أفضل ممارسات المطوّرين لأمان البيانات

تأمين الاتصالات (البيانات أثناء النقل)

• استخدام مصادر الشهادات الموثوقة (CAs)
• التأكد من تكوين الشهادات بشكل صحيح
• استخدام أحدث إصدارات ممكنة من بروتوكول أمان طبقة النقل (TLS)
• فرض التشفير على كل اتصالات الشبكة
• الاختبار للتحقق من أن اتصالات الشبكة لا ترسل بيانات عن طريق الخطأ بشكل واضح
• التحقق من أن بيانات التعريف في عناوين HTTP لا تتضمن معلومات شخصية

إدارة المفاتيح وكلمات السر

• عدم تخزين كلمات السر في المتناول أو تضمينها في الرمز
• عدم استخدام الإعدادات الافتراضية التي يوفرها البائع لكلمات سر النظام
• استخدام أنظمة إدارة المفاتيح إن أمكن
• وجود نظام لصيانة المفاتيح (التعيين والإلغاء والتدوير والحذف)
• استخدام المصادقة الثنائية إن أمكن
• توفير المصادقة الثنائية كخيار للمستخدمين

تطبيق التحديثات والتحسينات

• توفير نظام للحفاظ على تحديث رموز النظام والبيئات، بما في ذلك الخوادم والأجهزة الظاهرية (VMs) والتوزيعات والمكتبات والحزم وبرامج الحماية من الفيروسات
• وجود نظام لصيانة الأنظمة المتضمنة المسؤولة عن الإنتاج وتحسينها

  • مكتبات Core
  • خدمات الويب
  • خدمات الواجهة الخارجية

أمان التطبيق وتأمين واجهات API

• التعرف على ممارسات أمان التطبيق الأساسية بما في ذلك

  • تقييم الأذونات واحتياجات البيانات (مواءمة الوصول إلى البيانات مع غرض الاستخدام)
  • اختبار واجهات API ونقاط النهاية بحثًا عن تسريبات البيانات
  • اختبار عمليات الإرسال إلى الجهات الخارجية ومنها بحثًا عن تسريبات البيانات
  • مسح التطبيق والرمز بحثًا عن عيوب الأمان الشائعة قبل النشر
• التعرف على ممارسات الترميز الأساسية لمعالجة التحديات الأمنية الرئيسية
• اختبار أنظمة وعمليات الأمان بشكل منتظم