Хороший разработчик имеет доступ к куче информации. Потому что компания, где он работает, для выполнения своих задач, должна хранить кучу информации. Мы храним данные про пользователей, данные которые генерируют пользователи, данные о платежных средствах, данные, которые нужны для, того чтобы наши фичи работали. Просто 🤯.
Все это нужно защищать, чтобы доступ к данным был только у того, кому это нужно. Никто не хочет, чтобы на Медузе написали о том, что пользовательская база
YOU NAME IT продается в дарк вебе за половинку биткоина.Хорошей практикой является
классификация информации, если мы разделим информацию по разным категориям, мы сможем принять решение, как нам защищать каждую из этих категорий.В целом, можно выделить три категории.
1️⃣ Restricted data. Если эти данные утекут, то это может оказать вред нашим пользователям. Сюда обычно так же включают Personally Identifiable Information (PII), все, что позволяет связать нашего пользователя с реальным человеком.
2️⃣ Private data. Данные, утечка которых, может помочь злоумышленнику, получить доступ к
Restricted data. Например, если у хакера есть e-mail пользователя, то он может послать тому фишинговое письмо, и получить доступ в аккаунт пользователя.3️⃣ Public data. Эти данные могут быть доступны всем и требуют минимальной защиты. Например — рейтинги или обзоры, которые оставлял пользователь.
Категорий может быть больше. В зависимости от категории, мы можем решить как хранить данные (например, нужно ли их перед сохранением в бд шифровать?) и кто к ним должен иметь доступ (например, должны ли все сотрудники компании иметь доступ к данным пользователя?).
Нужно найти баланс между доступностью данных и тем, кто имеет к ним доступ. Например, если данные о пользователях доступны всем, кто находится внутри корпоративной сети, то дебажить на продакшене должно быть очень просто, но это очень небезопасно.
⬛️ Еще раз — данные нужно защищать. Чтобы понять, что нужно защищать больше, данные нужно категоризировать. Restricted data нужно защищать лучше всего — шифровать, выдавать доступ к ней только тем, кому он действительно нужен.
Ваши данные когда-нибудь утекали? Кстати, это можно проверить здесь. Мой
e-mail утек уже 10 раз. Пишите в комментариях.#хардскиллы