Független fejlesztők és szabadúszók

Biztonsági kötelezettségek, amelyek már vonatkoznak rád

Ha szabadúszó vagy független fejlesztő vagy az ügyfél adatait kezel, nem tudsz felszámítani az biztonsági szabályozásból azáltal, hogy kis vagy. A GDPR processzor kötelezettségei, az EU AI Act telepítő kötelezettségei és az ügyfél szerződéses biztonsági követelményei egyaránt közvetlenül rád vonatkoznak — ma, az aktuális méretedben. Itt van, hogy mely szabályozás mely szabályozáson belül már vonatkozik, megnevezve, és hogy mi van jelenleg feltéve a te saját fiókodon.

Mi vonatkozik már rád

GDPR: Ön egy adatkezelő — személyesen

Amikor egy kliens átadja az ügyfél személyes adatait — egy felhasználói adatbázis, egy termelési rendszer, egy export — az GDPR alatt adatkezelőként (és néha controllerként) jár el. Ez az állapot nem követel meg céget: egy „fizikai vagy jogi személy" közvetlenül rá vonatkozik. Kötelezi, hogy szerződés alatt feldolgozz, hogy megfelelő biztonsági intézkedéseket hajts végre az általad kezelt adatokhoz, és hogy késedelem nélkül értesítsd az ügyfeledet, ha megsérült — és kitesz téged kompenzációs igényeknek és közigazgatási bírságoknak.

Alap: GDPR 4. cikk (definíciók), 28. cikk (feldolgozás szerződés alatt), 32. cikk (feldolgozás biztonsága), 33. cikk (sérülés bejelentése), 82–83. cikk (felelősség és közigazgatási bírságok akár 20 millió euróig vagy az éves globális forgalom 4%-áig, amelyik nagyobb).

EU AI Act: az AI telepítésének ügyfeleihez kötelezettségek jár

Ha az ügyfélmunka magában foglalja az AI-rendszerek üzemeltetésbe helyezését — egy asszisztens egy ügyfél termékében, egy AI ügynök egy munkafolyamatot automatizálva — az EU AI Act kötelezettségeket ír elő a telepítőkre: akik az AI-rendszereket a saját hatóságuk alatt egy szakmai kontextusban használják. Mely kötelezettségek vonatkoznak, az rendszer kockázati kategóriájától függ, de az „csak integrálta" pontosan az a telepítő szerep, amelyet a kategória fed.

Alap: EU AI Act 26. cikk (magas kockázatú AI rendszerek telepítőjének kötelezettségei), 4. cikk (AI írástudás), 99. cikk (büntetések).

Az enterprise ügyfeleid biztonsági bizonyítékot gyűjtenek fel tőled

A SOC 2, ISO 27001 vagy GDPR 28. cikk alapján működő vállalatok szállító-menedzsment programokat futtatnak, amelyeket auditoraik tényleg ellenőriznek — és ezek a programok nem különböztetik meg egy 500 fős szállítót egy egyéves szállítótól. Ezért érkezik el az biztonsági kérdőív a szerződés előtt. Az olyan szabadúszók, akik bizonyítékkal válaszolnak, gyorsabban zárnak, mint azok, akik improvizálnak.

Alap: szerződéses — adatfeldolgozási megállapodások és szállító biztonsági követelmények, amelyeket az ügyfele köteles az adatokat átadó bárkire, beleértve az egyéneket, feltenni.

Egy megsérült ügyfél projekt igazi üzleti kockázat

Egy biztonsági incidens egy ügyfél projektben lehet direktt felelősség a szerződésed indemnifikációs záradékában, lehet processzor felelősség a GDPR 82. cikke alatt, ahol személyes adatok érinti, és az ügyfél elvesztése és az a referencia elvesztése lehet, amely vele jött. Az egy fős vállalkozás számára a reputációs eszköz az üzlet. Ez a kockázat, nem a bizonyosság — de ez az szokásos következmények láncolata, amikor egy elfeledett felhasználó név incidensbe fordul.

Alap: GDPR 82. cikk (jog a kompenzációra); a saját szolgáltatási szerződéseid.

Mi van jelenleg feltéve a te fiókodon

Minden fenti kötelezettség az azonos első kérdést jelenti: mi férkőzhet az ügyfél munkád helyéhez? A legtöbb független fejlesztő számára az hely egy személyes GitHub fiók — és évekig gyűjti a hozzáférést. A GitHub saját API-jából az összes alábbi a gépet olvasható:

Telepített GitHub alkalmazások

Üzemeltetési robotok, CI eszközök, AI asszisztensek — mindegyik az engedélykiosztást tartva, amelyet egyszer jóváhagytál. Egyesek írásokat vagy adminokat tartanak mindent, amit a tulajdon; egyesek olyan projektekhez tartoznak, amelyek már vége van.

Üzemeltetési kulcsok

Felügyelet nélküli SSH felhasználó név szervereken. Egy írási-olvasási kulcs egy olyan tárolón, amely csak olvasást igényelt, egy kód-injekciós út, ha az a szerver valaha is megsérül.

Kollaborátorok

Az olyan együttműködésekből hozzáadott emberek, amelyek már véget értek, még mindig írási hozzáféréssel — beleértve az olyan tárolókat, amelyek nyilvánosak.

Nyilvános tárolók

Mely tárolóid nyilvánosak, és kik nyomhatnak rájuk, egy leltár kérdés, amelyre a legtöbb fejlesztő nem tud emlékezetből válaszolni.

AI szállító kulcsok, amelyek meghaladják a projekteket

Az OpenAI, Anthropic, Mistral vagy Cursor fiók, amely a mellékprojekteid mögött áll, API kulcsokat és üléseket gyűjt sokkal a projekt után. A 8200.dev AI Governance nézete jelenik elavult és szervezetszintű kulcsokat, kulcsokat, amelyek megelőzték a szerepváltást, és üléseket, amelyeket senki nem használ — a szállítók saját admin API-járól, csak olvasható.

Nézd meg, majd dönts

Csatlakoztasd a személyes GitHub fiókodat csak olvasható és kapd meg a leltárt: minden telepített alkalmazás és annak engedélyei, minden üzemeltetési kulcs és hogy csak olvasható-e, minden kollaborátor, minden nyilvános tároló — a megállapítások súlyosság szerint rangsorolva. Az ingyenes szint a top 3 megállapításodat teljes egészében mutatja. Nincs törvény, amely megköveteli a scan futtatást; a fenti kötelezettségek mindenképpen vonatkoznak. Mit a scan változtat az, hogy tudsz-e válaszolni az őt jelent kérdésekre.

Végezzen szabad vizsgálatot Olvass el a teljes cikket →

Csak olvasható hatálya. Soha a forráskódod. Nincs hitelkártya.

Ez az oldal általános információ a szabályozásról, amely általában vonatkozik a független fejlesztőkre és szabadúszókra; nem jogi tanács. Hogy minden szabályozás hogyan vonatkozik az ön specifikus helyzetére, az a tényre jellemző tények függnek — erre, konzultálja egy ügyvédet.