Como los principios de seguridad más básicos, debe tener en cuenta la tríada de la CIA: confidencialidad, integridad, disponibilidad.
Usted dice que la información alojada en el sitio es información pública, por lo que la confidencialidad de su empresa no es una prioridad. Sin embargo, también debe considerar que la percepción de confidencialidad del usuario puede no ser necesariamente la percepción de confidencialidad de su empresa. A pesar de que es información pública, muchas personas no quieren que se rastree su hábito de navegación por varias razones, muchas personas buscan información pública disponible sobre problemas médicos que podrían considerar vergonzosas, tal vez un LGBT todavía en el armario no quiera que nadie lo haga sabe que están navegando en ciertos sitios que podrían alertar a otras personas, tal vez un marido quiera ocultar su investigación para una investigación sorpresa de su plan de vacaciones de su esposa. La mejor práctica moderna generalmente considera que esto es demasiado difícil de evaluar correctamente, ya que no siempre se pueden adivinar los motivos de sus usuarios, por lo que terminan simplemente cifrando todo con HTTPS.
¿Qué hay de la integridad? ¿Qué tan importante es que el público sepa que usted ha publicado estos datos y que ninguna otra entidad los ha alterado? Si la integridad es algo importante, entonces debería considerar el uso de HTTPS, y posiblemente también publicar la firma criptográfica de los datos que publicó. ¿Qué tan importante es que el usuario sepa que los datos están actualizados? Es posible que desee agregar una marca de tiempo firmada de la fecha de publicación de los datos, para asegurarse de que los usuarios puedan saber si están configurando datos obsoletos (ataque de reproducción). , digamos, la cadena de bloques de Bitcoin.
Usted sugirió que la disponibilidad es importante. Los riesgos de disponibilidad que debe considerar es que el atacante realice un ataque DDOS para abrumar su sitio, o que el atacante active los bloqueos de cuenta utilizando contraseñas incorrectas. Para una disponibilidad básica, querría implementar sistemas de firewall y monitoreo y alerta, querría asegurarse de que los usuarios legítimos tengan una forma de restablecer el bloqueo de la cuenta que el atacante no podrá hacer. ¿Qué tan importante es que los datos estén disponibles en caso de censuras deliberadas como, por ejemplo, Great Firewall of China? Dependiendo del nivel de disponibilidad al que te dirijas, puedes considerar usar una red de duplicados, CDN, Tor o Freenet para distribuir los datos.