Mientras auditaba algunas aplicaciones web y sitios web, descubrí algunas vulnerabilidades graves que ya he marcado (responsable, por supuesto). Una de las cosas que noté fue que varias compañías de desarrollo habían trabajado en partes de esta aplicación y eso me hizo pensar. En el caso de una violación de la seguridad o de una fuga de datos, ¿quién es el responsable final de eso? Estoy basado en el Reino Unido, por lo que me referiré a la legislación del Reino Unido aquí, pero estoy seguro de que lo mismo podría aplicarse en su región.
No estoy hablando de casos en los que los estudios de desarrollo tienen contratos que los eximen de cualquier vulnerabilidad, sino más en los casos en que no existe un contrato entre el desarrollador (es) y el negocio. Por ejemplo, una aplicación en particular era vulnerable a la inyección de SQL y fue desarrollada por un desarrollador muy joven. Es una aplicación orientada al público, por lo que una gran cantidad de datos de clientes jugosos se almacenaron en la base de datos.
Si se violaba la base de datos y se exponía la información privada de los clientes, esto constituiría una violación de la Ley de Protección de Datos de 1998. ¿Quién es el responsable final de esa violación? ¿El negocio como el que presta el servicio? ¿Los desarrolladores, ya que son los que introdujeron la falla que permitió el acceso (a sabiendas o no)? ¿La empresa de desarrollo de terceros para proporcionar el trabajo? Si bien el negocio debería ser el responsable final de la seguridad de los datos del cliente, se podría argumentar que alguien rompió la Ley de uso indebido de computadoras de 1990 al introducir una vulnerabilidad a sabiendas o sin saberlo, permitiendo que la aplicación se vea comprometida. Mi pregunta es que solo el negocio estaría en la línea de fuego, ¿o los desarrolladores también?
También debe considerarse la atribución. Si un desarrollador senior recoge el script anterior, realiza cambios y no realiza la diligencia debida para detectar vulnerabilidades, eso los hace ahora responsables en lugar del desarrollador original, o ambos están ahora en la línea de fuego.
Solo para aclarar: no estoy buscando un consejo legal fuerte aquí, pero vale la pena hacer la pregunta de responsabilidad.