Politika zahtjeva za sigurnost aplikacija

Politika zahtjeva za sigurnost aplikacija (P25) pruža sveobuhvatan organizacijski mandat za ugradnju robusnih sigurnosnih kontrola u svaku fazu životnog ciklusa aplikacije. Njezina je primarna svrha provoditi obvezne zahtjeve sigurnosti na razini aplikacijskog sloja za sav softver koji organizacija razvija, nabavlja, integrira ili uvodi. Politika se ne primjenjuje samo na interno razvijena rješenja, već i na SaaS, prilagođene alate i eksterno nabavljene alate. Ova široka primjenjivost osigurava da je svaka tehnološka imovina koja podržava kritične poslovne operacije, pristup korisnika ili obradu reguliranih podataka zaštićena u skladu s načelima sigurnog razvoja, pravnim zahtjevima i profilom rizika organizacije. U pogledu opsega, politika obuhvaća aplikacije u svim okruženjima, uključujući razvoj, testiranje, staging, produkcijsko okruženje i okruženje za oporavak od katastrofe, neovisno o tome jesu li hostirane u vlastitim prostorijama, u privatnim podatkovnim centrima ili u oblaku. Raspon odgovornih strana također je sveobuhvatan: od glavnog službenika za informacijsku sigurnost (CISO), koji je vlasnik politike i usklađuje je sa strategijom organizacije, preko voditelja sigurnosti aplikacija i DevSecOps voditelja odgovornih za definiranje i validaciju kontrola, do razvijatelja, inženjera, vlasnika proizvoda, timova IT operacija te dobavljača trećih strana ili dobavljača softvera. Svaka skupina mora se pridržavati zahtjeva, osiguravajući lanac odgovornosti i usklađenosti. Ključni ciljevi politike uključuju definiranje polaznih funkcionalnih i nefunkcionalnih sigurnosnih zahtjeva; provedbu autentifikacije, autorizacije i mehanizama kontrola pristupa; integraciju zaštita kao što su validacija unosa, kodiranje izlaza te robusno upravljanje pogreškama i sesijama; i primjenu posebne pažnje na sigurnost sučelja za programiranje aplikacija, komponente trećih strana i vanjske integracije. Zaštita podataka obrađuje se kroz obvezno šifriranje, klasifikaciju i definirane protokole zadržavanja, uz strogu zabranu nešifriranih vjerodajnica ili osjetljivih podataka. Politika također propisuje redovito sigurnosno testiranje, uključujući statičku i dinamičku analizu, pregled koda, penetracijsko testiranje i kontinuirano praćenje usklađenosti, kako bi se omogućilo rano otkrivanje i ublažavanje ranjivosti. Naveden je snažan okvir upravljanja, koji zahtijeva dokumentiranu sigurnosnu validaciju u fazi planiranja ili nabave za sve nove aplikacije, uključivanje zahtjeva u ugovore i sporazume o razini usluge (SLA) te strukturirano postupanje s iznimkama temeljeno na riziku. Obvezna je uporaba sigurnih tehnologija (uključujući SAST, DAST, IAST i SCA), godišnje pen-testiranje za aplikacije visokog rizika te RASP ili WAF kada je opravdano rizikom. Sve iznimke moraju biti formalno zatražene uz analizu rizika, kompenzacijske kontrole, plan korektivnih radnji i potpunu dokumentaciju. Neusklađenost ili zaobilaženje kontrola može rezultirati uklanjanjem aplikacija, obustavom pristupa ili eskalacijom prema ljudskim resursima (HR), pravnim poslovima i usklađenosti ili upravljanju rizikom dobavljača. Politika se preispituje najmanje jednom godišnje ili kao odgovor na incident informacijske sigurnosti, regulatorne promjene ili velike promjene u praksama razvoja, a sve revizije podliježu sustavima za upravljanje verzijama i distribuciji relevantnim timovima. Konačno, dokument je pažljivo mapiran na skup povezanih politika, kao što su politika informacijske sigurnosti, Politika kontrole pristupa, Politika upravljanja promjenama, Politike zaštite podataka, siguran razvoj i Politika odgovora na incidente (P30), osiguravajući slojevit i dosljedan pristup korporativnom riziku i usklađenosti.