หลักปฏิบัติที่ดีที่สุดด้านการรักษาความปลอดภัยของข้อมูลสำหรับผู้พัฒนา

การสื่อสารที่มีการรักษาความปลอดภัย (ข้อมูลที่อยู่ระหว่างการโอนย้าย)

• ใช้ผู้ให้การรับรอง (CA) ที่น่าเชื่อถือ
• ตรวจสอบให้แน่ใจว่ากำหนดค่าใบรับรองอย่างเหมาะสมแล้ว
• ใช้เวอร์ชั่นการรักษาความปลอดภัยในระดับการขนส่งที่อัพเดตล่าสุดอยู่เสมอ
• บังคับใช้การเข้ารหัสสำหรับการเชื่อมต่อเครือข่ายทั้งหมด
• ทดสอบเพื่อยืนยันว่าการเชื่อมต่อเครือข่ายจะไม่มีการส่งข้อมูลที่ไม่มีการป้องกันใดๆ โดยไม่ได้ตั้งใจ
• ยืนยันว่าเมตาดาต้าในส่วนหัว HTTP ไม่ได้มีข้อมูลส่วนบุคคลรวมอยู่ด้วย

จัดการคีย์และรหัสผ่าน

• อย่าเก็บรหัสผ่านไว้โดยไม่มีการป้องกันหรือฝังไว้กับโค้ด
• อย่าใช้รหัสผ่านของระบบตามค่าเริ่มต้นที่ผู้ให้บริการจัดหาไว้ให้
• ใช้ระบบการจัดการคีย์เมื่อสามารถใช้ได้
• จัดตั้งระบบในการดูแลจัดการคีย์ต่างๆ (มอบหมาย เรียกคืน เวียนใช้ ลบทิ้ง)
• ใช้การยืนยันตัวตนแบบสองชั้นเมื่อสามารถใช้ได้
• ให้บริการตัวเลือกระบบป้องกันสองชั้นแก่ผู้ใช้

ติดตั้งการอัพเดตและแพตช์ต่างๆ

• จัดตั้งระบบในการคอยอัพเดตโค้ดของระบบและสภาพแวดล้อมของระบบอยู่เสมอ ซึ่งรวมถึงเซิร์ฟเวอร์, เครื่องเสมือน (VM), การกระจาย, คลัง, แพ็กเกจ และซอฟต์แวร์/โปรแกรมต้านไวรัส
• จัดตั้งระบบในการดูแลจัดการและติดตั้งแพตช์ของระบบที่ใช้กับขั้นในงานจริง ซึ่งรวมถึงรายการต่อไปนี้

  • ไลบรารีหลัก
  • บริการบนเว็บ
  • บริการสำหรับติดต่อกับลูกค้า

การรักษาความปลอดภัยของแอพพลิเคชั่นและ API การรักษาความปลอดภัย

• ทำความคุ้นเคยกับหลักปฏิบัติด้านการรักษาความปลอดภัยพื้นฐานของแอพ ซึ่งรวมถึงรายการต่อไปนี้

  • การประเมินสิทธิ์การอนุญาตและความต้องการต่อข้อมูล (การปรับสิทธิ์การเข้าถึงข้อมูลในสอดคล้องกับวัตถุประสงค์ในการใช้)
  • ทดสอบ API และตำแหน่งข้อมูลเพิ่มหาการรั่วไหลของข้อมูล
  • ทดสอบการถ่ายโอนทั้งขาเข้าและออกจากบุคคลที่สามเพื่อหาการรั่วไหลของข้อมูล
  • สแกนแอพและรหัสเพื่อหาช่องโหว่ด้านการรักษาความปลอดภัยทั่วไปก่อนการติดตั้งใช้จริง
• ทำความคุ้นเคยกับหลักปฏิบัติพื้นฐานในการเข้ารหัสเพื่อจัดการกับข้อกังวลด้านการรักษาความปลอดภัยพื้นฐาน
• ทดสอบระบบและกระบวนการรักษาความปลอดภัยเป็นประจำ