小型团队的数据加密：毫不夸张的要点

每个初创公司创始人都听说过安全很重要。实际上，几乎每个创始人都会把这个话题推到后来。这个逻辑似乎很合理：我们规模小，用户少，谁会想攻击我们？首先我们成长，然后我们保护自己。

这个逻辑有问题。大多数攻击不会根据重要性来选择目标，而是根据难易程度来选择目标。保护不善的系统会被自动扫描，而没有人知道或关心公司的规模。当一个小团队遭受泄密时，损失将是毁灭性的：他们仍在建立的信任会立即消失。

小团队不需要银行安全操作来保护数据。你需要准备好必需品，而这些必需品适合那些人少、时间少的人的现实。这篇文章是关于做得足够、做得好，而不是迷失在你无法承受的复杂性中。

小团队的真正困境

紧张是真实的：你的人手很少，期限紧迫，还有一千个优先事项。花在安全上的每一个小时就等于没有花在产品上的一个小时。与新功能不同，安全性在发挥作用时不会带来掌声，只会在失败时避免灾难。

本文的论点是务实的：对于小团队来说，目标不是完美的安全性，而是消除导致绝大多数泄漏的基本错误。你不需要防御精英攻击者；您无需将门锁上。大多数门都是解锁的。

做好基本工作可以让小团队领先于许多大公司，因为这些大公司在不关注基础知识的情况下就积累了复杂性。

一切都采用 HTTPS。没有任何借口，它便宜、可自动化，并且解决了传输中的数据拦截问题。这是清单上回报最高、成本最低的项目。如果您的产品仍有任何无 HTTPS 的路径，请立即开始。

在任何情况下都不要以纯文本形式存储密码。使用 bcrypt、scrypt 或 Argon2。图书馆承担繁重的工作；你只需要使用它们而不是即兴发挥。这一预防措施可以防止银行泄露演变成用户凭证泄露，这是最糟糕的情况。

小团队使用的数据库和云服务已经提供静态加密，通常只需单击一下即可。通话费用几乎为零。当有人以不当方式访问存储时，不调用的成本就会出现。激活并继续。

API 密钥、银行密码、令牌，这些都不能包含在版本代码中。这是仓促团队中的常见错误，也是最常见的泄漏形式之一，因为存储库最终会暴露。使用环境变量或简单的秘密库。它不需要复杂，它需要存在。

小团队拥有大团队所没有的资产：简单性。您的系统很少，数据很少，端口也很少。这意味着保护一切都是可行的，而在一个庞大的组织中，攻击面太大而无法完全覆盖。

享受这个。做一个简单的清单：您保存哪些敏感数据以及保存在何处。对于小型团队来说，此列表只需一页即可。了解自己拥有什么，保护它就成功了一半。随着你的成长，了解你自己的整个系统是一种奢侈，你会失去它，所以在你拥有它的时候使用它。

第一个错误是“之后”。将安全推迟到增长，就是赌在公司最脆弱的时期不会发生任何事情。这是一个经常输掉的赌注。

第二个错误则相反：试图在规模较小的情况下保护一家大公司。购买昂贵的工具，设置繁重的流程，复制拥有一百名工程师的架构。这消耗了团队最稀缺的资源——注意力，却没有增加真正的保护。做好要点，而不是半途而废。

第三个错误是收集太多数据。您保留的敏感数据越少，需要保护的数据就越少，可能的泄漏造成的损害也就越小。在[LGPD0]的背景下，只收集必要的东西不仅更安全，而且是法律要求。对于小团队来说，工作量也更少。

对于小团队来说，安全就是利用有限的资源进行风险管理。您不会涵盖所有内容，因此请涵盖最有可能让您失望的内容。本文中的基本项目不是愿望清单，它们是您所面临的风险的底线，而您无需承担。

还有一个商业点。越来越多的客户、合作伙伴和投资者询问您如何管理他们的数据。尽早打好基础不仅仅是为了避免灾难，更是为了建立支持增长的信任基础。关爱声誉是初创企业低估的一项资产。

对于小团队来说，[密码学1]并不是一个雄心勃勃的项目，而是遵守纪律的基本卫生。加密通信、保护密码、打开静态密码以及从代码中提取秘密。任何团队都可以做到的四件事可以预防大多数灾难。

能很好地完成基本工作的小团队比迷失在自身复杂性中的大团队睡得更安稳。保持良好的简单性是一种安全形式。

如果您与精益团队一起运营一款产品，并意识到其中一个支柱尚未到位，那么值得优先考虑本周最紧急的支柱。博客上还有其他关于安全、[LGPD2´ 和数据保护的文章，专为那些时间不多、责任重大的人设计。