Проверить чужой документ
Тестовые аккаунты разных организаций в согласованной среде.
Безопасность приложений
Продумываем доступы и риски до выхода приложения в работу.
Встраиваем практики безопасности в проектирование, разработку и сопровождение сайтов, сервисов и корпоративных приложений. Проверяем согласованный контур и переводим найденные риски в конкретные задачи для команды.
AGINEER / От границы доступа к проверенному исправлению
От границы доступа к проверенному исправлению
01Модель доступа
02Проверка сценариев
03Повторная проверка
Иллюстрация решения, не клиентский кейс.
Модель доступаПроверка сценариевПовторная проверка
ЗАДАЧА БИЗНЕСА
Безопасность приложений
Уязвимость может появиться на стыке ролей, API, зависимостей и настроек среды. Одного сканирования недостаточно, чтобы понять последствия для бизнеса. Требуется определить защищаемые данные, допустимые действия пользователя и способ проверки ограничений, а затем поддерживать эти правила при изменениях продукта.
Разобрать зависимости
Состав библиотек приложения и условия их использования.
Проверить устранение
Исправленная версия и исходный сценарий риска.
СЦЕНАРИИОт реальной задачи.
От реальной задачи.
К понятному действию.
Выберите ситуацию: покажем входные данные, результат и точку контроля.
ВХОДЯЩАЯ ЗАДАЧА
Тестовые аккаунты разных организаций в согласованной среде.
Демонстрационный пример.
ЧТО МЕНЯЕТСЯ
Результат проверки изоляции документов и воспроизводимое описание проблемы.
Проверка выполняется только в разрешённом контуре и объёме.
ВХОДЯЩАЯ ЗАДАЧА
Состав библиотек приложения и условия их использования.
Демонстрационный пример.
ЧТО МЕНЯЕТСЯ
Приоритетные задачи по актуальным для проекта рискам.
Специалист проверяет применимость находок до постановки исправления.
ВХОДЯЩАЯ ЗАДАЧА
Исправленная версия и исходный сценарий риска.
Демонстрационный пример.
ЧТО МЕНЯЕТСЯ
Подтверждение результата либо описание сохранившейся проблемы.
Владелец системы принимает остаточный риск и дальнейший план.
АРХИТЕКТУРА
Как работает связанная система.
Выберите компонент, чтобы увидеть его роль и ответственность.
Определены участники, чувствительные данные и переходы между компонентами.
СОСТАВ РЕШЕНИЯЧто проектируем.
Что проектируем.
Что связываем.
Состав работ уточняем на реальных сценариях, с учётом действующих систем и требований к данным.
Модель рисков
Разбираем назначение приложения, критичные данные и границы доверия. Описываем возможные нежелательные сценарии и приоритеты защиты. Выводы связываем с архитектурой и реальными последствиями, а не с абстрактным перечнем угроз.
Роли и доступы
Проектируем права на действия и данные, разделение организаций и работу привилегированных пользователей. Проверяем контроль доступа на серверной стороне. Продумываем выдачу, отзыв и периодический пересмотр прав.
Проверки разработки
Анализируем согласованные участки кода, зависимости и конфигурации. Добавляем подходящие проверки в процесс выпуска. Результаты рассматриваем вручную, чтобы отделить значимые проблемы от технического шума и ложных срабатываний.
Исправления и контроль
Приоритизируем замечания, описываем способы устранения и проверяем результат. Настраиваем необходимые события журнала без избыточной записи чувствительных данных. Подготавливаем правила для следующих изменений и работы с секретами.
РЕЗУЛЬТАТ ПРОЕКТА
Что получает ваша команда.
Результат поставки согласуем до реализации. Документация и проверяемые сценарии входят в обсуждение наравне с интерфейсом.
Описание границ проверки и модели основных рисков.
Матрица доступа для согласованных ролей и объектов.
Реестр замечаний с приоритетами и рекомендациями.
Результаты повторной проверки и правила безопасного изменения.
ПУТЬ К РЕЗУЛЬТАТУОт первого сценария.
От первого сценария.
К рабочему процессу.
Согласование контура
Определяем разрешённые системы, методы, доступы и ограничения проверки. Уточняем владельцев и время работ. Любые действия на рабочем контуре выполняются только в заранее согласованных пределах.
Анализ архитектуры
Изучаем потоки данных, роли, внешние зависимости и способы развёртывания. Выбираем проверки с учётом рисков. Отмечаем компоненты, которые невозможно исследовать без дополнительных материалов.
Работа с замечаниями
Описываем проблему, возможное влияние и условия воспроизведения. Обсуждаем приоритет с владельцем продукта. Исправления проходят обычный процесс разработки и проверки, чтобы не нарушить полезные сценарии.
Повторная проверка
Проверяем устранение согласованных замечаний и регрессии. Передаём остаточные риски и рекомендации по регулярным процедурам. Определяем события, после которых оценку следует обновить.
КРИТЕРИИ КАЧЕСТВА
Сравниваем по фактам.
Согласуем исходный замер, источники данных и способ проверки. Целевые значения определяются для вашего процесса.
Количество открытых замечаний по уровню значимости.
Время устранения подтверждённых проблем.
Покрытие критичных операций проверками прав доступа.
ПЛАНИРОВАНИЕ
Что определяет объём проекта.
Зафиксировать разрешённый контур
Согласовать среды, аккаунты, ограничения методов и контакт на случай инцидента.
Выбрать критичные сценарии
Начать с данных и действий, нарушение которых наиболее существенно для приложения.
Услуга не означает аттестацию, сертификацию или наличие специальных лицензий. Регулируемые работы требуют отдельной проверки требований.
Абсолютная защищённость не гарантируется. Объём, сроки и стоимость определяются после оценки системы и согласования методов.
ВОПРОСЫ
Перед началом работы.
Это полноценный аудит информационной безопасности компании?
Нет, здесь рассматривается согласованный контур приложений и их разработки. Организационная безопасность, инфраструктура и специальные регуляторные процедуры могут потребовать самостоятельного проекта и исполнителей с необходимыми подтверждёнными полномочиями.
Можно проверить работающий сервис?
Да, если согласованы безопасные методы и ограничения. Предпочтительно использовать отдельный контур с представительными данными. Нагрузочные, разрушительные и иные рискованные проверки не выполняются по умолчанию.
Нужно ли менять весь код?
Не обязательно. Сначала определяем причины и приоритеты. Часть проблем решается настройками или локальными изменениями, другие требуют архитектурной доработки. Для каждой существенной меры обсуждаем влияние на пользователей и сопровождение.
СВЯЗАННЫЕ РЕШЕНИЯ
Продолжение вашей задачи.
Облака и DevOps ↗
Проектируем инфраструктуру приложений и автоматизируем выпуск изменений.
Тестирование и контроль качества ПО ↗
Проверяем сайты, приложения, интеграции и бизнес-системы перед запуском и при развитии.
Финансы и финтех ↗
Проектируем клиентские кабинеты, сбор документов, внутренние сервисы и интеграции для финансового бизнеса.
СЛЕДУЮЩИЙ ШАГ
Разберём вашу задачу.
Опишите текущий процесс, участников и системы. Определим, что стоит проверить в первую очередь и какие данные потребуются.
