Skip to main content

8.26 Wymagania bezpieczeństwa aplikacji

Rodzaj kontroli: Informacja
Właściwości bezpieczeństwa: Prewencyjne, Poufność, Integralność, Dostępność
Koncepcje cyberbezpieczeństwa: Ochrona, Bezpieczeństwo aplikacji, Bezpieczeństwo systemów i sieci
Obszary operacyjne: Ochrona

Kontrola​

Wymagania dotyczące bezpieczeństwa informacji powinny być zidentyfikowane, określone i zatwierdzone podczas rozwoju lub pozyskiwania aplikacji.

Cel​

Zapewnienie, że wszystkie wymagania dotyczące bezpieczeństwa informacji są zidentyfikowane i uwzględnione podczas rozwoju lub pozyskiwania aplikacji.

Wytyczne​

Ogólne
Wymagania bezpieczeństwa aplikacji powinny być zidentyfikowane i określone. Wymagania te zazwyczaj określane są na podstawie oceny ryzyka. Powinny być one opracowywane z pomocą specjalistów ds. bezpieczeństwa informacji.

Wymagania bezpieczeństwa aplikacji mogą obejmować szeroki zakres tematów, zależnie od celu aplikacji.

Wymagania bezpieczeństwa aplikacji powinny obejmować, jeśli dotyczy:

  • Poziom zaufania do tożsamości podmiotów – np. przez uwierzytelnianie (patrz 5.17, 8.2 i 8.5).
  • Określenie rodzaju informacji i poziomu klasyfikacji, które aplikacja będzie przetwarzać.
  • Potrzeba segregacji dostępu i poziomu dostępu do danych i funkcji aplikacji.
  • Odporność na ataki złośliwe lub przypadkowe zakłócenia (np. ochrona przed przepełnieniem bufora lub wstrzykiwaniem SQL).
  • Wymagania prawne, statutowe i regulacyjne w jurysdykcji, w której transakcja jest generowana, przetwarzana, zakończona lub przechowywana.
  • Potrzeba prywatności związanej ze wszystkimi stronami zaangażowanymi.
  • Wymagania ochrony wszelkich informacji poufnych.
  • Ochrona danych podczas przetwarzania, w transmisji i w spoczynku.
  • Bezpieczne szyfrowanie komunikacji między wszystkimi stronami zaangażowanymi.
  • Kontrole wejścia, w tym sprawdzanie integralności i walidację wejść.
  • Automatyczne kontrole (np. limity zatwierdzeń lub podwójne zatwierdzenia).
  • Kontrole wyjścia, również uwzględniające dostęp do wyników i ich autoryzację.
  • Ograniczenia dotyczące treści pól "tekstowych", ponieważ mogą one prowadzić do niekontrolowanego przechowywania danych poufnych (np. danych osobowych).
  • Wymagania wynikające z procesów biznesowych, takie jak logowanie transakcji i monitorowanie, wymagania dotyczące niezaprzeczalności.
  • Wymagania wynikające z innych kontrol bezpieczeństwa (np. interfejsy do systemów logowania i monitorowania lub wykrywania wycieków danych).
  • Obsługa komunikatów o błędach.

Usługi transakcyjne
Dodatkowo, dla aplikacji oferujących usługi transakcyjne między organizacją a partnerem, należy rozważyć następujące wymagania dotyczące bezpieczeństwa informacji:

  • Poziom zaufania, który każda ze stron wymaga w odniesieniu do tożsamości drugiej strony.
  • Poziom zaufania wymagany dla integralności informacji wymienianych lub przetwarzanych oraz mechanizmy identyfikacji braku integralności (np. suma kontrolna, skróty, podpisy cyfrowe).
  • Procesy autoryzacji, kto może zatwierdzać treść, wystawiać lub podpisywać kluczowe dokumenty transakcyjne.
  • Poufność, integralność, dowód wysyłki i odbioru kluczowych dokumentów oraz ich niezaprzeczalność (np. umowy związane z procesami przetargowymi i umowami).
  • Poufność i integralność transakcji (np. zamówienia, dane adresowe, potwierdzenie odbioru).
  • Wymagania dotyczące czasu przechowywania transakcji w poufności.
  • Wymagania dotyczące ubezpieczeń i innych wymagań kontraktowych.

Aplikacje do zamówień i płatności elektronicznych
Dodatkowo, dla aplikacji zajmujących się zamówieniami i płatnościami elektronicznymi, należy uwzględnić:

  • Wymagania dotyczące utrzymania poufności i integralności informacji o zamówieniach.
  • Stopień weryfikacji, jaki jest odpowiedni do weryfikacji informacji o płatności dostarczonych przez klienta.
  • Unikanie utraty lub duplikacji informacji o transakcjach.
  • Przechowywanie szczegółów transakcji poza wszelkimi publicznie dostępnymi środowiskami (np. na platformie magazynowej istniejącej w intranecie organizacji, a nie przechowywanej i wystawionej na dostęp elektroniczny z internetu).
  • Bezpieczeństwo całego procesu zarządzania certyfikatami cyfrowymi lub podpisami.

Wiele z powyższych wymagań można zrealizować za pomocą kryptografii (patrz 8.24), uwzględniając wymagania prawne (patrz 5.31 do 5.36, szczególnie 5.31 w zakresie legislacji kryptograficznej).

Inne informacje​

Aplikacje dostępne przez sieci są narażone na szereg zagrożeń związanych z siecią, takich jak oszustwa, spory kontraktowe czy ujawnienie informacji publicznie; niekompletna transmisja, błędne przekierowanie, nieautoryzowane zmiany wiadomości, duplikowanie lub ponowne przesyłanie. Dlatego szczegółowe oceny ryzyka i staranne określenie kontroli są niezbędne. Wymagane kontrole często obejmują metody kryptograficzne do uwierzytelniania i zabezpieczania transferu danych.

Więcej informacji na temat bezpieczeństwa aplikacji można znaleźć w serii ISO/IEC 27034.