No hay ley con respecto a las contraseñas. Solo la ley que existe se aplica a los datos personales, pero una contraseña no es un detalle personal. Como el usuario final a menudo selecciona la contraseña, según la legislación de la UE, esto también contará como consentimiento, por lo que incluso si alguien ingresa los datos personales como su contraseña, contará como consentimiento.
Dependiendo de lo que proteja la contraseña, puede haber normas de seguridad que las leyes reconozcan, por ejemplo, los detalles de la tarjeta de crédito están protegidos por PCI DSS, la información de salud está protegida por HIPAA, etc. También existen leyes de la UE que establecen cómo deben protegerse los datos personales. Esos podrían exigir que las contraseñas no se almacenen de ninguna forma recuperable.
Sin embargo, es una mala práctica mostrar contraseñas como esta. Sin embargo, dependiendo de lo que proteja la contraseña, puede que no importe de todos modos.
Un ejemplo es que todas las contraseñas son visibles para un administrador, por lo que un administrador puede iniciar sesión como cualquier usuario. Esta podría ser una forma de resolver que algunos sistemas no tienen capacidades de "Toma de control" donde un administrador puede iniciar sesión "como" cualquier usuario.
Otra forma puede ser que el servicio que está protegido por la contraseña, también esté protegido por cualquier otro medio, como un servidor de seguridad que requiera un acceso VPN antes de permitir el acceso al servicio protegido. Y la protección de contraseña en este servicio no es compatible con soluciones de inicio de sesión único o similares, por qué la Compañía está detrás, simplemente muestra la contraseña para iniciar sesión en este servicio protegido, porque incluso si la contraseña se filtra, es inútil para un atacante. quienes no poseen los otros medios que requieren llegar al servicio protegido (como los detalles de marcado VPN, los certificados y cualquier token OTP).
Si las contraseñas son para estaciones de trabajo en la Compañía en cuestión, y están protegidas físicamente (por ejemplo, para llegar a las salas donde están ubicadas las estaciones de trabajo, se requiere un pase de tarjeta de acceso), entonces no importa si se muestran las contraseñas de todos modos Aún necesitas esa tarjeta de acceso para hacer cualquier daño.
También podría ser que esta contraseña no proteja nada valioso de todos modos, solo quieren una protección liviana en el sitio web para evitar el acceso del público en general, pero la información sigue siendo segura para que el público la vea, pero si alguien la revisa. Sitio web, no se hace daño de todos modos.
Ejemplo: Manuales de productos disponibles para los clientes del Producto. Si se filtran, no importa de todos modos.
Haga un juicio si la información en el sitio web interno es confidencial, por ejemplo, "Qué sucede si algún individuo no autorizado accede a este sitio web", y actúe en consecuencia. Si la información es lo suficientemente confidencial, es posible que desee informar esto a algún responsable de seguridad o algo así.