Poderia / Você deve ser responsabilizado por vulnerabilidades do servidor? [fechadas]

Question

Existe algum precedente na América do Norte ou em outro lugar onde um administrador de servidores foi considerado responsável por deixar um servidor vulnerável?

Por exemplo, se houver uma exploração conhecida no IIS - a Microsoft emite um patch para ela e, por motivo X, você não a aplica em seu servidor, seu site é comprometido por hackers e, como resultado, você acaba infectando visitantes com malware que poderia eventualmente causar perdas financeiras. Você é ou poderia ser responsabilizado?

Isso é subjetivo e obviamente não é algo que eu faço;) apenas curioso.

    

Answer 1

Eu não sou advogado e não estou lhe dando conselhos legais. Este é ServerFault.com, também, não SuperLawyerOverflowFault.com. Eu também estou falando apenas sobre os Estados Unidos re: "América do Norte". O Canadá é gelado e assustador e eu não sei nada sobre isso.

Tendo dito isso, não conheço nenhum estado dos EUA em que a responsabilidade criminal entre em jogo simplesmente por não instalar patches. Da mesma forma, não conheço nenhum estado dos EUA que possa responsabilizar criminalmente o operador de um servidor por infecções de software mal-intencionado transmitidas por um computador comprometido.

Existem estados dos EUA em que é exigida a divulgação de violações de dados, e deixar de divulgar pode resultar em responsabilidade criminal. Mesmo que o seu servidor não esteja em tal estado, apenas o armazenamento de dados sobre pessoas localizadas em tal estado, onde a divulgação é necessária, pode criar o requisito de divulgação. Presumivelmente, se seus servidores foram comprometidos, pode-se argumentar que ocorreu uma violação de dados.

Eu ficaria mais preocupado com responsabilidade civil. Qualquer um pode processar qualquer outra pessoa por qualquer coisa a qualquer momento.

    

Answer 2

Existem duas perguntas separadas: "posso ser preso?" e "posso ser processado?"

Evan cobriu o ficando preso parte, e nos deu algumas risadas como um bônus!

Quanto a ser processado ... Eu posso dar alguma orientação para aqueles de nós nos EUA .

Aqui nos EUA, você pode ser processado por qualquer pessoa; as perguntas são se o processo sobreviverá à revisão inicial e se você perderá. Esta é uma questão muito complicada devido à variedade de diferentes circunstâncias possíveis. Em geral, você está seguro se estiver fazendo seu trabalho, desde que seja legal, mesmo que você o faça mal. Em geral, você não está seguro se estiver agindo fora de suas obrigações profissionais, não seguindo a lei ou agindo com malícia.

De um modo geral , se você é funcionário de uma empresa, a lei especifica que a empresa deve ser responsabilizada por suas ações como agente, mas na maioria das circunstâncias não pode ser responsabilizada individualmente. Então a empresa pode ser processada e pode perder; o pior que você pode ter é demitido.

O take away ... se você não for um funcionário legítimo de um negócio legítimo e legítimo, certifique-se de ter pelo menos um contrato bare-bones no lugar que esclarece sua responsabilidade. E se você não estiver confortável com a incerteza, consulte um advogado.

Além disso, provavelmente vale a pena obter algum "erro e omissão" ou seguro de responsabilidade geral também, especialmente se você tiver algum ativo de valor (como uma casa).

    

Answer 3

Falando para o Reino Unido, qualquer responsabilidade decorrente de um site hackeado recairia sobre a empresa que opera esse site (se é que volta) e não para os indivíduos dentro dessa empresa. Para a maioria das empresas, isso significa que seus diretores têm suas responsabilidades na linha.

O que seu chefe faz com você quando ele descobre, é outra questão e depende do seu contrato de trabalho.

    

Answer 4

Sim.

Atualmente, trabalho em ambos os lados (tanto como host quanto como cliente de um host), e eu certamente responsabilizaria a mim e meu contratante no caso de perdas financeiras significativas.

Em última análise, isso depende do contrato que foi assinado / acordado. No nosso caso, seria uma quebra de confiança absoluta, que ultrapassa os contratos.