security - 您在非以 Web 为中心的应用程序的安全性上花费(或应该花费)多少精力？

Question

假设您正在开发的应用程序是专门为客户设计的，以满足特定的“内部”需求，例如工资单信息的数据处理。此应用程序不会公开分发，只会驻留在内部网络上。 (理论上，内部网络应该保持 100% 安全。)在这种情况下，开发人员应该在 IA 上花费多少精力？假设数据库是 SQL，您会担心在这种情况下防止 SQL 注入(inject)攻击吗？

我很想听听那些从事非以网络为中心的开发人员的反馈(我现在想不出更好的术语，尽管非以网络为中心并不完全正确。它更像是非分布式或非公开或类似的东西这些行。)键入程序以及它们在安全性方面付出了多少努力。

作为附录，您如何证明对经理类型的这种需求是合理的？

我目前正在对 IA 进行“内部”软件开发的必要性进行案例研究，因此任何答案都将不胜感激。

Answer 1

我会对此应用“可能发生的最糟糕的事情”原则。如果这意味着个人信息可能被泄露和/或可能对公司采取法律行动，您应该采取最适当的行动来保护应用程序。