Sovellustietoturvavaatimusten politiikka

Sovellustietoturvavaatimusten politiikka (P25) tarjoaa kattavan organisaatiotason mandaatin vahvojen tietoturvakontrollien sisällyttämiseksi sovellusten elinkaaren jokaiseen vaiheeseen. Sen ensisijainen tarkoitus on pakottaa pakolliset sovelluskerroksen tietoturvavaatimukset kaikille ohjelmistoille, jotka organisaatio kehittää, hankkii, integroi tai ottaa käyttöön. Politiikka soveltuu paitsi sisäisesti kehitettyihin ratkaisuihin myös SaaS-, räätälöityihin ja ulkoisesti hankittuihin työkaluihin. Tämä laaja soveltamisala varmistaa, että jokainen teknologinen omaisuuserä, joka tukee kriittisiä liiketoimintatoimintoja, asiakaspääsyä tai sääntelyn alaista tietojen käsittelyä, suojataan turvallisen kehittämisen periaatteiden, lakisääteisten vaatimusten ja organisaation riskiaseman mukaisesti. Soveltamisalan osalta politiikka kattaa sovellukset kaikissa ympäristöissä, mukaan lukien kehitys-, testaus-, staging-, tuotantoympäristö- ja katastrofipalautusympäristöt, riippumatta siitä, isännöidäänkö ne omissa tiloissa, yksityisissä konesaleissa vai pilviympäristössä. Vastuutahojen kirjo on myös kattava: tietoturvajohtaja (CISO), joka omistaa politiikan ja yhdenmukaistaa sen organisaation strategian kanssa, sovellustietoturvavastaaviin ja DevSecOps-päälliköihin, jotka vastaavat tietoturvakontrollien määrittelystä ja hallintakeinojen validointitoimista, sekä kehittäjiin, insinööreihin, tuoteomistajiin, IT-toiminnot-tiimeihin ja kolmannen osapuolen toimittajiin tai ohjelmistotoimittajiin. Jokaisen ryhmän on noudatettava vaatimuksia, mikä varmistaa vastuun ja vaatimustenmukaisuuden ketjun. Politiikan keskeisiä tavoitteita ovat perustason toiminnallisten ja ei-toiminnallisten tietoturvavaatimusten määrittely; turvallisten todennus-, valtuutus- ja pääsynhallintamekanismien pakottaminen; suojausten, kuten syötteen validoinnin, tulosteen koodauksen sekä vahvan virhe- ja istunnonhallinnan, integrointi; sekä erityinen tarkastelu ohjelmointirajapintojen tietoturvaan, kolmannen osapuolen komponentteihin ja ulkoisiin integraatioihin. Tietosuoja käsitellään pakollisen salauksen, tietojen luokittelun ja määriteltyjen säilytysprotokollien kautta, ja salaamattomien todennustietojen tai arkaluonteisten tietojen käyttö on ehdottomasti kielletty. Politiikka määrää myös säännöllisen tietoturvatestaustoiminnan, mukaan lukien staattisen ja dynaamisen analyysin, koodikatselmoinnin, penetraatiotestauksen ja jatkuvan seurannan, jotta haavoittuvuuksien varhainen havaitseminen ja lieventäminen varmistetaan. Vahva hallintomalli on määritelty: se edellyttää dokumentoitua tietoturvan validointia suunnittelu- tai hankintavaiheessa kaikille uusille sovelluksille, vaatimusten sisällyttämistä sopimuksiin ja palvelutasosopimusten (SLA) ehtoihin sekä jäsenneltyä riskiperusteista poikkeusten käsittelymenettelyä. Turvallisten teknologioiden (mukaan lukien SAST, DAST, IAST ja SCA) käyttö, vuosittainen penetraatiotestaus korkean riskin sovelluksille sekä RASP:n tai WAF:n käyttö riskiperusteisesti on pakollista. Kaikki poikkeukset on pyydettävä muodollisesti riskianalyysin, kompensoivien hallintakeinojen, korjaussuunnitelman ja täydellisen dokumentaation kanssa. Vaatimustenvastaisuus tai kontrollien kiertäminen voi johtaa sovellusten poistamiseen, pääsyn keskeyttämiseen tai eskalointiin henkilöstöhallinto-, laki- ja vaatimustenmukaisuus- tai toimittajahallintatoimintoihin. Politiikka katselmoidaan vähintään vuosittain tai vastauksena tietoturvapoikkeamiin, sääntelymuutoksiin tai merkittäviin muutoksiin kehityskäytännöissä, ja kaikki versiot ovat versionhallinnan ja jakelun piirissä asiaankuuluville tiimeille. Lopuksi asiakirja on huolellisesti kartoitettu joukkoon siihen liittyviä politiikkoja, kuten tietoturvapolitiikka, pääsynhallintapolitiikka, muutoksenhallintapolitiikka, tietosuoja, turvallinen kehittäminen ja tietoturvapoikkeamiin reagointi, mikä varmistaa kerroksellisen ja johdonmukaisen lähestymistavan yritystason riskiin ja vaatimustenmukaisuuteen.