خلاصه مدیریتی
فهرست کنترل‌های امنیتی الزامی پیش از انتقال هر سرویس به محیط عملیاتی؛ از اسکن آسیب‌پذیری وابستگی‌ها و مدیریت اسرار تا پیکربندی TLS و ثبت رویدادهای امنیتی.
هدف و دامنه کاربرد
اطمینان از اینکه هیچ سرویسی بدون گذر از کنترل‌های حداقلی امنیت وارد محیط عملیاتی نمی‌شود.
دامنه کاربرد
برای همه سرویس‌های جدید و نسخه‌های اصلی سرویس‌های موجود که به محیط عملیاتی منتقل می‌شوند الزامی است. تغییرات جزئی پیکربندی تابع رویه مدیریت تغییرات است.
پیش‌نیازها
- ثبت درخواست تغییر در سامانه مدیریت تغییرات
- دسترسی به گزارش اسکن امنیتی خط استقرار
شرح دانش
کنترل‌های الزامی
موارد زیر باید پیش از تأیید نهایی استقرار توسط تیم توسعه علامت‌گذاری و توسط کارشناس امنیت بازبینی شود. هر مورد علامت‌نخورده باید همراه با دلیل و برنامه رفع در درخواست تغییر ثبت شود.
- اسکن وابستگی‌ها بدون آسیب‌پذیری با شدت بالا یا بحرانی
- نبود هرگونه رمز، کلید یا گذرواژه در کد و فایل‌های پیکربندی
- فعال بودن TLS 1.2 به بالا و غیرفعال بودن الگوریتم‌های ضعیف
- ثبت رویدادهای ورود، تغییر دسترسی و تراکنش‌های حساس در سامانه پایش امنیت
- محدود بودن دسترسی شبکه سرویس به مقصدهای لازم
- حذف حساب‌ها و مسیرهای آزمایشی و اشکال‌زدایی
مراحل اجرا
- ۱
اجرای اسکن خودکار
اسکن وابستگی‌ها و تحلیل ایستای کد را در خط استقرار اجرا و گزارش آن را به درخواست تغییر پیوست کنید.
- ۲
تکمیل چک‌لیست
موارد چک‌لیست را در صفحه درخواست استقرار علامت بزنید و برای موارد استثنا توضیح ثبت کنید.
- ۳
بازبینی امنیت
کارشناس امنیت اطلاعات ظرف یک روز کاری چک‌لیست را بازبینی و نتیجه را ثبت می‌کند.
- ۴
تأیید و استقرار
پس از تأیید امنیت، استقرار در پنجره زمانی مصوب کمیته تغییرات انجام می‌شود.
نکات تخصصی
اسرار را فقط در سامانه مدیریت اسرار سازمان نگه دارید و در خط استقرار به‌صورت متغیر محیطی تزریق کنید.
برای سرویس‌هایی که داده کارت پردازش می‌کنند، الزامات تکمیلی استاندارد PCI DSS را نیز بررسی کنید.
خطاهای رایج و راهکارها
مستندات و منابع مرتبط
- پیوست
نسخه قابل چاپ چک‌لیست امنیتی
PDF · ۲۱۰ کیلوبایت
- مشاهده
رویه اجرایی مدیریت تغییرات در محیط عملیاتی
صفحه دانش
نظرات و بازخورد همکاران۴
پیشنهاد می‌کنم اسکن تصویر کانتینرها هم به موارد الزامی اضافه شود.
موافقم. در جلسه بعدی کمیته امنیت مطرح می‌کنم.
این چک‌لیست را به‌عنوان پیش‌نیاز در راهنمای طراحی API هم پیوند دادیم.
ممنون؛ همین پیوند باعث شد درخواست‌های بازبینی امنیتی APIها کامل‌تر ارسال شوند.