我们是一家只有少数员工的小公司。我们的非技术 COO 要求我们为他设置一个生产数据库的副本，以便他使用像 Chartio 这样的服务，因为我们的（不可否认的）管理仪表板不能满足他的需求。
COO 想使用朋友（承包商）帮助将 Chartio 服务与我们的数据库集成。
我们所有的密码都经过加密，但电子邮件和姓名以明文形式存储。我们通过第 3 方提供商处理付款流程，因此我们不会存储除交易总额外的任何敏感财务信息。
这是个坏主意，还是我过于谨慎了？
PS：我们将自己设置数据库服务器，因此我们可以控制防火墙等。
最后，公司董事代表公司做出“大局”决定，所以我不认为我会准备好拒绝做一些不明智的事情（尽管我不会做一些我认为是非法的事情——在许多司法管辖区，“服从上级命令”并不能保护你免受违法后果）。
如果是我，我希望他以书面形式指示我将副本交给他，并且最好在该指示中确认他知道我对该数据库离开公司的担忧，但仍指示我继续进行。
记录您正在做的事情并创建副本。如果您没有暴露非常机密的数据（电子邮件不完全是），那么就没有真正的危害。但是，文件！这样，如果确实发生了某些事情（在这里愤世嫉俗），您就会受到保护。
主观问题，但我说坏主意，主要原因是：您正在解决症状而不是问题。当 Chartio 不再满足他的需求时会发生什么？然后是下一件大事，你的数据库的另一个副本是公开的。
真正的问题是数据库报告解决方案。你没有提到你使用的是什么数据库，但是假设像 MySQL 这样的东西然后为 chartio 付费有点违背了我觉得使用免费数据库的目的。如果您为 Chartio 付费，那么您也可以为 MSSQL 付费并获得出色的报告。我敢肯定，那里有用于 MySQL 报告的不错的免费解决方案，尽管我不知道有没有现成的解决方案。
我同意以书面形式提出问题并表达担忧的答案（尤其是如果您是 IT 安全人员），但我觉得这将为首席运营官（可能还有其他大人物）口述 IT 政策开创先例. 只是想一想，这个 Chartio 的预算是谁的……？
更新
最后，设置生产数据库的“副本”真的不是最好的事情，因为它是副本并且永远不会是实时的（我认为你的意思是文字副本而不是集群/复制）。