Nhà phát triển độc lập & nhân viên tự do

Các nghĩa vụ bảo mật đã áp dụng cho bạn

Nếu bạn là nhân viên tự do hoặc nhà phát triển độc lập xử lý dữ liệu khách hàng, bạn không có quyền từ chối quy định bảo mật bằng cách nhỏ bé. Các nghĩa vụ của bộ xử lý theo GDPR, các nghĩa vụ của bộ triển khai theo EU AI Act, và các yêu cầu bảo mật hợp đồng của khách hàng đều gắn với bạn trực tiếp — ngay hôm nay, với kích thước hiện tại của bạn. Đây là những gì đã áp dụng, được đặt tên theo quy định và những gì hiện được phơi bày trên tài khoản của riêng bạn.

Những gì đã áp dụng cho bạn

GDPR: bạn là một bộ xử lý dữ liệu — cá nhân

Khi một khách hàng trao cho bạn dữ liệu cá nhân — một cơ sở dữ liệu người dùng, một hệ thống sản xuất, một lần xuất — bạn đang hoạt động như một bộ xử lý dữ liệu (và đôi khi là bộ điều khiển) theo GDPR. Trạng thái đó không yêu cầu một công ty: nó gắn với «một người tự nhiên hoặc pháp nhân». Nó buộc bạn xử lý theo hợp đồng, thực hiện các biện pháp bảo mật thích hợp cho dữ liệu bạn giữ, và thông báo cho khách hàng của bạn mà không chậm trễ không cần thiết nếu nó bị vi phạm — và nó phơi bạn ra trước các yêu cầu bồi thường và tiền phạt hành chính.

Cơ sở: Điều 4 GDPR (định nghĩa), Điều 28 (xử lý theo hợp đồng), Điều 32 (bảo mật xử lý), Điều 33 (thông báo vi phạm), Điều 82–83 (trách nhiệp pháp lý và tiền phạt hành chính lên đến €20 triệu hoặc 4% doanh thu hàng năm toàn cầu, số cao hơn).

EU AI Act: triển khai AI cho khách hàng có các nghĩa vụ

Nếu công việc khách hàng của bạn bao gồm đưa các hệ thống AI vào sản xuất — một trợ lý trong sản phẩm của khách hàng, một tác nhân AI tự động hóa quy trình làm việc — EU AI Act áp đặt các nghĩa vụ cho các bộ triển khai: những người sử dụng các hệ thống AI dưới quyền cơ quan riêng của họ trong một bối cảnh chuyên nghiệp. Những nghĩa vụ nào áp dụng tùy thuộc vào danh mục rủi ro của hệ thống, nhưng «Tôi chỉ tích hợp nó» chính là vai trò mà danh mục bộ triển khai bao gồm.

Cơ sở: EU AI Act Điều 26 (nghĩa vụ của bộ triển khai các hệ thống AI rủi ro cao), Điều 4 (hiểu biết về AI), Điều 99 (hình phạt).

Khách hàng doanh nghiệp của bạn phải thu thập bằng chứng bảo mật từ bạn

Các công ty hoạt động theo SOC 2, ISO 27001 hoặc GDPR Điều 28 chạy các chương trình quản lý nhà cung cấp mà kiểm toán viên của họ thực sự kiểm tra — và các chương trình đó không phân biệt giữa nhà cung cấp 500 người và nhà cung cấp một người. Đó là lý do tại sao bảng câu hỏi bảo mật tới trước hợp đồng. Nhân viên tự do có thể trả lời bằng bằng chứng đóng nhanh hơn những nhân viên tự do nào tính toán.

Cơ sở: Hợp đồng — thỏa thuận xử lý dữ liệu và yêu cầu bảo mật nhà cung cấp mà khách hàng của bạn bị bắt buộc phải áp đặt cho bất kỳ ai họ trao dữ liệu cho, bao gồm cả các cá nhân.

Một dự án khách hàng bị vi phạm là một rủi ro kinh doanh thực sự

Sự cố bảo mật trong một dự án khách hàng có thể có nghĩa là trách nhiệp pháp lý trực tiếp theo mệnh đề indemnification của hợp đồng của bạn, có thể có nghĩa là trách nhiệm bộ xử lý theo Điều 82 GDPR nơi dữ liệu cá nhân có liên quan, và có thể có nghĩa là mất khách hàng và tài liệu tham khảo đi kèm. Đối với một doanh nghiệp gồm một người, tài sản uy tín là doanh nghiệp. Đây là rủi ro, không phải chắc chắn — nhưng đó là chuỗi hậu quả bình thường khi một thông tin đăng nhập bị quên trở thành sự cố.

Cơ sở: Điều 82 GDPR (quyền bồi thường); hợp đồng dịch vụ của riêng bạn.

Những gì hiện được phơi bày trên tài khoản của bạn

Mỗi nghĩa vụ trên sẽ miêu tả cùng một câu hỏi đầu tiên: cái gì có quyền truy cập vào nơi công việc khách hàng của bạn tồn tại? Đối với hầu hết các nhà phát triển độc lập, nơi đó là một tài khoản GitHub cá nhân — và nó đã tích lũy quyền truy cập trong nhiều năm. Tất cả những điều sau đây có thể được đọc máy từ API của chính GitHub:

Các ứng dụng GitHub được cài đặt

Các bot triển khai, công cụ CI, trợ lý AI — mỗi người giữ quỹ quyền bạn đã phê duyệt một lần. Một số giữ ghi hoặc quản trị trên mọi thứ bạn sở hữu; một số thuộc về các dự án kết thúc lâu rồi.

Triển khai khóa

Thông tin đăng nhập SSH không được giám sát trên máy chủ. Một khóa đọc-ghi trên kho lưu trữ chỉ cần đọc là một đường dẫn tiêm mã nếu máy chủ đó từng bị xâm phạm.

Những người cộng tác

Những người được thêm trong quá trình cộng tác đã kết thúc, vẫn giữ quyền ghi — bao gồm cả trên các kho lưu trữ công khai.

Kho lưu trữ công khai

Những kho lưu trữ của bạn công khai, và ai có thể đẩy đến chúng, là một câu hỏi danh sách hầu hết các nhà phát triển không thể trả lời từ bộ nhớ.

Khóa nhà cung cấp AI ngoài vòng dự án

Tài khoản OpenAI, Anthropic, Mistral hoặc Cursor đứng sau các dự án bên của bạn tích lũy các khóa API và ghế lâu sau khi dự án kết thúc. Chế độ xem AI Governance của 8200.dev gắn cờ khóa cũ và toàn tổ chức, các khóa ngoài vòng thay đổi vai trò, và các ghế mà không ai sử dụng — từ API quản trị của chính các nhà cung cấp, chỉ đọc.

Nhìn nó, sau đó quyết định

Kết nối tài khoản GitHub cá nhân của bạn chỉ đọc và lấy danh sách: mọi ứng dụng đã cài đặt và các quỹ của nó, mọi khóa triển khai và liệu nó chỉ đọc, mọi người cộng tác, mọi kho lưu trữ công khai — với những phát hiện được xếp hạng theo mức độ nghiêm trọng. Tầng miễn phí hiển thị 3 phát hiện hàng đầu của bạn đầy đủ. Không có luật nào yêu cầu bạn chạy quét; các nghĩa vụ trên áp dụng dù bằng cách nào. Cái gì một quét thay đổi là liệu bạn có thể trả lời các câu hỏi mà họ ngụ ý hay không.

Quét tài khoản của bạn miễn phí Đọc bài viết đầy đủ →

Phạm vi chỉ đọc. Không bao giờ mã nguồn của bạn. Không cần thẻ tín dụng.

Trang này là thông tin chung về các quy định thường áp dụng cho nhà phát triển độc lập và nhân viên tự do; nó không phải là lời khuyên pháp lý. Cách mỗi quy định áp dụng cho tình huống cụ thể của bạn tùy thuộc vào các sự kiện cụ thể cho bạn — để làm điều đó, hãy tham khảo ý kiến của một luật sư.