RevHarris
@RevHarris
Шо то, шо это

Как защитить код от воровства в крупной компании?

Добрый день.

Каким образом возможно защитить исходный код и ресурсы проекта в крупной компании? Например, есть компания 100+ человек, из них 80% работают с исходным кодом. Проект коммерческий, код закрыт, есть свои уникальные разработки, над одним участком кода может работать до 3 человек. Каким образом можно избежать слива кода и ресурсов в интернет? Как это делают в Google, Microsoft, Yandex и прочих?
  • Вопрос задан
  • 5333 просмотра
Решения вопроса 2
sayber
@sayber
Да, я программирую на PHP и еще асинхронно!
Полную (или почти) защиту вы можете реализовать по принципу банковских "теневых" серверов.
Похожую систему безопасности описал Сергей

Когда я работал в Х банке, мы спускались на лифте в офис разработки, там проходишь рамки, отдаешь мобильники и др. электронику. Выдают офисную рацию для связи.
Каждый комп находится в таком положении, что при желании др. человек не увидит чем вы занимаетесь.
В системниках есть только один usb (и то не везде), который имеет физическую защиту. Служит для банковских ключей. Периферия подключена ps/2.
Вся локальная сеть не имеет доступа во внешний мир.
Код выкладывается на боевую систему через сервер-шлюз. Т.е. данные из рабочей сети выкладываются на шлюз, локальная сеть отрубается а далее уже на продакшен.
Шлюз защищен вероятно хорошо, но этого я уже не знаю.

Так же на столе стоит камера- блок. Когда вы отходите от нее (от компа), система блокируется и просит ввести логин/пароль.

Вот такая система безопасности была на старой работе. Может там и еще что то было, но я этого не знаю.
Ответ написан
martin74ua
@martin74ua
Linux administrator
Примерно на 90% это административный, организационный и юридический вопрос. Техническая часть тут не самое главное.
Правильно организуйте работу. И сделайте так, чтобы вашим сотрудникам было невыгодно "сливать" код на сторону.
Ответ написан
Пригласить эксперта
Ответы на вопрос 7
edinorog
@edinorog
Троллей не кормить!
Физически изъять порты из системников. Никаких вай-фай и блютуз. Камеры к каждом кабинете. Полное логирование набора на компе. Изъятие мобильных на проходной. Только корпоративный внутренний почтовик. Выкрученные на максимум политики безопасности. Мыш и Клава кругляшами втыкаются. Системники опечатанные замками. С пломбами. Сервер кода выбирается индивидуально. Но с четкими правами на объём и доступ. Сетевые провода с замками на обеих концах. Глушилка мобильной связи и анализатор частот круглосуточно. Досмотр на входе. Начальник охраны с мордой как будто пил 2 года подряд. Желательно слегка больной на голову. Его ж потом не посадят ... у него справка есть)

Это на разминку. Можно внедрить терминалы. Сеть однозначно изолированная от внешки. На должность берутся штатный наблюдатель с камер и плюс ещё один ведущий специалист по безопасности. Попытка экономить на любом этапе ... обнуляет все вышеперечисленное.
Ответ написан
index0h
@index0h
PHP, Golang. https://github.com/index0h
Просто код - ничего не стоит. Ценность имеет только то, как и что он делает. Это важно понимать.
У многих программистов дома хранятся копии проектов, в которых они участвуют, или участвовали раньше. Чаще всего их используют как набор сниппетов. Например в одном проекте был удобный класс для коллекций, в другом хорошо спроектировано несколько таблиц, в третьем - большой список исключений на любой чих и пук... Сам же проект "скомуниздить" - смысла, как правило, нет так как это не только код, это еще и целая экосистема и куча народу, которая ее обслуживает.

Что касается передачи кода третьим лицам - это уже юридический и административный вопрос, NDA всякие и т.д.

ИБ можно обмазываться до самого не балуйся, и это надо делать, но нужно соблюдать разумные границы.

Знакомые как-то отзывались о проекте, где вся разработка велась на серверах в США по rdp, большинство решало задачи "на оте**сь" не потому, что вот подлецы такие, а потому, что отклик нажатия клавиши 5-15 сек. Проект закрыли через какое-то время, слишком долго, дорого и некачественно.
Ответ написан
Комментировать
mace-ftl
@mace-ftl
Правильный ответ - нанять специалиста, в гугл-яндекс так и делают.

А если по теме - ввести режим коммерческой тайны, подписать нужные документы с работниками об ответсвенности, поставить грифы на необходимые ресурсы и т.п. И уже в последнюю очередь - закрыть порты USB и вот это всё и поставить на мониторинг
Ответ написан
Rou1997
@Rou1997
1. Разделить ответственность, если кто "сольет" то только свой "кусок", но для этого понадобится увеличить модульность, а еще такое приводит к узкому кругозору, хотя перечисленным фирмам таке и нужно, Google особенно.
2. Технически доступ ограничить, типа "режима киоска", чтобы единственным способом вынести код было его запоминание, или авторучкой на бумаге.
3. И самое правильное... Мотивация!
Ответ написан
@McBernar
Насколько я знаю, в том же Яндексе над поиском работают по очень простой схеме — полную картину проекта и полный доступ имеют всего несколько человек, остальные работают над своей частью системы и понятия не имеют — что делают другие. Да, кто-то может слить свою часть работы. Но будет ли она полезна хоть кому-то в таком виде?
Ответ написан
Комментировать
@private_tm
JAVA dev
NDA + работать только за персональным компьютером или ноутом компании + разграничения доступа + лог доступов.
Ответ написан
Комментировать
32bit_me
@32bit_me
Программист, встраиваемые системы
Только NDA. Сам по себе код ничего не стоит, программист сможет хранить его у себя, но не сможет передать кому-то или выложить в открытый доступ.
Ответ написан
Комментировать
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации
Похожие вопросы