我们是一个购买了一个系统的组织,医生用它来查看患者的测试结果(非常敏感的信息).作为一名程序员,我对系统进行了调查,并发现它通过HTTP GET请求提交用户名和密码.在运行的域上,所有计算机都设置为绕过代理,因此带有请求的URL将不会保存在某个代理日志中.但我认为这是一种处理用户名和密码的不安全方式.
供应商会争辩说,由于我们从未要求它,它将是一个"增强",需要额外的$$$.(我们从未编写过该系统的规范).
我可以向管理层提出什么样的案例让他们觉得这不符合标准,这个系统安全的唯一方法就是通过HTTPS？
编辑:感谢您的所有回复!我向项目负责人提出了这个问题,她的回答是"什么是HTTP？".因此,我打算更详细地向她解释这一切,调查法律含义,并尝试直接询问程序员为什么会走这条道路来解决问题.我也会尝试向其他没有直接参与但可能对此事产生影响的同事解释情况.
如果是医疗数据并且您居住在美国,那么访问它的机会很可能符合HIPAA法规,包括安全要求.您应该查看http://www.cms.hhs.gov/SecurityStandard/Downloads/SecurityGuidanceforRemoteUseFinal122806.pdf.如果你不住在美国,我建议你仍然可以指出HIPAA与域名相关.
如果您的供应商试图收取额外费用,请说"您是说您不符合相关的政府标准吗？很棒,也许您应该向我们提供有关您的安全和隐私标准,安全措施和程序的完整文档因为很明显,如果我们被罚款,我们就会跟着你."(IANAL等等.)
从技术层面来看,一个空灵的痕迹建议显示清除用户名和密码是多么容易,这应该让你的管理层大开眼界.考虑到嗅探正常的网络流量以及使用SSL进行传输是多么容易是多么容易,供应商将其作为"安全增强"推迟的想法是令人愤慨的.
让你的案例成为一个好方法是找一个相对技术性(或聪明)的经理,如果你向他们展示一个登录的现场空灵痕迹(看!这里是用户的密码:MrGreen.那么,不要相信我？在这里试一试!).
只有在没有先询问您是否信任并了解经理的情况下才能这样做,否则只需与他谈谈此事,如果他不相信您,请要求获得许可.如果他不授予它,您可以指向此问题或其他在线资源.但是,如果他们不在乎,你会说运气不好.
做实时跟踪,简单解释你做了什么(我们网络上的任何人都可以做到这一点,它就像安装这个程序一样简单).之后解释说,几乎可以自由地在系统上进行加密,这样就可以防止加密,而且应用程序至少不需要修改.并且它将有利于传输加密的所有内容,因此记录也会更加安全.
然后让该经理负责相应的权限/预算批准/等等.
唯一理智的方法就是使用POST(修复URL中发送的密码)和HTTPS.
让我最担心的是,通过网络发送明文密码的人可能会有许多其他安全漏洞.
这里有两个问题,一个是技术问题,一个是合同问题(因而是合法的).我不会要求Stack Overflow提供法律建议.
技术上的答案是显而易见的 - 这些做你的系统的人都是小丑,因为他们在其中留下了一个巨大的安全漏洞.
从法律上讲,这将取决于你所在的国家(我注意到你来自布里斯班,所以你好,来自该国的另一边).许多人将拥有可能违反的医疗和/或隐私法规,因此需要检查一件事.其他人建议调查的HIPAA法律仅限于美国; 我们可能在澳大利亚有一个等价物,但我很确定奥兹的隐私法可以被用来发挥作用.
同样,你需要查看合同(无论你是否起草合同,我假设你(或你的前任)签署了它,否则你没有义务支付它们),看看隐私是否是一项要求.即使不是,一位称职的律师也可以说这是一项隐含的要求.
你可能不得不掏钱并支付额外的钱 - 我曾为一些大公司工作,他们倾向于对客户未列入交付物的任何事情承担全部责任(通常写入合同).如果您的供应商是一个称职的(当然,就业务而非客户满意度而言),他们就会做到这一点.
但首先,请联系律师寻求建议.他们是愚蠢的底部喂食器:-),但他们是知道该做什么的人,他们最能检查合同并告知你最好的选择.我大约10年前使用过一个我不能再负担的汽车合同,即使花费数千美元,也比替代品要好得多.
除非他们经常这样做,否则你要在这里提出的建议要么偏向于技术方面(最好的情况),要么在法律意义上是非常危险的(特别是因为它主要基于美国法律).不希望为律师类型做广告,我知道你可以在这里找到一个.
祝你好运.
京公网安备 11010802040832号 | 京ICP备19059560号-6 