Le presentazioni vengono spesso condivise all’esterno del gruppo per il quale sono state originariamente create. Un mazzo va ai partecipanti, ai clienti, ai direttori, ai colleghi o ad un pubblico più ampio. Proprio per questo motivo le presentazioni possono contenere rischi per la privacy: un nome in un esempio, un indirizzo email in uno screenshot, un token in un URL, un numero di previdenza sociale nei dati del test o informazioni sensibili nelle note del relatore.
OciDeck tratta quindi la privacy come parte del processo di creazione ed esportazione, non come un controllo separato successivo.
OciDeck web funziona nel browser
Se vuoi usare OciDeck nel browser, vai su ocideck.nl. OciDeck web è un’app Flutter web. L’applicazione viene scaricata nel browser e funziona lì. Il lavoro vero avviene client-side: modifica, anteprima live, controllo della privacy con OciWacht, esportazione in PDF, PPTX e HTML e il builder CVSS.
Il contenuto della presentazione non deve quindi essere inviato a un backend per essere elaborato. Il server di hosting non ha visibilità applicativa sul tuo deck, sulle modifiche, sui risultati privacy o sulle esportazioni. Non sono integrati nemmeno telemetria o analytics: nessuna misurazione nascosta dell’uso, nessun codice di tracking e nessun phone home verso il server di hosting di OciDeck.
Ci sono alcune sfumature pratiche:
- Un server web vede sempre normali access log. Il server che serve l’app può quindi avere righe di log con, per esempio, indirizzo IP, orario, file richiesti e user-agent. Questo mostra che qualcuno ha caricato l’app, ma non cosa fa quella persona in OciDeck.
- Per l’importazione da URL, OciDeck web può usare un fetch proxy opzionale quando una fonte non consente l’accesso CORS. Solo in quel caso specifico il server vede l’URL inserito e recupera i byte. Il proxy è pensato come inoltro limitato, non come ispezione del contenuto del tuo deck.
- Le altre connessioni di rete sono avviate dall’utente e vanno verso destinazioni che scegli o configuri tu, come assistenza AI opzionale, WebDAV/Nextcloud, un database CVE, provisioning secmodule o un URL che importi tu stesso.
In breve: OciDeck web elabora la presentazione nel browser. L’host non vede il contenuto del deck né le modifiche, ma come per ogni app web possono esistere normali log del server e, quando viene usato il fetch proxy, l’URL esterno inserito è visibile a quel proxy.
Cosa controlla OciDeck
OciWacht ricerca localmente dati che potrebbero essere sensibili. Prendi in considerazione numeri di identificazione, IBAN, carte di pagamento, indirizzi e-mail, numeri di telefono, chiavi API, token, chiavi private, password, categorie speciali di dati personali e modelli che vengono facilmente persi nelle scansioni regolari, come percorsi utente o collegamenti di condivisione con accesso integrato.
L’assegno è inteso come aiuto. OciDeck non decide se è consentita legalmente la condivisione di qualcosa o meno. L’autore mantiene il controllo e sceglie cosa fare con ogni risultato.
Perché questo è diverso dal semplice dipingere di nero
Gran parte della redazione nei documenti è estetica: una barra nera viene posizionata sul testo, mentre le informazioni originali a volte possono ancora rimanere nel file, nei metadati, nelle note o in un livello di esportazione.
OciDeck adotta un approccio diverso. I dati che devono essere omessi per un gruppo target vengono fermati al limite della proiezione. Ciò significa: ciò che non può arrivare al destinatario non raggiunge il livello di rendering o di esportazione. Non appartiene allo schermo, non al PDF, non al PPTX, non all’HTML, non alle note del relatore e non ai metadati del documento.
Ciò è particolarmente importante per le presentazioni utilizzate in più formati. Per il cliente o il ricercatore potrebbe essere necessaria una presentazione completa, mentre una versione modificata è adatta a un gruppo più ampio. OciDeck lo supporta da un’unica fonte.
Scelte per diapositiva
Per ogni reperto potrai scegliere tra pratiche opzioni:
- Accetta se i dati sono volutamente inclusi nella presentazione.
- Accetta con avviso se il destinatario ha bisogno di vedere che la slide contiene dati personali o dati sensibili.
- Omettere dalla visualizzazione ed esportazione se i dati non possono essere inviati a questo gruppo target.
Questa scelta può essere applicata per diapositiva o in modo più ampio. Ciò rende OciDeck adatto per corsi di formazione, presentazioni di incidenti, risultati di pen test, contesti legali e briefing interni in cui la stessa fonte potrebbe non mostrare sempre lo stesso contenuto per tutti.
Perché è speciale
In OciDeck la tutela della privacy è vicina al contenuto. Lo strumento dispone di diapositive, note, tabelle, codice, grafici ed esportazioni come parti di un’unica presentazione. Ciò consente di effettuare controlli sulla privacy prima che una presentazione venga mostrata o condivisa.
Ciò rende l’approccio utile dal punto di vista aziendale:
- riduce la possibilità di fughe di dati involontarie;
- rende più esplicite le scelte parziali e consapevoli;
- supporta diversi gruppi target da un’unica fonte;
- impedisce che i dati modificati rimangano in un file di esportazione;
- è appropriato per situazioni in cui la riservatezza, il valore dell’audit e la riproducibilità sono importanti.
OciDeck non garantisce che ogni valore sensibile venga sempre trovato. Nessuno scanner può prometterlo in modo affidabile. L’obiettivo è chiaro: ridurre la possibilità che i dati sensibili passino inosservati quando una presentazione viene mostrata, condivisa o esportata.