Durante il controllo di alcune app e siti Web web ho scoperto alcune vulnerabilità gravi che ho segnalato (in modo responsabile, ovviamente). Una delle cose che ho notato è che diverse società di sviluppo hanno lavorato su parti di questa applicazione e questo mi ha fatto riflettere. In caso di violazione della sicurezza o perdita di dati, chi è in definitiva responsabile di ciò? Sono residente nel Regno Unito, quindi mi riferirò alla legge del Regno Unito qui, ma sono sicuro che lo stesso potrebbe applicarsi nella tua regione.
Non sto parlando di casi in cui dev studios hanno contratti che li assolvono da qualsiasi vulnerabilità, ma più nei casi in cui non è in vigore alcun contratto tra lo sviluppatore (i) e l'azienda. Ad esempio, una particolare applicazione era vulnerabile all'iniezione SQL ed è stata elaborata da uno sviluppatore molto giovane. È un'app pubblica, quindi nel database sono stati memorizzati un sacco di dati sui clienti.
Se il database è stato violato e i dati dei clienti privati esposti, ciò costituirebbe una violazione del Data Protection Act 1998. Chi è in definitiva responsabile di tale violazione? Gli affari come sono quelli che forniscono il servizio? Lo sviluppatore come sono colui che ha introdotto il difetto che ha permesso l'accesso (consapevolmente o in altro modo)? La società dev di terze parti per fornire il lavoro? Mentre l'azienda dovrebbe essere in ultima analisi responsabile a mio avviso per la sicurezza dei dati dei clienti, si potrebbe obiettare che qualcuno ha infranto il Computer Misuse Act del 1990 introducendo una vulnerabilità consapevolmente o inconsapevolmente permettendo che l'applicazione venga compromessa. La mia domanda è che sono solo gli affari che si trovano nella linea di fuoco, o lo sarebbero anche gli sviluppatori?
Anche l'attribuzione deve essere considerata. Se uno sviluppatore senior raccoglie lo script di cui sopra, apporta modifiche e non esegue due diligence per verificare la presenza di vulnerabilità, ciò le rende ora responsabili piuttosto che lo sviluppatore originale, oppure entrambe sono ora nella linea di fuoco.
Giusto per chiarire - Non sto cercando consigli legali difficili qui, ma vale la pena porre la domanda sulla responsabilità.