Come i principi di sicurezza più basilari, devi considerare la triade della CIA: Riservatezza, integrità, disponibilità.
Dite che le informazioni ospitate sul sito sono informazioni pubbliche, quindi la riservatezza per la vostra azienda non è una priorità. Tuttavia, è necessario considerare anche che la percezione della riservatezza da parte dell'utente potrebbe non essere necessariamente uguale alla percezione di riservatezza della propria azienda. Anche se sono informazioni pubbliche, molte persone non vogliono che le loro abitudini di navigazione siano tracciate per vari motivi, molte persone cercano informazioni pubblicamente disponibili su questioni mediche che potrebbero considerare imbarazzanti, forse un LGBT ancora nell'armadio non vuole che nessuno sanno che stanno navigando su determinati siti che potrebbero far desistere altre persone, forse un marito vuole nascondere le sue ricerche per una ricerca di un piano di vacanza a sorpresa da sua moglie. Le buone pratiche moderne di solito ritengono che sia troppo difficile da valutare correttamente, dal momento che non è sempre possibile indovinare i motivi degli utenti, quindi finire con la crittografia di tutto con HTTPS.
Che ne dici di Integrità? Quanto è importante che il pubblico sappia che questi dati sono pubblicati da te e non sono stati alterati da altre entità? Se l'integrità è un po 'importante, allora dovresti considerare l'utilizzo di HTTPS e possibilmente anche pubblicare la firma crittografica dei dati che hai pubblicato. Quanto è importante che l'utente sappia che i dati sono aggiornati? Potresti voler aggiungere un timestamp firmato della data di pubblicazione dei dati, per garantire che gli utenti possano stabilire se stanno impostando dati obsoleti (attacco di riproduzione), in circostanze sinuose, potresti persino voler autenticare il timestamp pubblicando l'hash dei dati in , per esempio, la blockchain di Bitcoin.
Hai suggerito che la disponibilità è importante. I rischi di disponibilità che è necessario considerare sono che l'attaccante esegua un attacco DDOS per sopraffare il sito o che l'utente malintenzionato attivi i blocchi degli account utilizzando password errate. Per la disponibilità di base, si desidera implementare firewall, sistemi di monitoraggio e di avviso, si vorrebbe garantire agli utenti legittimi un modo per reimpostare il blocco degli account che l'utente malintenzionato non è in grado di eseguire. Quanto è importante che i dati siano disponibili in caso di censure deliberate come ad esempio Great Firewall of China? A seconda del livello di disponibilità che hai scelto come target, potresti prendere in considerazione l'utilizzo di una rete di mirror, CDN, Tor o Freenet per distribuire i dati.