Ho chiesto a un'agenzia governativa, in base alla legislazione sulla libertà di informazione, di rilasciare due query SQL che hanno pubblicato per produrre una tabella che hanno pubblicato in un rapporto.
Cioè, l'agenzia ha pubblicato queste due tabelle di cifre che mostrano, per ciascun anno, il numero di casi completati in varie categorie e alcune statistiche aggregate per ogni categoria. Voglio vedere la query utilizzata per generare ogni tabella, per vedere come sono stati filtrati i dati e precisamente come l'agenzia ha definito ogni categoria.
L'agenzia ha rifiutato la mia richiesta sulla base del fatto che il rilascio di query SQL pregiudica la sicurezza delle informazioni.
In base alla legislazione pertinente, ora ho l'opportunità di chiedere una revisione di questa decisione, in cui dovrei spiegare perché il ragionamento dell'agenzia è difettoso.
A mio parere, l'unico modo in cui questo può rappresentare un rischio per la sicurezza è quando un utente malintenzionato utilizza le informazioni sui nomi di tabelle e colonne per avviare un attacco SQL injection. Tuttavia, il database in questione è un data warehouse interno privo di applicazioni Web accessibili pubblicamente che lo accedono e, in ogni caso, l'agenzia ha rigorosi standard di codifica e test di penetrazione, ecc., Per prevenire cose come le vulnerabilità di SQL injection.
Posso anche immaginare che se l'agenzia fosse, per esempio, la National Security Agency degli Stati Uniti e il database fosse chiamato "overseas_phone_taps_by_country", allora i nomi di tabella / colonna sarebbero essi stessi informazioni sensibili. In questo caso, tuttavia, stiamo parlando di un database contabile tenuto da un'agenzia di regolamentazione piuttosto noiosa.
Anche in questo caso se la query è stata utilizzata per generare elenchi di casi, allora potrei vedere il problema, dal momento che la query conterrebbe cose come il caso in cui un caso verrà preso in considerazione per un'azione di enforcement, ecc. Tuttavia, questo non è il caso qui.
Come potrebbe liberare il testo di una query SQL come un rischio per la sicurezza?
EDIT: l'agenzia ha fornito la seguente spiegazione nella sua lettera di rifiuto:
SQL queries contain information about the agency's information systems (information related to the content, location and storage of sensitive information), which, if released, could reasonably be expected to increase the risk of compromise to the agency's information systems.
As such, I consider that disclosure of the SQL queries represents a potential security risk to the agency.
Il parere dell'esperto di sicurezza dell'agenzia è:
I am of the opinion that the release of the SQL queries, even in a redacted form, would provide information about the programmable interfaces and logic flow within our systems, and give information about identifiers, pointers and references that would compromise the security and safety of the agency's systems.