Dovrei inviare per e-mail i contenuti di un invio di moduli https

Question

Dovrei inviare per e-mail i contenuti di un invio di moduli https

#1 da (4 voti)
#2 da (2 voti)

5

Sto costruendo un modulo di registrazione online per un'organizzazione di volontariato nel Regno Unito e sto prendendo in considerazione misure di sicurezza dei dati.

Il modulo verrà pubblicato su https e potrebbe esserci una tariffa di pagamento opzionale. Stiamo usando Stripe.js per gestire la conformità PCI, quindi non vediamo mai i dettagli della carta di credito.

Una cosa che vorrei fare dal punto di vista dell'utente finale è fornire una copia del modulo di domanda inviato all'utente per i propri record. Tuttavia, poiché l'email è un protocollo intrinsecamente insicuro, mi chiedo se dovrei farlo anche se è un luogo comune.

Il modulo stesso prenderà i dettagli personali di base, il nome, l'e-mail, l'indirizzo e la data di nascita, nonché alcune caselle di controllo in cui accettano le condizioni di adesione. Questa è una richiesta una tantum all'utente, quindi non chiederemo né memorizzeremo un nome utente o una password.

È "appropriato", considerando principio di protezione dei dati 7 inviare i dettagli di invio completi (meno i dettagli della carta di credito ovviamente) all'utente, in un file PDF formattato via e-mail?

email smtp tls eu-data-protection

posta brianilland 09.12.2015 - 11:22

fonte

2 risposte

2

Puoi offrire all'utente un download di quel PDF dal sito, forse, nella pagina successiva dopo che hanno inviato il modulo.

In questo modo, verrà trasmesso solo dallo stesso canale (HTTPS) utilizzato per inviare gli stessi dati.

Modifica - Scusa se vedo che c'è già una risposta che dice la stessa cosa:)

risposta data 09.12.2015 - 14:23

fonte

Leggi altre domande sui tag email smtp tls eu-data-protection

Come fanno gli hacker professionisti a testare il proprio malware / virus senza danneggiare il proprio computer? Perché utilizziamo SHA3-512?

score 4 · Accepted Answer

Mi raccomando di non inviare tutte queste informazioni in una email. L'archiviazione della posta non è probabilmente il problema, ma SMTP è terribilmente insicuro (non crittografato, di solito facilmente MITMed anche se è disponibile il supporto TLS).

Se si imposta l'invio di una mail di conferma, lasciare informazioni sensibili come la data di nascita della persona. IANAL (né vivo in Gran Bretagna), ma direi che, mentre tutto questo è dati personali, la data di nascita è la più sensibile in quanto può essere usata per causare danni reali. È usato frequentemente come nelle domande di sicurezza.

Riappare tutti i dettagli sulla pagina di conferma visibile dopo che il modulo è stato inviato e consentire all'utente di scaricarlo in formato PDF.

Ignora i regolamenti per un momento e osservalo dal punto di vista dell'utente: l'immissione di dati privati richiede una certa quantità di fiducia nell'entità che riceve i dati. È più probabile che gli utenti si fidino di te se hanno motivo di credere che i loro dati siano conservati. Offrire un modulo su https è un indicatore decente che i dati non saranno gettati con noncuranza su Internet. L'invio degli stessi dati all'utente attraverso una connessione potenzialmente non crittografata (ad es. E-mail), che consente l'intercettazione passiva, interrompe immediatamente tale fiducia. Ho visto casi di questo accadimento e gli utenti non ne erano contenti.