Wokół OSINT-u narosło sporo mitów. W filmach wygląda to jak wpisanie nazwiska w okno i po chwili gotowy życiorys. W rzeczywistości to metodyczna praca z informacją, w której większość czasu zajmuje nie szukanie, tylko sprawdzanie, porządkowanie i odrzucanie tego, co nie wytrzymuje weryfikacji.
OSINT (open source intelligence) oznacza pozyskiwanie wiedzy wyłącznie z informacji dostępnych legalnie i publicznie: rejestrów, ogłoszeń, publikacji prasowych, archiwów internetowych czy treści, które ktoś sam opublikował. Granica jest prosta: jeśli do danych trzeba się włamać, podszyć się pod kogoś albo obejść zabezpieczenia, to nie jest już biały wywiad.
Zacznij od pytania, nie od narzędzia
Najczęstszy błąd początkujących to zbieranie wszystkiego, co się da. Profesjonalny analityk zaczyna od jednego, jasno sformułowanego pytania, na przykład: „Czy spółka X rzeczywiście prowadzi działalność pod wskazanym adresem?”. Takie pytanie wyznacza zakres, a zakres chroni przed dwiema pułapkami: utonięciem w danych i zbieraniem informacji, które nie są potrzebne do sprawy.
Cykl pracy analitycznej
- Zdefiniowanie pytania i celu – po co potrzebna jest informacja i do jakiej decyzji ma posłużyć.
- Zebranie – przegląd źródeł pierwotnych: rejestrów publicznych, dokumentów, publikacji.
- Zabezpieczenie – zapis strony wraz z datą i adresem, zrzuty, kopie archiwalne. Treści w sieci znikają.
- Weryfikacja – potwierdzenie w co najmniej dwóch niezależnych źródłach.
- Analiza – łączenie faktów, szukanie sprzeczności i luk.
- Raport – wnioski odróżnione od faktów, z oznaczeniem poziomu pewności.
Skąd pochodzą wiarygodne dane
Wartość źródła zależy od tego, kto je prowadzi i czy można je sprawdzić. Dla spraw gospodarczych w Polsce punktem wyjścia są zwykle rejestry urzędowe, takie jak KRS, CEIDG czy Monitor Sądowy i Gospodarczy. Do tego dochodzą archiwa internetowe, dane o domenach, publikacje branżowe i ogłoszenia. Informacje z mediów społecznościowych traktuje się ostrożniej: są łatwe do sfałszowania i bywają nieaktualne.
- Źródło pierwotne (rejestr, dokument) ma pierwszeństwo przed cytatem z portalu.
- Data publikacji jest częścią informacji. Dane sprzed pięciu lat mogą być już nieprawdziwe.
- Brak wyniku to też wynik, ale trzeba go opisać, a nie traktować jak dowód.
Weryfikacja: najważniejszy etap
Duże nazwisko lub nietypowa nazwa firmy to nie jednoznaczna tożsamość. Homonimy, zmiany nazwisk, literówki i podszywanie się pod cudze dane są codziennością. Dlatego analityk łączy informacje dopiero wtedy, gdy ma co najmniej dwa niezależne punkty zaczepienia, na przykład numer rejestrowy i adres, a nie samo podobieństwo nazwy.
Nie wiem to uczciwa odpowiedź. Błędny wniosek podany z przekonaniem jest znacznie gorszy.
Raport, który da się obronić
Dobry raport rozdziela trzy rzeczy: fakty (z podanym źródłem i datą), wnioski (z uzasadnieniem) oraz luki (czego nie udało się ustalić). Dzięki temu odbiorca, czy będzie to klient, kancelaria czy sąd, widzi, na czym stoi każda teza.
Etyka i prawo
Fakt, że coś jest widoczne w internecie, nie oznacza, że można tego dowolnie używać. Dane osobowe podlegają RODO, a zakres działań licencjonowanych detektywów reguluje ustawa o usługach detektywistycznych. Dobrą praktyką jest zasada minimalizacji: zbieramy tylko to, co jest potrzebne do odpowiedzi na postawione pytanie, i nie przechowujemy dłużej, niż to konieczne.
Artykuł ma charakter edukacyjny i ogólny. Nie stanowi porady prawnej ani zachęty do działań naruszających prywatność innych osób.