Незалежні розробники та фрилансери

Зобов'язання щодо безпеки, які вже застосовуються до вас

Якщо ви фрилансер або незалежний розробник, який обробляє дані клієнтів, ви не можете відмовитися від нормативних вимог безпеки, будучи малим. Обов'язки процесора за GDPR, обов'язки розгортача за Законом про AI ЄС та вимоги безпеки контрактів ваших клієнтів застосовуються безпосередньо до вас — сьогодні, у вашому поточному розмірі. Ось що вже застосовується, названо нормативно за нормативом, і що наразі виявлено на вашому власному обліковому записі.

Що вже застосовується до вас

GDPR: ви — обробник даних — особисто

Коли клієнт передає вам персональні дані — базу користувачів, виробничу систему, експорт — ви діяєте як обробник даних (а іноді контролер) за GDPR. Цей статус не вимагає компанії: він застосовується до «фізичної або юридичної особи». Це зобов'язує вас обробляти за контрактом, впроваджувати належні заходи безпеки для даних, які ви утримуєте, і повідомити свого клієнта без невиправданої затримки про порушення — і це піддає вас позовам про компенсацію та адміністративним штрафам.

Основа: Статті 4 (визначення), 28 (обробка за контрактом), 32 (безпека обробки), 33 (повідомлення про порушення), статті 82–83 (відповідальність та адміністративні штрафи до 20 мільйонів євро або 4% від загального річного обороту в усьому світі, залежно від того, що більше) GDPR.

Закон про AI ЄС: розгортання AI для клієнтів несе зобов'язання

Якщо робота з клієнтами включає введення систем AI в виробництво — помічник у продукті клієнта, агент AI, який автоматизує робочий процес — Закон про AI ЄС накладає зобов'язання на розгортачів: тих, хто використовує системи AI під своєю власною владою в професійному контексті. Які зобов'язання застосовуються, залежить від категорії ризику системи, але «я лише інтегрував це» — це саме та роль, яку охоплює категорія розгортача.

Основа: Стаття 26 (зобов'язання розгортачів систем AI високого ризику), стаття 4 (грамотність у галузі AI), стаття 99 (штрафи) Закону про AI ЄС.

Ваші корпоративні клієнти повинні збирати докази безпеки від вас

Компанії, що діють за стандартами SOC 2, ISO 27001 або GDPR стаття 28, керують програмами управління постачальниками, які аудитори насправді перевіряють — і ці програми не розрізняють постачальника на 500 осіб від постачальника з однієї особи. Саме тому анкета щодо безпеки приходить до контракту. Фрилансери, які можуть відповісти з доказами, укладають контракти швидше, ніж фрилансери, які імпровізують.

Основа: договірна — угоди про обробку даних та вимоги безпеки постачальника, які ваші клієнти зобов'язані накладати на кого-небудь, кому вони передають дані, включаючи фізичних осіб.

Порушена клієнтський проект — реальний ризик для бізнесу

Інцидент безпеки в клієнтському проекті може означати пряму відповідальність за умовою індемніфікації вашого контракту, може означати відповідальність процесора за GDPR стаття 82, де задіяні персональні дані, і може означати втрату клієнта та посилання, що йшло з ним. Для бізнесу з однієї особи репутаційний актив — це бізнес. Це ризик, а не певність — але це звичайний ланцюг наслідків, коли забута дата входу перетворюється на інцидент.

Основа: Стаття 82 GDPR (право на компенсацію); ваші власні контракти послуг.

Що наразі виявлено на вашому обліковому записі

Кожне зобов'язання вище має на увазі те саме перше питання: що має доступ до місця, де живе ваша робота з клієнтами? Для більшості незалежних розробників це місце — персональний облік GitHub — і він накопичував доступ роками. Усе наступне машиночитане з GitHub API:

Встановлені додатки GitHub

Боти розгортання, інструменти CI, помічники AI — кожен утримує надання дозволу, яке ви затвердили один раз. Деякі мають запис або адміна над усім, що ви володієте; деякі належать проектам, які давно закінчилися.

Розгортання ключів

Неконтрольовані SSH-дані на серверах. Ключ для читання-запису в репозиторії, який потребував лише читання, — це шлях ін'єкції коду, якщо цей сервер коли-небудь скомпрометований.

Співробітники

Люди, додані під час співпрацей, які з тих пір закінчилися, все ще утримуючи доступ для запису — включаючи в репозиторіях, які є громадськими.

Публічні репозиторії

Які з ваших репозиторіїв є публічними і хто може надсилати до них, — це питання інвентаризації, на яке більшість розробників не можуть відповісти по пам'яті.

Ключі постачальника AI, які пережили проекти

Обліковий запис OpenAI, Anthropic, Mistral або Cursor за вашими побічними проектами накопичує ключі API та місця задовго після закінчення проекту. 8200.dev AI Governance view позначає застарілі та загальноорганізаційні ключі, ключі, які пережили зміну ролі, та місця, які ніхто не використовує — з API адміністраторів самих постачальників, лише для читання.

Побачте, потім вирішите

Підключіть свій персональний обліковий запис GitHub для читання та отримайте інвентаризацію: кожний встановлений додаток та його дозволи, кожен ключ розгортання та чи він доступний тільки для читання, кожен співробітник, кожен публічний репозиторій — з результатами, відсортованими за严тністю. Безплатний рівень показує ваші 3 найкращі результати повністю. Жодне право не вимагає від вас запуску сканування; зобов'язання вище застосовуються так чи інакше. Що змінює сканування — це те, чи можете ви відповісти на запитання, які вони передбачають.

Відсканізуйте свій обліковий запис безплатно Прочитайте повну статтю →

Область лише для читання. Ніколи ваш вихідний код. Без кредитної карти.

Ця сторінка містить загальну інформацію про нормативні акти, які зазвичай застосовуються до незалежних розробників та фрилансерів; це не юридична порада. Як кожна норма застосовується до вашої конкретної ситуації, залежить від фактів, специфічних для вас — для цього проконсультуйтеся з адвокатом.