pracowników, jak i firmę. Systemy bez tych zabezpieczeń stwarzają realne ryzyko prawne, reputacyjne i operacyjne.
👉 Przetestuj Sygnato i przekonaj się, jak działa prawdziwe bezpieczeństwo E2E
👉 Chcesz omówić architekturę techniczną z naszym zespołem? Napisz do nas
