Pristupi: prve tri provjere
- Popišite račune: domena, hosting, administracija i vanjski servisi trebaju poznatog vlasnika.
- Ograničite ovlasti: suradniku omogućite samo ono što mu treba i uklonite nepotrebne stare pristupe.
- Zaštitite prijavu: koristite jedinstvene lozinke i dodatnu potvrdu identiteta gdje je dostupna.
Pristup zaposlenika koji više ne radi na webu nije bezazlen samo zato što ga trenutačno nitko ne koristi.
Podaci i softver: provjere četiri do sedam
- Odvojite tajne od javnog koda: vjerodajnice ne trebaju biti u repozitoriju, HTML-u ili arhivi za preuzimanje.
- Provjerite ažuriranja: uključite aplikaciju i poslužiteljske komponente, ne samo vidljivi dio weba.
- Pregledajte vanjske ulaze: obrasci i prijenosi datoteka trebaju validaciju i ograničenja na poslužitelju.
- Provjerite HTTPS: certifikat mora odgovarati odredištu, a provjera njegove valjanosti ne smije se isključivati kao prečac.
Za prijenos podataka pogledajte OWASP smjernice za TLS, a za tajne smjernice upravljanja vjerodajnicama.
Oporavak: provjere osam do deset
- Isprobajte povrat kopije: potvrda da datoteka postoji nije dokaz uspješnog oporavka.
- Ograničite zapise: dnevnici ne trebaju sadržavati lozinke ili nepotrebne osobne podatke niti biti javno dostupni.
- Dogovorite reakciju: odredite koga kontaktirati, tko izolira problem i tko procjenjuje posljedice incidenta.
Ne pokušavajte prikriti nepoznat problem samo brisanjem sumnjive datoteke. Uzrok, pristupi i moguće kopije promijenjenog sadržaja također mogu zahtijevati provjeru.
Što ova lista ne potvrđuje
Prolazak kroz stavke nije penetracijski test niti potvrda potpune sigurnosti. Za složeniju trgovinu, prijavu korisnika ili obradu osjetljivih podataka potreban je opseg provjere primjeren riziku.
Plan tehničke brige možete povezati s održavanjem weba. Ako postoji sumnja na povredu osobnih podataka, potrebno je pravodobno uključiti odgovorne stručne osobe radi procjene obveza.