Politika dwar ir-Rekwiżiti tas-Sigurtà tal-Applikazzjonijiet

Il-Politika dwar ir-Rekwiżiti tas-Sigurtà tal-Applikazzjonijiet (P25) tipprovdi mandat organizzattiv komprensiv biex jiġu inkorporati kontrolli robusti tas-sigurtà f’kull stadju taċ-ċiklu tal-ħajja tal-applikazzjoni. L-għan primarju tagħha huwa li tinforza rekwiżiti obbligatorji tas-sigurtà fil-livell tal-applikazzjoni għas-softwer kollu żviluppat, akkwistat, integrat, jew imqiegħed fis-servizz mill-organizzazzjoni. Il-politika tapplika mhux biss għal soluzzjonijiet żviluppati internament iżda wkoll għal SaaS, għodod mibnija apposta, u għodod miksuba esternament. Din l-applikabbiltà wiesgħa tiżgura li kull assi teknoloġiku li jappoġġa operazzjonijiet tan-negozju kritiċi, aċċess tal-klijenti, jew ipproċessar ta’ dejta rregolata jkun protett skont prinċipji ta’ żvilupp sigur, rekwiżiti legali, u l-pożizzjoni tal-ġestjoni tar-riskju tal-organizzazzjoni. F’termini ta’ kamp ta’ applikazzjoni, il-politika tkopri applikazzjonijiet f’kull ambjent, inkluż żvilupp, ittestjar, staging, ambjent ta’ produzzjoni, u ambjent ta’ rkupru minn diżastri, irrispettivament minn jekk dawn humiex ospitati fuq il-post, f’ċentri tad-data privati, jew fil-cloud. Il-firxa tal-partijiet responsabbli hija wkoll komprensiva: mill-Uffiċjal Kap tas-Sigurtà tal-Informazzjoni (CISO), li għandu s-sjieda u jallinja l-politika mal-istrateġija tal-organizzazzjoni, sa responsabbli għas-sigurtà tal-applikazzjonijiet u maniġers DevSecOps responsabbli għad-definizzjoni u l-validazzjoni tal-kontrolli tas-sigurtà, kif ukoll żviluppaturi, inġiniera, sidien tal-prodott, timijiet tal-IT u tas-sigurtà, u fornituri terzi jew fornituri tas-softwer. Kull grupp irid jaderixxi mar-rekwiżiti, u b’hekk jiġi żgurat katina ta’ responsabbiltà u konformità. L-objettivi ewlenin tal-politika jinkludu d-definizzjoni ta’ rekwiżiti bażiċi tas-sigurtà funzjonali u mhux funzjonali; l-infurzar ta’ awtentikazzjoni sigura, awtorizzazzjoni, u mekkaniżmi ta’ kontroll tal-aċċess; l-integrazzjoni ta’ protezzjonijiet bħall-validazzjoni tal-input, l-ikkodifikar tal-output, u ġestjoni robusta tal-iżbalji u tas-sessjonijiet; u l-applikazzjoni ta’ skrutinju speċjali għas-sigurtà tal-APIs, komponenti ta’ partijiet terzi, u integrazzjonijiet esterni. Il-protezzjoni tad-data tiġi indirizzata permezz ta’ iċċifrar obbligatorju, klassifikazzjoni tad-dejta, u protokolli definiti ta’ żamma, b’projbizzjoni stretta fuq kredenzjali mhux iċċifrati jew dejta sensittiva. Il-politika tippreskrivi wkoll ittestjar regolari tas-sigurtà, inkluż analiżi statika u dinamika, reviżjoni tal-kodiċi, ittestjar ta’ penetrazzjoni, u monitoraġġ kontinwu, biex tipprovdi skoperta bikrija u mitigazzjoni ta’ vulnerabbiltajiet. Jiġi speċifikat qafas ta’ governanza b’saħħtu, li jeħtieġ validazzjoni tas-sigurtà dokumentata fl-istadju tal-ippjanar jew tal-akkwist għall-applikazzjonijiet ġodda kollha, inklużjoni tar-rekwiżiti fil-kuntratti u ftehimiet dwar il-livell tas-servizz (SLAs), u mmaniġġjar tal-eċċezzjonijiet ibbażat fuq ir-riskju b’mod strutturat. L-użu ta’ teknoloġiji siguri (inkluż SAST, DAST, IAST, u SCA), ittestjar annwali ta’ penetrazzjoni għal applikazzjonijiet b’riskju għoli, u RASP jew WAF kif iġġustifikat mir-riskju, huwa obbligatorju. Kwalunkwe eċċezzjoni trid tintalab formalment b’analiżi tar-riskju, kontrolli kumpensatorji, pjan ta’ rimedju, u dokumentazzjoni sħiħa. Nuqqas ta’ konformità jew ċirkomvenzjoni tal-kontrolli jista’ jwassal għat-tneħħija tal-applikazzjonijiet, sospensjoni tal-aċċess, jew eskalazzjoni lejn riżorsi umani, legali u konformità, jew ġestjoni tal-fornituri. Il-politika tiġi riveduta mill-inqas kull sena jew b’reazzjoni għal inċidenti tas-sigurtà, bidliet regolatorji, jew bidliet kbar fil-prattiki ta’ żvilupp sigur, u r-reviżjonijiet kollha huma soġġetti għal sistemi ta’ kontroll tal-verżjoni u distribuzzjoni lit-timijiet rilevanti. Fl-aħħar nett, id-dokument huwa mmappjat b’attenzjoni ma’ sett ta’ politiki relatati, bħall-Politika tas-Sigurtà tal-Informazzjoni, Politika dwar il-Kontroll tal-Aċċess, Politika tal-Ġestjoni tat-Tibdil, politiki dwar il-protezzjoni tad-data, żvilupp sigur, u Politika ta’ Rispons għall-Inċidenti (P30), biex jiġi żgurat approċċ f’saffi u konsistenti għar-riskju u l-konformità tal-intrapriża.