Lietojumprogrammu drošības prasību politika

Lietojumprogrammu drošības prasību politika (P25) nodrošina visaptverošu organizācijas mandātu, lai katrā lietojumprogrammas dzīves cikla posmā integrētu stingrus drošības kontroles pasākumus. Tās galvenais mērķis ir ieviest obligātās lietojumprogrammu slāņa drošības prasības visai programmatūrai, ko organizācija izstrādā, iegādājas, integrē vai izvieto. Politika attiecas ne tikai uz iekšēji izstrādātiem risinājumiem, bet arī uz SaaS, pielāgotiem un ārēji iegūtiem rīkiem. Šī plašā piemērojamība nodrošina, ka katrs tehnoloģiskais aktīvs, kas atbalsta kritiskus biznesa procesus, klientu piekļuvi vai reglamentētu datu apstrādi, tiek aizsargāts saskaņā ar drošas izstrādes principiem, juridiskajām prasībām un organizācijas riska stāvokli. Piemērošanas jomas ziņā politika aptver lietojumprogrammas visās vidēs, tostarp izstrādes, testēšanas, staging, ražošanas vidē un avārijas atjaunošanas vidē, neatkarīgi no tā, vai tās ir izvietotas uz vietas, privātos datu centros vai mākonī. Atbildīgo pušu loks ir arī visaptverošs: no galvenā informācijas drošības vadītāja (CISO), kurš ir politikas īpašnieks un saskaņo to ar organizācijas stratēģiju, līdz lietojumprogrammu drošības vadītājiem un DevSecOps vadītājiem, kas atbild par drošības kontroles pasākumu definēšanu un kontroles validāciju, kā arī izstrādātājiem, inženieriem, produktu īpašniekiem, operāciju komandām un trešo pušu piegādātājiem vai programmatūras piegādātājiem. Katrai grupai ir jāievēro prasības, nodrošinot pārskatatbildības un atbilstības ķēdi. Politikas galvenie mērķi ietver bāzlīnijas funkcionālo un nefunkcionālo drošības prasību definēšanu; drošas autentifikācijas, autorizācijas un piekļuves kontroles mehānismu ieviešanu; aizsardzības pasākumu integrēšanu, piemēram, ievades validāciju, izvades kodēšanu un stingru kļūdu un sesiju pārvaldību; kā arī īpašu uzmanību API drošībai, trešo pušu komponentēm un ārējām integrācijām. Datu aizsardzība tiek nodrošināta ar obligātu šifrēšanu, datu klasifikāciju un definētiem uzglabāšanas protokoliem, ar stingru aizliegumu izmantot nešifrētus autentifikācijas datus vai sensitīvus datus. Politika arī nosaka regulāru drošības testēšanu, tostarp statisko un dinamisko analīzi, koda pārskatīšanu, penetrācijas testēšanu un nepārtrauktu atbilstības uzraudzību, lai nodrošinātu savlaicīgu ievainojamību atklāšanu un riska mazināšanu. Tiek noteikts stingrs pārvaldības ietvars, kas prasa dokumentētu drošības validāciju plānošanas vai iepirkuma posmā visām jaunām lietojumprogrammām, prasību iekļaušanu līgumos un pakalpojumu līmeņa vienošanās (SLA), kā arī strukturētu uz risku balstītu izņēmumu apstrādi. Ir obligāta drošu tehnoloģiju izmantošana (tostarp SAST, DAST, IAST un SCA), ikgadēja pen testēšana augsta riska lietojumprogrammām, kā arī RASP vai WAF izmantošana, ja to pamato risks. Jebkuri izņēmumi ir formāli jāpieprasa, pievienojot riska analīzi, kompensējošās kontroles, trūkumu novēršanas plānu un pilnu dokumentāciju. Neatbilstība vai kontroles pasākumu apiešana var izraisīt lietojumprogrammu izņemšanu, piekļuves apturēšanu vai eskalāciju uz personālvadību, juridiskajām lietām un atbilstību vai piegādātāju pārvaldību. Politika tiek pārskatīta vismaz reizi gadā vai reaģējot uz drošības incidentiem, regulatīvajām izmaiņām vai būtiskām izmaiņām izstrādes praksēs, un visi grozījumi ir pakļauti versiju kontroles sistēmai un izplatīšanai attiecīgajām komandām. Visbeidzot, dokuments ir rūpīgi sasaistīts ar saistīto politiku kopumu, piemēram, P01 Informācijas drošības politika, Piekļuves kontroles politika, P05 Izmaiņu pārvaldības politika, Datu aizsardzības politikas, drošas izstrādes un Incidentu reaģēšanas politika (P30), nodrošinot slāņainu un konsekventu pieeju uzņēmuma riskam un atbilstībai.