Rispettare i requisiti di protezione dei dati senza rivelare troppo?

La richiesta di queste informazioni potrebbe non essere solo per un controllo di sicurezza, ma anche per un audit di processo, e sembra che potrebbe essere fondato, dal momento che:

If you wanted to break into their portion of this system, you come after me.

Cosa succederebbe se venissi "colpito da un camion" domani? Se sei l'unico a conoscere i sistemi, i tuoi clienti e i loro avranno sicuramente un grosso problema. Idealmente, qualcun altro deve avere accesso anche, e dovrebbe essere documentato chi è e come contattarli.

A seconda dei requisiti, potrebbe essere possibile che il detentore delle chiavi sia una società piuttosto che una persona, magari con un contatto primario e secondario denominato. Il contatto principale potrebbe anche essere qualcuno del tuo cliente e probabilmente dovrebbe avere tutta la documentazione su come accedere ai suoi sistemi in caso di emergenza se non sei disponibile.

Inoltre, potresti essere in grado di fornire un rapporto con alcune cose cancellate. Probabilmente sono più interessati a sapere che la documentazione non redatta esiste da qualche parte e che le persone giuste hanno accesso ad essa quando necessario. Probabilmente non si preoccuperanno che i numeri di porta, ecc. Siano oscurati, a patto che possano essere sicuri che siano presenti in un documento da qualche parte.

Hai detto "Molto poco di questa roba è un vero e proprio requisito legale" ma, a seconda del governo in questione, questo potrebbe essere un requisito legale molto severo. Se quel governo richiede ai propri dipartimenti / agenzie di seguire NIST SP800-53 allora non possono semplicemente rispondere "abbiamo un ragazzo." Le risposte a questi controlli di sicurezza richiedono informazioni dettagliate che forniscono chi, cosa, dove, quando, perché e come. La mancata fornitura di tali informazioni può impedire a tale ente governativo di ottenere l'autorizzazione a gestire tale sistema informativo. Pertanto, puoi aspettarti di lasciare che l'entità governativa sappia chi sei e quali sono i tuoi processi.

Non accumulare troppo, ma la tua domanda espone un grave difetto nel sistema, che sei tu.

Tu sei un singolo punto di errore, ed è abbastanza lontano dalle best practice.

A seconda delle specifiche di questo contratto governativo, avere tutte le chiavi di crittografia con una sola persona può essere una violazione squalificante, oltre ad essere una cattiva pratica. Oltre al problema "colpisci un autobus", alcune normative governative richiedono l'implementazione della regola dei due uomini / quattro occhi principio , spesso con una barra minima di accesso ai sistemi privilegiati monitorati o controllati da una persona diversa dalla persona che accede al sistema, il che non è possibile se sei l'unico con l'accesso.

È comprensibile che tu sia spiazzato rivelando informazioni personali identificabili su di te, insieme al fatto che tu sia probabilmente il miglior punto di attacco su questi sistemi, che tagli in entrambi i modi e che dovrebbe essere spiazzante. L'approccio corretto non è quello di oscurare questa vulnerabilità, ma di affrontarla. Se disponi di sistemi e processi sicuri, sono sicuri, indipendentemente dal fatto che qualcuno ne sia a conoscenza o meno, ed è quello su cui dovresti concentrarti. Portare i tuoi server in un centro dati sicuro e adeguato, implementare il monitoraggio / controllo degli accessi ed eliminarti come singolo punto di errore sono tutti molto possibili, migliorerebbe la sicurezza dei tuoi sistemi e renderebbe la risposta a questo questionario meno problematica . Come rivestimento d'argento, questa è probabilmente un'opportunità per vendere questo particolare client (e forse altri) su quei miglioramenti di sicurezza.

Altri hanno affermato che sei un singolo punto di errore nei sistemi / processi del client del tuo cliente, quindi non lo ripeterò più.

Quello che dirò è che potrebbe non essere richiesto di spiegare tutto fino all'ultimo dettaglio. Potresti essere in grado di descrivere i tuoi sistemi come hai nella domanda. Tutto ciò dipende dalle domande che ti sono state rivolte e dalla giurisdizione legale da cui sei governato.

Ad esempio, potresti non aver bisogno di dire "Tengo le chiavi e config su github", ma potrei semplicemente dire "Conservo le chiavi e la configurazione in un servizio di controllo delle versioni gestito privato, di terze parti che è ospitato negli Stati Uniti". Quest'ultimo dà via la giurisdizione legale dei server che ospitano i dati, ma non ne fornisce necessariamente l'esatta ubicazione.

Un'altra cosa da notare è che se qualcuno sta prendendo molto sul serio la burocrazia, è possibile che possano, diciamo, avere dei complessi di superiorità irrisolti. Cioè, potrebbero porre domande troppo dettagliate o precise, per le quali non esiste alcuna giustificazione nella legislazione sulla protezione dei dati. Solo perché hanno chiesto "Quali misure hai preso per proteggere SSH? Si prega di specificare le porte alternative utilizzate, le sequenze di porte o altri dettagli necessari per l'accesso", non significa che in realtà devi rivelare tutto ciò a loro.

Detto questo, il tuo cliente diretto ha assolutamente il diritto di chiedere quel tipo di cose (perché se sei investito da un autobus, sono loro che cercano di far girare le cose senza di te). Non c'è (probabilmente) nessuna legge che regoli questo, se non "se non lo fai, non aspettarti di essere assunto". Potrebbe essere il momento di iniziare a parlare di soluzioni di escrow con loro.