10110010011101001011001101101110101018200.devFrom Enterprise.Systems

Независимые разработчики и фрилансеры

Обязательства по безопасности, которые уже распространяются на Вас

Если Вы фрилансер или независимый разработчик, работающий с данными клиентов, малый размер бизнеса не освобождает Вас от требований по безопасности. Обязанности обработчика по GDPR, обязанности внедряющей стороны по Закону ЕС об ИИ и договорные требования Ваших клиентов к безопасности распространяются непосредственно на Вас — уже сегодня, при Вашем текущем масштабе. Ниже перечислено, что уже применимо к Вам, с указанием каждого нормативного акта поименно, и что в настоящий момент открыто в Вашей собственной учётной записи.

Что уже применимо к Вам

GDPR: Вы — обработчик данных, лично

Когда клиент передаёт Вам персональные данные — базу пользователей, производственную систему, экспорт — Вы выступаете обработчиком данных (а иногда и контролёром) по GDPR. Этот статус не требует наличия компании: он распространяется на «физическое или юридическое лицо». Он обязывает Вас осуществлять обработку на основании договора, реализовывать надлежащие меры безопасности для хранимых Вами данных и без необоснованной задержки уведомлять клиента в случае нарушения — а также подвергает Вас искам о компенсации и административным штрафам.

Основание: GDPR, статья 4 (определения), статья 28 (обработка на основании договора), статья 32 (безопасность обработки), статья 33 (уведомление о нарушении), статьи 82–83 (ответственность и административные штрафы до 20 миллионов евро или 4% годового мирового оборота, в зависимости от того, что больше).

Закон ЕС об ИИ: внедрение ИИ для клиентов влечёт обязанности

Если Ваша работа с клиентами включает вывод систем ИИ в производственную эксплуатацию — ассистента в продукте клиента, ИИ-агента, автоматизирующего рабочий процесс — Закон ЕС об ИИ налагает обязанности на внедряющие стороны: тех, кто использует системы ИИ под собственной ответственностью в профессиональном контексте. Какие именно обязанности применимы, зависит от категории риска системы, но фраза «я только интегрировал» — это ровно та роль, которую охватывает категория внедряющей стороны.

Основание: Закон ЕС об ИИ, статья 26 (обязанности внедряющих сторон высокорисковых систем ИИ), статья 4 (грамотность в области ИИ), статья 99 (санкции).

Ваши корпоративные клиенты обязаны собирать у Вас доказательства безопасности

Компании, работающие в соответствии с SOC 2, ISO 27001 или статьёй 28 GDPR, ведут программы управления поставщиками, которые их аудиторы действительно проверяют — и эти программы не различают поставщика из 500 человек и поставщика из одного человека. Именно поэтому опросник по безопасности приходит раньше договора. Фрилансеры, способные ответить с доказательствами, закрывают сделки быстрее тех, кто импровизирует.

Основание: договорное — соглашения об обработке данных и требования к безопасности поставщиков, которые Ваши клиенты обязаны предъявлять всем, кому передают данные, включая физических лиц.

Взломанный проект клиента — это реальный бизнес-риск

Инцидент безопасности в проекте клиента может означать прямую ответственность по положению об освобождении от ответственности в Вашем договоре, может означать ответственность обработчика по статье 82 GDPR при участии персональных данных и может означать потерю клиента и связанной с ним рекомендации. Для бизнеса из одного человека репутационный актив и есть сам бизнес. Это риск, а не неизбежность — но это обычная цепочка последствий, когда забытый учётный доступ превращается в инцидент.

Основание: GDPR, статья 82 (право на компенсацию); Ваши собственные договоры об оказании услуг.

Что в настоящий момент открыто в Вашей учётной записи

Каждая из перечисленных выше обязанностей подразумевает один и тот же первый вопрос: что имеет доступ к месту, где хранится Ваша работа с клиентами? Для большинства независимых разработчиков это личная учётная запись GitHub — и она накапливала доступы годами. Всё нижеперечисленное считывается машиной из собственного API GitHub:

Установленные приложения GitHub Apps

Боты развёртывания, инструменты CI, ИИ-ассистенты — каждый удерживает предоставленное Вами однажды разрешение. Некоторые имеют права записи или администратора над всем, чем Вы владеете; некоторые относятся к проектам, завершившимся давным-давно.

Ключи развёртывания

Бесконтрольные учётные данные SSH на серверах. Ключ с правами чтения-записи на репозитории, которому требовалось только чтение, — это путь для внедрения кода, если этот сервер когда-либо будет скомпрометирован.

Соавторы

Люди, добавленные во время уже завершившихся совместных работ, всё ещё сохраняющие доступ на запись — в том числе к репозиториям, которые являются публичными.

Публичные репозитории

Какие из Ваших репозиториев публичны и кто может отправлять в них изменения — это вопрос инвентаризации, на который большинство разработчиков не могут ответить по памяти.

Ключи ИИ-поставщиков, пережившие проекты

Аккаунт OpenAI, Anthropic, Mistral или Cursor, стоящий за Вашими сторонними проектами, накапливает API-ключи и лицензии ещё долго после завершения проекта. Представление управления ИИ в 8200.dev отмечает устаревшие и общеорганизационные ключи, ключи, пережившие смену роли, и неиспользуемые лицензии — из собственных административных API поставщиков, только для чтения.

Сначала увидьте, потом решайте

Подключите свой личный аккаунт GitHub в режиме только для чтения и получите инвентаризацию: каждое установленное приложение и его права доступа, каждый ключ развёртывания и является ли он доступным только для чтения, каждого соавтора, каждый публичный репозиторий — с ранжированием находок по степени серьёзности. Бесплатный тариф показывает три ваших главных находки полностью. Ни один закон не обязывает вас запускать сканирование; указанные выше обязательства применяются в любом случае. Сканирование меняет лишь то, сможете ли вы ответить на вопросы, которые они подразумевают.

Права только для чтения. Никогда — ваш исходный код. Без банковской карты.

Эта страница содержит общую информацию о нормативных требованиях, которые обычно применяются к независимым разработчикам и фрилансерам; это не юридическая консультация. То, как каждое требование применяется к вашей конкретной ситуации, зависит от специфичных для вас обстоятельств — по этому вопросу обратитесь к юристу.