वेब अनुप्रयोगों (साइटों) के लिए सुरक्षा मानक के संयुक्त निर्माण का प्रस्ताव

मेगफॉन , MTBank, और इतने पर व्यक्तिगत डेटा की गोपनीयता की समस्या से संबंधित नवीनतम घटनाओं से प्रेरित होकर और वास्तव में सवाल habrahabr.ru/qa/10352

हाल ही में, मैं ध्यान से देख रहा हूं कि डेटा सुरक्षा के संदर्भ में इंटरनेट पर क्या हो रहा है, और कभी-कभी यह डरावना हो जाता है कि किसी भी प्राधिकरण, बैंक में कोई भी डेटा दर्ज किया गया है - आपकी जानकारी इंटरनेट उपयोगकर्ताओं की एक विस्तृत दर्शकों के लिए उपलब्ध हो सकती है। इसके अलावा, मेरा वर्तमान काम संभावित कमजोरियों के लिए साइटों और वेब प्रणालियों के ऑडिट से संबंधित है, मुख्य रूप से सॉफ्टवेयर वाले भी नहीं हैं (हालांकि यह खलनायक के लिए एक पसंदीदा हिस्सा और कबीले आईडी है) लेकिन तार्किक भी - और मैं आधिकारिक तौर पर मेरे माध्यम से अधिकांश साइटों की घोषणा कर सकता हूं गंभीर या गंभीर समस्याएं हैं। और मेरे माध्यम से बड़े संगठनों के वेब अनुप्रयोग हैं जिनके नाम सभी को अच्छी तरह से ज्ञात हैं।

लंबे समय तक एक कप कॉफी पर बैठे रहना, और साइट पर एक और भेद्यता का विश्लेषण और वर्णन करना, मैंने अक्सर खुद को यह सोचते हुए पाया कि दुनिया अधिक सुरक्षित, सुरक्षित, स्वच्छ हो सकती है ...

... अगर डेवलपर्स न केवल डेवलपर्स थे, बल्कि विश्लेषकों, आईटी सुरक्षा प्रबंधकों ... लेकिन दुनिया सही नहीं है, और हर किसी को वह करना चाहिए जो वह बेहतर कर सकता है। वे तैयार हो सकते हैं, लेकिन उनके लिए संभावित खतरों को समझना कठिन है, जिनमें से हर दिन अधिक हैं। परियोजना प्रबंधक थोड़ी देर के लिए उन पर दबाव डालता है, और ग्राहक चिल्लाता है कि उन्हें पिछले सप्ताह इस कार्यक्षमता को देखना चाहिए था। इनपुट किस तरह का नियमित अभिव्यक्ति परीक्षण है?

आप अपने इरादों को अच्छे इरादों के साथ तर्क कर सकते हैं, जैसे कि मंशा को तैयार करना - विरोधी तर्कों, लेकिन आप ले सकते हैं और ले सकते हैं ...

तो मैं किस बारे में बात कर रहा हूं ... और यह सरल है - मैं कह रहा हूं कि डेवलपर्स, संगठनों के लिए कुछ प्रकार के मानक \ दिशानिर्देश / चेकलिस्ट का उपयोग करना अच्छा है, जो इसका उपयोग कर सकते हैं, और यह सुनिश्चित कर सकते हैं कि उनकी साइट में कम से कम डिजाइन, डेटा त्रुटियां नहीं हैं भंडारण और हस्तांतरण। मेरी समझ में मानक को साइट के निरंतर संचालन से संबंधित पहलुओं को कवर करना चाहिए। इसलिए, उदाहरण के लिए, होस्टिंग, डीएनएस सर्वर और यहां तक ​​कि साइट उपयोगकर्ता - सब कुछ को ध्यान में रखा जाना चाहिए।

मैं कौन हूं और मुझे एक विचार के अलावा क्या मिल सकता है?
- मैं एक आईटी विशेषज्ञ हूं, जिसमें वेब विषयों के आसपास 10 से अधिक वर्षों का अनुभव है। वेब साइटों (PHP डेवलपर) को लिखने का अनुभव है। हाल ही में मुझे आईटी सुरक्षा में दिलचस्पी हो गई और, परिणामस्वरूप, ISO27001 संगठन में सफलतापूर्वक लागू किया गया। फिलहाल, मैं साइटों, वेब सिस्टम आदि के आईटी ऑडिट के लिए जिम्मेदार विभाग का प्रभारी हूं। कुछ दर्जन ऑडिट के पीछे, छेदों और सिफारिशों के विवरण के साथ कई सौ "डिस्करहित" साइटों के हिस्से।

मैं किसे खोज रहा हूँ?
लोगों ने आईटी सुरक्षा के लिए विशेष रूप से इसके WEB भाग को समर्पित किया। आदर्श रूप से, यह एक व्यक्ति है जो वेब प्रौद्योगिकियों, आईटी सुरक्षा, खतरों को समझता है। जिसके पास PCI DSS, ISO 27001 के कार्यान्वयन से जुड़ा कोई (या कोई) प्रमाण पत्र है। CISA, CISSP संभव है और इसके पास समय, इच्छा और आकांक्षा है। यह महत्वपूर्ण है कि मेरे पास न तो समय है और न ही किसी को "शिक्षित" करने की इच्छा, भले ही आप अपने जीवन को आईटी सुरक्षा के लिए समर्पित करने की इच्छा और दृढ़ संकल्प से भरे हों।

कितना भुगतान करने को तैयार है?
जवाब तुरंत और माथे में बिल्कुल तैयार नहीं है। यह एक सवाल है जो हर किसी और हर किसी को चिंतित करता है, आज उन्होंने पड़ोसी के बैंक के आधार का खुलासा किया, और कल आपकी वित्तीय जानकारी। मुझे स्वयंसेवकों की तलाश है।

मेरी रुचि क्या हो सकती है?
प्रत्यक्ष। मेरा सुझाव है कि सहयोगी सामुदायिक निर्माण। शायद कुछ व्यापारिक विचार इससे बाहर हो जाएंगे, उदाहरण के लिए, यह निर्धारित करने के लिए एक ऑडिट कि साइट मानक XXX-YYYY से मिलती है या नहीं। शायद आप साइट ऑडिटर होंगे, शायद आपके प्रस्तुतिकरण से ऑडिट संगठन में वेब सिस्टम की आपूर्ति के लिए मानक प्रक्रिया का अनिवार्य और अभिन्न अंग बन जाएगा।

क्या पहले से मौजूद है?
दस्तावेज़ संरचना विचारों की किसी न किसी रूपरेखा

सहभागिता प्रक्रिया क्या है?
जबकि मैं इसे इस तरह से देखता हूं: यदि आप तय करते हैं कि आप तब भाग लेना चाहते हैं
1. Google में एक खाता बनाएँ, क्योंकि इसके बिना, आप Google Dox तक नहीं पहुँच सकते।
2. मुझे एक खाता (ईमेल पता) भेजें ताकि मैं आपके साथ दस्तावेज़ साझा करूं। पढ़ने के लिए दस्तावेज़ सभी के लिए उपलब्ध है।
3. यदि आप कुछ जोड़ना / बदलना चाहते हैं - अपना ईमेल छोड़ें - मैं दस्तावेज़ में परिवर्तन करने के लिए पहुँच दूंगा

मुझे आश्चर्य है, मैं कोशिश करना चाहता हूं
शानदार, फिर पीएम पर दस्तक। यदि हमारे समान हित हैं, तो इसका मतलब है कि हम रास्ते में हैं

लिंक स्वयं: docs.google.com/document/d/1sbDhyX8Reu8vgEHzhyltXH6dQYzG4lQV7Lmw2ryjsX0/edit?hl_en_US