Polityka wymagań bezpieczeństwa aplikacji

Polityka wymagań bezpieczeństwa aplikacji (P25) zapewnia kompleksowy mandat organizacyjny w zakresie osadzania solidnych środków kontrolnych bezpieczeństwa na każdym etapie cyklu życia aplikacji. Jej głównym celem jest wymuszenie obowiązkowych wymagań bezpieczeństwa na warstwie aplikacji dla całego oprogramowania rozwijanego, pozyskiwanego, integrowanego lub wdrażanego przez organizację. Polityka ma zastosowanie nie tylko do rozwiązań rozwijanych wewnętrznie, ale także do SaaS, narzędzi budowanych na zamówienie oraz pozyskiwanych z zewnątrz. Tak szerokie zastosowanie zapewnia, że każde aktywo technologiczne wspierające krytyczne operacje biznesowe, dostęp klientów lub przetwarzanie danych regulowanych jest chronione zgodnie z zasadami bezpiecznego rozwoju oprogramowania, wymogami prawnymi oraz profilem zarządzania ryzykiem organizacji. Zakresowo polityka obejmuje aplikacje we wszystkich środowiskach, w tym w środowisku rozwojowym, testowym, stagingowym, środowisku produkcyjnym oraz środowisku odtwarzania po awarii, niezależnie od tego, czy są hostowane w infrastrukturze lokalnej, w prywatnych centrach danych czy w chmurze obliczeniowej. Zakres stron odpowiedzialnych jest również kompleksowy: od Dyrektora ds. bezpieczeństwa informacji (CISO), który jest właścicielem polityki i dostosowuje ją do strategii organizacji, przez liderów bezpieczeństwa aplikacji i menedżerów DevSecOps odpowiedzialnych za definiowanie i walidację środków kontrolnych bezpieczeństwa, po programistów, inżynierów, właścicieli produktu, zespoły operacji IT oraz zewnętrznych dostawców lub dostawców oprogramowania. Każda grupa musi przestrzegać wymagań, zapewniając łańcuch rozliczalności i zgodności. Kluczowe cele polityki obejmują zdefiniowanie bazowych wymagań bezpieczeństwa funkcjonalnych i niefunkcjonalnych; wymuszenie bezpiecznych mechanizmów uwierzytelniania, autoryzacji i kontroli dostępu; integrację zabezpieczeń takich jak walidacja danych wejściowych, kodowanie danych wyjściowych oraz solidne zarządzanie błędami i sesjami; a także zastosowanie szczególnej kontroli w odniesieniu do bezpieczeństwa interfejsów API, komponentów stron trzecich i integracji zewnętrznych. Ochrona danych jest realizowana poprzez obowiązkowe szyfrowanie, klasyfikację danych oraz zdefiniowane protokoły retencji, przy ścisłym zakazie przechowywania niezaszyfrowanych danych uwierzytelniających lub danych wrażliwych. Polityka określa również regularne testy bezpieczeństwa, w tym analizę statyczną i dynamiczną, przegląd kodu, testy penetracyjne oraz ciągłe monitorowanie zgodności, aby zapewnić wczesne wykrywanie i ograniczanie podatności. Określono silne ramy zarządzania, wymagające udokumentowanej walidacji bezpieczeństwa na etapie planowania lub zakupów dla wszystkich nowych aplikacji, uwzględnienia wymagań w umowach i umowach o poziomie usług (SLA) oraz ustrukturyzowanej obsługi wyjątków opartej na ryzyku. Wymagane jest stosowanie bezpiecznych technologii (w tym SAST, DAST, IAST i SCA), corocznych testów penetracyjnych dla aplikacji wysokiego ryzyka oraz RASP lub WAF, jeśli jest to uzasadnione ryzykiem. Wszelkie odstępstwa muszą być formalnie wnioskowane wraz z analizą ryzyka, kontrolami kompensacyjnymi, planem działań naprawczych oraz pełną dokumentacją. Niezgodność lub omijanie środków kontrolnych może skutkować usunięciem aplikacji, zawieszeniem dostępu lub eskalacją do zasobów ludzkich (HR), prawa i zgodności lub zarządzania ryzykiem dostawcy. Polityka jest przeglądana co najmniej raz w roku lub w odpowiedzi na incydenty bezpieczeństwa informacji, zmiany regulacyjne lub istotne zmiany w praktykach rozwoju, a wszystkie rewizje podlegają kontroli wersji i dystrybucji do odpowiednich zespołów. Na koniec dokument jest starannie mapowany do zestawu powiązanych polityk, takich jak Polityka bezpieczeństwa informacji, Polityka kontroli dostępu, Polityka zarządzania zmianami, polityki ochrony danych, bezpieczny rozwój oprogramowania oraz Polityka reagowania na incydenty (P30), zapewniając warstwowe i spójne podejście do ryzyka i zgodności w skali przedsiębiorstwa.