Alkalmazásbiztonsági követelmények szabályzat

Az Alkalmazásbiztonsági követelmények szabályzat (P25) átfogó szervezeti felhatalmazást ad arra, hogy robusztus biztonsági kontrollok beépüljenek az alkalmazás-életciklus minden szakaszába. Elsődleges célja, hogy kötelező alkalmazásréteg-biztonsági követelményeket érvényesítsen minden olyan szoftverre, amelyet a szervezet fejleszt, beszerez, integrál vagy telepít. A szabályzat nemcsak a belső fejlesztésű megoldásokra, hanem a SaaS-, az egyedileg fejlesztett és a külső forrásból származó eszközökre is vonatkozik. Ez a széles körű alkalmazhatóság biztosítja, hogy minden olyan technológiai eszköz, amely kritikus üzleti folyamatokat, ügyfél-hozzáférést vagy szabályozott adat feldolgozását támogatja, védett legyen a biztonságos fejlesztés elvei, a jogi követelmények és a szervezet kockázati pozíciója szerint. A hatókör az alkalmazásokat minden környezetben lefedi, beleértve a fejlesztési, tesztelési, staging-, éles környezetet és vészhelyzeti helyreállítási környezet területeit, függetlenül attól, hogy ezek helyszíni, privát adatközpontokban vagy a felhőben üzemelnek. A felelős szereplők köre szintén átfogó: az információbiztonsági vezető (CISO) szerepétől, aki a szabályzat gazdája és a szervezeti stratégiához igazítja, az alkalmazásbiztonsági vezetőkön és DevSecOps-menedzsereken át, akik a biztonsági kontrollok meghatározásáért és kontrollvalidálásáért felelnek, egészen a fejlesztőkig, mérnökökig, terméktulajdonosokig, informatikai üzemeltetési csapatokig, valamint a harmadik fél beszállítókig vagy szoftverszállítókig. Minden csoportnak be kell tartania a követelményeket, biztosítva az elszámoltathatóság és a megfelelés láncolatát. A szabályzat fő célkitűzései közé tartozik az alapvonal funkcionális és nem funkcionális biztonsági követelmények meghatározása; a biztonságos hitelesítés, jogosultságkezelés és hozzáférés-ellenőrzési mechanizmusok érvényesítése; olyan védelmek integrálása, mint a bemeneti validálás, kimeneti kódolás, valamint a robusztus hibakezelés és munkamenet-kezelés; továbbá az API-biztonság, a harmadik féltől származó komponensek és a külső integrációk fokozott vizsgálata. Az adatvédelem kötelező titkosítással, adatosztályozással és meghatározott adatmegőrzési protokollokkal kerül kezelésre, szigorú tiltással a titkosítatlan hitelesítő adatok vagy érzékeny adatok használatára. A szabályzat rendszeres biztonsági tesztelést is előír, beleértve a statikus és dinamikus elemzést, kód-felülvizsgálatot, penetrációs tesztelést és folyamatos megfelelés-monitorozást, a sérülékenységek korai észlelése és mérséklése érdekében. Erős irányítási keretrendszert határoz meg, amely dokumentált biztonsági validálást követel meg a tervezési vagy beszerzési szakaszban minden új alkalmazás esetében, a követelmények szerződésekbe és szolgáltatási szintű megállapodásokba (SLA-k) való beépítését, valamint strukturált, kockázatalapú kivételkezelést. Kötelező a biztonságos technológiák használata (beleértve a SAST, DAST, IAST és SCA megoldásokat), a magas kockázatú alkalmazások éves penetrációs tesztelése, valamint kockázat alapján indokolt RASP vagy WAF alkalmazása. Bármely kivételt formálisan kell kérelmezni kockázatelemzéssel, kompenzáló kontrollokkal, korrekciós intézkedési tervvel és teljes dokumentációval. A meg nem felelés vagy a kontrollok megkerülése az alkalmazások eltávolítását, a hozzáférés felfüggesztését, vagy eszkalációt eredményezhet az emberi erőforrások, a jogi és megfelelőségi, vagy a beszállítói kockázatkezelés felé. A szabályzatot legalább évente, illetve információbiztonsági incidens, szabályozási változások vagy a fejlesztési gyakorlatok jelentős módosulása esetén felül kell vizsgálni, és minden módosítás verziókezelés alá esik, valamint terjesztésre kerül az érintett csapatok számára. Végül a dokumentum gondosan össze van rendelve a kapcsolódó szabályzatokkal, például a P01 Információbiztonsági szabályzattal, a hozzáférés-vezérlési szabályzattal, a P05 Változáskezelési szabályzattal, az adatvédelmi szabályzatokkal, a biztonságos fejlesztéssel és az incidenskezelési szabályzat területeivel, biztosítva a rétegzett és következetes megközelítést a vállalati kockázat és megfelelés kezelésében.