I believe that the web host ... are responsible for the leak.
Is there anything I can do? What steps can I, or others in my position, take to ensure the safety of our intellectual property and our users' data?
Informa i tuoi utenti.
Fai sapere a tutti della perdita, specialmente se le loro password sono state esposte. Sii onesto e sincero. Non incolpare il fornitore finché non li si identifica in modo positivo come fonte della perdita (vedere la sezione successiva). Le persone usano spesso le stesse password su più siti, quindi un ritardo nell'informazione di un utente potrebbe metterli a rischio aggiuntivo su altri siti.
Identifica la fonte della perdita.
Sospetti che il tuo provider host, ma potrebbe non essere stato loro. Se si distribuisce il codice sorgente al proprio host tramite FTP o altri metodi non crittografati, potrebbe essere stato intercettato in transito. Il computer utilizzato per scrivere il codice potrebbe essere stato compromesso. Se non sei l'unico sviluppatore, uno degli altri sviluppatori potrebbe aver fatto trapelare il codice. Esaminare tutti i luoghi in cui sono state trasmesse le informazioni trapelate, chi ha avuto accesso e come è stato trasmesso al luogo successivo.
Detto questo, potrebbe essere stato il tuo provider di hosting. Hai chiesto loro? A meno che il tuo provider sia molto piccolo, hanno un numero di dipendenti e clienti e potrebbero non aver notato la tua perdita. Informali del problema. Il fornitore di servizi di hosting dovrebbe essere interessato ad aiutarti anche se hanno commesso degli errori che portano a perdite. In genere il provider di hosting avrà molte più informazioni sul traffico e i log che hai e saranno essenziali nel trovare la fonte.
Trovare la fonte della perdita è importante. Se non sai cosa è successo non saprai se lo hai risolto.
Purtroppo a questo punto, se i dati sono pubblici non c'è molto che tu possa fare. Se vedi i tuoi dati o il codice su un altro sito, informali gentilmente e chiedi loro di smetterla. Minacciare un altro sito non è di solito utile e, a seconda della diffusione dei dati, un sito su molti fa poca differenza.
What preventative steps can be taken and what measures should I take now I find myself in this position?
Suppongo che tu intenda per la prossima volta dato che a questo punto sei molto più lontano dalla prevenzione. Molto dipenderà da quale sia stata la fonte della perdita. Se era il tuo fornitore, dovresti considerare se vuoi stare con loro o cambiare. La modifica dei provider non impedirà necessariamente futuri incidenti, a meno che il provider non includa una sicurezza più solida del proprio attuale fornitore. Assicurarsi che la trasmissione di dati sensibili sia sempre crittografata con un protocollo sicuro come HTTPS o TSL. Assicurati che il tuo repository del codice sorgente sia sicuro. Aggiungi un sistema di rilevamento delle intrusioni al tuo server. Leggi i tuoi file di registro. Sfortunatamente quasi nulla funziona come leggere regolarmente i tuoi file di log e imparare i modelli tipici.