مکان شما: / / تعیین قوانین امنیتی پیشرفته در اتوماسیون اداری فراگستر...

تعیین قوانین امنیتی پیشرفته در اتوماسیون اداری فراگستر

اتوماسیون اداری و فرآیندهای فراگستر با اخذ گواهینامه‌های معتبر امنیتی و ایزو، بستری امن فراهم کرده است که منطبق بر استانداردهای معتبر محرمانگی، صحت داده‌ها، صحت سیستم، مدیریت امنیت ارتباطات / اطلاعات و احراز هویت کاربران، بوده و قوانین امنیتی پیشرفته را در سه سطح Basic ,Medium و Secure درکل نرم‌افزار تایید می‌کند.

قابلیتهای تعیین قوانین امنیتی پیشرفته

  • امکان تنظیم امنیت سیستم در سه حالت Basic ,Medium و Secure
  • امکان استفاده بر روی پروتکل HTTPS
  • پشتیبانی از SSL Channel به منظور ایمن‌سازی انتقال اطلاعات
  • فعالسازی ورود امن
  • استفاده از کد Captcha در صفحه ورود به سیستم
  • مدیریت ورود کاربری در سه حالت” ورود عادی، ورود دوعامله، ورود از طریق گواهینامه امنیتی”
  • اعمال دسترسی‌هایی در خصوص اجرای سیاست‌های کلمه عبور
  • اعمال دسترسی کاربران به سیستم اتوماسیون از طریق IP
  • اعمال دسترسی کاربران به سیستم اتوماسیون از طریق زمان

نشان کیفیت و گواهینامه امنیت اتوماسیون اداری فراگستر

گواهینامه افتا

گواهینامه ارزیابی امنیتی اتوماسیون فراگستر

تولید اطلاعات رمز نگاری شده از کاربر با watermark بر روی تصویر نامه

در سازمان های دولتی و خصوصی این امکان وجود دارد که اطلاعات اسناد و مکاتبات با عکسبرداری با دوربین های موبایل یا چاپ آن ها، بدون مجوز از سازمان خارج شوند و در اختیار افراد فاقد صلاحیت قرار گیرند. در سیستم اتوماسیون کسب و کار فراگستر، برای حفظ امنیت اطلاعات، امکانی مهیا شده تا در هر بار باز شدن نامه، اطلاعات کاربری که آن را مشاهده کرده، بصورت رمز نگاری شده با Watermark یا Qrcode یا الگوگذاری‌های دیجیتالی دیگر بر روی پس زمینه نامه درج گردد.
با این امکان در صورت پرینت نامه یا حتی عکسبرداری با موبایل از روی آن، اطلاعاتی همانند شناسه سیستم، اطلاعات شناسایی کاربر و حتی تاریخ و زمان در یک رشته رمز گذاری شده قرار خواهند گرفت و توسط سرویس های نرم افزاری در نظر گرفته شده برای این موضوع، قابل بازگردانی خواهد بود.

درخواست دمو و پیش فاکتور
تولید اطلاعات رمز نگاری شده از کاربر با watermark بر روی تصویر نامه

امنیت نرم افزار اتوماسیون اداری

گسترش شرکت ها و سازمان به همراه توسعه ابزارهای ارتباطی مانند گوشی های هوشمند، تبلت‌ها، و … ، ضرورت ارتقاء سطح امنیت را هنگام دسترسی به اطلاعات نرم افزارها افزایش داده است. در همین راستا در طراحی نرم افزار اتوماسیون اداری و فرآیندهای فراگستر، جایگاه امنیت در معماری نرم افزار، مبحثی با اهمیت درنظر گرفته شده است.

اعمال قوانین، راه های ورود به سیستم و بکارگیری الگوهای پیچیده در ایجاد کلمه عبور جهت جلوگیری از کلمات عبورساده، ضعیف و تکراری تا رمزنگاری در تبادل اطلاعات بین اجزای مختلف سیستم برای افزایش سطح امنیت کاربران، بکار گرفته شده است.

در راستای بالابردن سطح امنیت در نرم افزار اتوماسیون اداری و فرآیندهای فراگستر معیارهای امنیتی در سه سطح Basic، Medium و Secure  با ویژگی های خاص و منحصر به فرد، پیاده سازی شده است.

هویت سنجیحفاظت از اطلاعاتمدیریت نشسترویدادنگاری و ممیزیواکنش ها در برابر خطاهامقاومت در برابر حملات و نفوذهامقاومت در برابر خرابیپیکربندی امن سیستم

هویت‌سنجی که از آن تحت عنوان “Identification and Authentication” نام برده شده است،سیستم اتوماسیون اداری فراگستر را قادر خواهد کرد که بر مبنای شناسایی و احراز هویت هر کاربر، سیاست‎‌های تعیین شده توسط مدیر سیستم را بر فعالیت‎‌های وی اعمال نماید. در این راستا، جدول زیر، لیستی از اهداف امنیتی مرتبط با این موضوع را بیان می‎کند:

امکان اختصاص مجوز‌ها به کاربران
  • مشخص بودن لیست کاملی از مجوزهای اعطا شده به هر کاربر پس از هویت‎‌سنجی و ورود به سیستم
هویت‎‌سنجی قوی
  • هویت‌سنجی قابل قبول و همیشگی قبل از ورود به سیستم
  • عدم قبول گذرواژه‌ی تهی
  • حمایت از هویت‎‌سنجی دو یا چند عاملی، شناسه‌های سخت‌افزاری، کارت‎های هوشمند و..
  • قابلیت تغییر گذرواژه‌ی شخصی برای هر کاربر
  • هویت‌‎سنجی تمام نشست‌‎ها
  • احراز هویت بعد از عدم فعالیت یک حساب کاربردی به مدت طولانی
  • عدم امکان تغییر گذر‌واژه‌ی کاربران برای کاربری غیر از مدیر سیستم
  • امکان تنظیم حداقل زمان عدم فعالیت برای احراز هویت مجدد توسط مدیر
هویت‎‌سنجی مجدد برای اعمال حساس
  • هویت‎‌سنجی مجدد برای انجام اعمال مدیریتی یا حساس
  • استفاده از فناوری‌های هویت‎‌سنجی قوی تر ازنام- گذرواژه برای اعمال حساس (هویت‎‌سنجی دو یا چند عاملی)
عکس العمل در برابر تلاش‌‎های ناموفق برای ورود به سیستم
  • قابلیت تنظیم حداکثر تعداد تلاش کاربر برای ورود به سیستم در یک محدوده زمانی توسط مدیرسیستم
  • ثبت وقایع مربوط به تلاش‌های ناموفق برای ورود به سیستم
سیاست‎گذاری بر گذرواژه‌ها
  • وجود مکانیزم مدیریت گذرواژه برای اعمال خط و مشی‎های انتخاب گذرواژه
  • تغییر حساب‌‎ها یا گذرواژه‌های پیش فرض
  • اجبار در تغییر گذرواژه‌های اعطا شده به کاربران بعد از اولین ورود به سیستم
  • توجه به حساب‌‎های مربوط به کاربران غیرانسانی مثل حساب‌‎های اختصاص داده شده به سرویس‌ها و نرم‌‎افزارها
شناسه‌های منحصر بفرد
  • عدم قبول دو کاربر با شناسه‌ی یکسان
حذف حساب‌‎های غیر فعال و در پشتی
  • وجود قابلیت تاریخ انقضا برای حساب‌ها توسط مدیر سیستم
  • غیر فعال شدن شناسه‌ها بعد از مدت طولانی عدم فعالیت
  • تغییر یا حذف حساب‎‌های پیش فرض سیستم
حفاظت از اطلاعات هویت‎‌سنجی
  • عدم نمایش گذرواژه‌ها هنگام ورود
  • Cache نشدن اطلاعات هویت‎‌سنجی
  • نگهداری گذرواژه‌ها به صورت درهم با ترکیب داده‌های تصادفی
  • رمزنگاری اطلاعات هویت‎‌سنجی در حین انتقال آن‎ها در شبکه
  • رمزنگاری اطلاعات هویت‎‌سنجی در ذخیره‌سازی
  • کنترل دسترسی به اطلاعات هویت‌‎سنجی رمز شده
هویت‌سنجی دو سویه
  • هم کاربر قادر به احراز اصالت سرویس‌‎دهنده باشد و هم سرویس‌دهنده قادر به احراز اصالت سرویس‌‎گیرنده باشد

حفاظت از اطلاعات و کنترل دسترسی در مفهوم عمومی “User data protection” نام برده شده است که خود به چهار حوزه تفکیک می‎شود:

  • سیاست‌های کنترل دسترسی
  • نحوه‌ی اجرای سیاست‎های کنترل دسترسی در راستای حفاظت از اطلاعات کاربران
  • حفاظت از اطلاعات در حین ذخیره‎‌‌سازی
  • حفاظت از اطلاعات در حین انتقال

یکی از مهمترین رسالت‌های یک”سیستم اتوماسیون اداری“، حفظ محرمانگی و همچنین حفظ حریم اطلاعات کاربران است و این مهم میسر نمی‎شود مگر با استفاده از مکانیزم‌های حفاظت از اطلاعات. در این راستا، جدول زیر، لیستی از اهداف امنیتی مرتبط با این موضوع را بیان می‎کند:

حفاظت اطلاعات حساس در ذخیره سازی
  • رمزنگاری تمام داده‌های محرمانه هنگام ذخیره‌‎‌سازی
حفاظت اطلاعات حساس در انتقال
  • در انتقال اطلاعات فرم‎‌ها (در برنامه‌های مبتنی بروبHTTP Get بجای HTTP Post کاربر)
  • کاربرد قراردادهای امن در انتقال داده‌های حساس
انکارناپذیری عملیات
  • بهره‌‎گیری از مکانیزم‌های امضاء دیجیتالی برای جلوگیری از انکار
  • استفاده ازفناوری‌های هویت‌سنجی قوی‎تر از نام و گذر‌واژه برای اعمال حساس (هویت‌سنجی دو یا چند عاملی)
ماژول‌های رمزنگاری مورد تایید
  • کاربرد ماژول‌های رمزنگاری مورد تایید سازمان برای تمام نقاطی که رمزنگاری دارند
تفکیک وظایف و حداقل مجوزها
  • تعیین نقش‌‎های کاربران و مدیران بر اساس دو اصل تفکیک وظایف و حداقل مجوزها
  • امکان انقضای دسترسی حساب‌ها توسط مدیر سیستم
  • اجرای برنامه در حداقل سطح اعتباری
اعتبارسنجی فعالیت های برنامه
  • عدم وجود منابعی (مانند فایل) خارج از حیطه ی کاربری برنامه‌ی کاربردی که برنامه بتواند آن ها را تغییر داده و یا ایجاد کند
عدم دسترسی به منابع با دور زدن واسط کاربر
  • مستند بودن تمام واسط‎های دسترسی به برنامه (مانند اینترنت، شبکه محلی و دسترسی‎های راه دور) و عدم دسترسی به هر گونه منبع برنامه غیر از مسیر واسط‎ها
وظایف مدیریتی
  • وجود وظایف مدیریتی تعریف شده
  • عدم انجام کارهای مدیریتی توسط کاربران بدون اجازه‎‌‌های مدیریتی
  • رعایت نکات امنیتی مربوط به مدیریت راه دور سیستم
  • فیلترینگ IP برای تشخیص IP مدیریتی در مدیریت راه دور سیستم
عدم دسترسی غیر مجاز به منابع با استفاده از کد سیار
  • بررسی کدهای سیار قبل از اجرای آن‎ها در صورتی که از نامه‌‎ی الکترونیک یا دریافت فایل ورودی با file upload یا مکانیزم‎‌های خودکار دیگر استفاده می‎شود
  • عدم ایجاد اتصال جدید در شبکه توسط کد سیار
  • باز نکردن بی‎‌قید و شرط نامه الکترونیک حاوی فایلی با یکی از پسوند‎های exe،bat،vbs،shs،wsf،wsc ،vbe،reg،wsh jse و scr
  • نپذیرفتن کد‎های سیار خارج از تعریف سیاست کدهای سیار سازمان بدون مجوز

یک ” نشست“ یا ” جلسه“ از زمان ورود یک کاربر به سیستم آغاز شده و تا هنگام خروج وی از سیستم ادامه می‎یابد. عدم توجه به مدیریت صحیح نشست‎‌ها می‎تواند فرصت‎های بسیار مناسبی را در اختیار نفوذگران قرار دهد. برای مثال ” Man in the middle“ و یا ”حمله ی شنود نشست“ از ضعف امنیتی در آغاز ”نشست“ استفاده می‎کند. در این راستا، جدول زیر، لیستی از اهداف امنیتی مرتبط با این موضوع را بیان می‎کند:

انتخاب مناسب شناسه‎‌ی نشست
  • عدم ایجاد شناسه‌ها به صورت ترتیبی
  • عدم تولید شناسه‎‌های ضعیف یا قابل حدس
  • عدم استفاده از توابع یا داده‎‌های قابل حدس مانند نام، تاریخ یا IP برای تولید شناسه
  • عدم استفاده از داده‌های محرمانه مانند اسم و رمز در تولید شناسه
شناسه‌های متفاوت برای مناطق امنیتی متفاوت
  • عدم استفاده از شناسه‎‌ی نشست یکسان هنگام جابجایی از نقطه‌ای امن به ناامن (و برعکس) و انقضای خودکار شناسه‌های قبلی با صدور شناسه‌ی جدید برای یک نشست
  • وجود گزینه‎ای برای ساقط کردن اعتبار نشست‌ها توسط مدیر سیستم
امنیت انتقال شناسه‌ی نشست
  • رمزنگاری اطلاعات نشست هنگام ارسال اطلاعات (ارسال اطلاعات از طریق کانالی امن مانند HTTPS یا SSL)
حفاظت از اطلاعات ذخیره شده‎‌ی نشست‌ها
  • هشدار به کاربر قبل از قبول کوکی در مرورگر (در نرم‌‎افزارهای مبتنی بر وب)
  • عدم ذخیره‌ی اطلاعات حساس در کوکی یا مکانیزم‌های مشابه دیگر بدون رمزنگاری
هویت سنجی و اعتبارسنجی در نشست‌ها
  • هویت سنجی برای هر نشست جدید
  • اعتبارسنجی شناسه‌های نشست توسط کارگزار از نظر نوع و اندازه
محدودیت زمانی برای نشست‌‎ها
  • رعایت حداکثر تعداد نشست برای هر کاربر به صورت قابل تنظیم معتبر
  • امکان به تعلیق درآوردن نشست توسط کاربر به صورت دلخواه
  • امکان قطع و یا به تعلیق در آوردن یک نشست توسط مدیر سیستم
  • امکان واضح خروج کاربر از نشست خود به صورت دلخواه
امکان خروج از نشست
  • مستند بودن تمام واسط بازپس‌‎گیری تمام اطلاعات نشست پس از خاتمه‌ی نشست‌ها

رویدادنگاری و ممیزی عبارت است از ”تشخیص“،”ضبط“،”ثبت“ و ”تحلیل“ اطلاعات مربوط به فعالیت‌های امنیتی. ثبت وقایع و رویدادنگاری، کاربردهای فراوانی دارد که از جمله‌ی آن‎ها می‎توان به ”کشف جرایم“،”کشف ضعف‌های امنیتی نرم‌افزار“،”امکان تشخیص و جلوگیری از نفوذ قبل از موفقیت نفوذگر“ و ”ارائه‌ی شواهد به دادگاه در مواقع مورد نیاز“ اشاره کرد. در این راستا، جدول زیر، لیستی از اهداف امنیتی مرتبط با این موضوع را بیان می‎کند:

ثبت مناسب رویداد‌‌های امنیتی
  • هماهنگی زمان کارگزار نرم‌‌افزار و کارگزار ثبت وقایع با یک کارگزار زمان
  • اطمینان از ثبت کلیه‌ی رویدادهای مستند شده‌ی ثبت شدنی بسته به حساسیت و نوع برنامه‌های کاربردی به همراه جزئیات مورد نیاز آن
اطلاع از پرشدن رکوردهای ممیزی
  • وجود مکانیزمی برای هشدار به مدیر سیستم هنگام پر شدن فایل‌های ممیزی
  • وجود روالی برای بایگانی فایل‌های ثبت وقایع
خدشه ناپذیری رکوردهای ممیزی
  • وجود مجوزهای صحیح و کنترل دسترسی مناسب برای فایل‌های رویدادنگاری
  • وجود مکانیزمی برای فعال کردن رمزنگاری فایل‌های رویدادنگاری(در صورت لزوم)
مکانیزم رویدادنگاری پیوسته
  • عدم فعالیت برنامه‌ی کاربردی بعد از توقف مکانیزم رویدادنگاری
  • وجود ویژگی‌های واکنش به خطا/ استثنا در رویدادنگاری

عدم مدیریت صحیح خطاها، می‎تواند تهدیدهای متعددی را متوجه نرم‌‎افزار نماید. نفوذگر می‎تواند با تزریق اطلاعات نامعتبر به سیستم و تحلیل پیام‎های خطایی که سیستم در اختیار وی قرار می‎دهد، راه‌‎های نفوذ به نرم‎‌افزار راکشف نماید. برای مثال پیام خطای ” Invalid username”، می‎تواند به نفوذکننده کمک کند که با تکیه به فرایندهای آزمون و خطا” نام های کاربری“ معتبر را کشف کند. از طرفی عدم مدیریت استثناءها می‎تواند منجر به تهدیدهای جدی علیه نرم‌‎افزار شود. برای مثال یکی از حملات معروف علیه نرم‌افزارها ”حمله ی سرریز بافر“ نام دارد که در واقع نوعی سوء استفاده از عدم مدیریت صحیح استثناءها است. با توجه به اهمیت فوق العاده‌ی موضوع، ”واکنش در برابر خطا و استثناء“ را جزء اهداف امنیتی سیستم اتوماسیون اداری مطرح می‎کنیم. در این راستا، جدول زیر، لیستی از اهداف امنیتی مرتبط با این موضوع را بیان می‎کند:

پیغام خطای مناسب
  • وجود زیر سیستم در برابر خطا و استثناء
  • اطمینان از ثبت کلیه عدم وجود اطلاعات قابل سوءاستفاده در مورد سیستم، شبکه یا برنامه‌ی کاربردی درپیغام خطا
  • رویدادنگاری صحیح و کامل هر خطا
وضعیت امن پس از وقوع خطا
  • عدم اجازه‌ی دسترسی‌های غیر معمول در شرایط پس از خطا در سیستم
  • وجود روال‌های پیش‎بینی شده پس از شکست یا خطا در هر بخش از سیستم

وجود اطلاعات مهم و حساس در یک سیستم اتوماسیون اداری، می‎تواند موجب ایجاد و یا حذف موقعیت‌ها برای بسیاری از کاربران، ذینفعان و حتی حمله‌کنندگان گردد بطوریکه همواره انگیزه‌ی نفوذ و حمله به این سیستم در بالاترین سطح ممکن وجود دارد. در این راستا جدول زیر، لیستی از اهداف امنیتی مرتبط با این موضوع را بیان می کند:

اعتبارسنجی ورودی ها
  • اعتبارسنجی تمام ورودی‎‌ها اعم از کوکی‎‌ها و پرس و جوها، نویسه‌ها،URL و… از حیث قالب و بازه‎‌ی ورودی
  • اعتبار سنجی داده‌های وارد شده از طریق پردازه‌های خارجی
  • الزام اعتبارسنجی داد‌ه‌ها در سمت کارگزار
  • توقف پردازش داده تا پایان اعتبارسنجی ورودی
  • در نظر گرفتن بایت‎های تهی در اعتبارسنجی داده‌ها
آسیب‌ناپذیری نسبت به سرریز بافر
  • استفاده از فراخوان‎‌های سیستمی امن (حتی الامکان کاربرد زبان‎هایی مانند #C)
  • وجود مکانیزم اعتبارسنجی برای داده‌های خارج از بازه
  • ثابت یا مطلق نبودن اندازه‌ی بافرها
  • بزرگ‎تر بودن بافر مقصد از بافر مبدا
آسیب‌ناپذیری نسبت به XSS
  • جلوگیری از ورود کاربر به شکل HTML و یا tagها و کاراکترهای ویژه
  • غیر قابل اجرا بودن پشته و کپه
  • کاربرد کاراکترهای جایگزین برای کاراکترهای ویژه
آسیب‌ناپذیری در برابر تزریق دستور
  • عدم پذیرش کاراکترهای غیر مجاز در پرس‌‎وجوهای SQL و اعتبارسنجی داده‌ها قبل از ریختن داده‌ها در پایگاه داده
  • قرار گرفتن ورودی‌های بین” “
  • عدم استفاده از دستورات shell و فراخوانی‎‌های سیستمی (حتی الامکان)
  • انقضای نشست در صورت عدم پذیرش داده‌ها
  • اجرای سیستم مدیریت پایگاه داده در کمترین سطح مجوزدهی ممکن
آسیب‌ناپذیری در برابر تزریق دستور
  • Cache نشدن داد‌ه‌های حساس
  • پاک کردن تمام اشیای موقتی از حافظه‎‌ی قبل از خاتم‎ه‌های برنامه (فایل‎‌های موقتی یا مخفی، Cache، داده ها، URL ها و …
  • ذخیره نکردن داده‌های حساس روی سیستم کارفرما
  • بسته بودن تمام اتصالات پایگاه داده‌ها در زمان‌هایی که نیاز به اتصال نباشد
بررسی اطلاعات موجود در کد برنامه
  • عدم وجود اطلاعات حساس مانند گذرواژه‌ها در کد به صورت معمولی
  • رمزنگاری اطلاعات حساس در کد در صورت اجتناب‌ناپذیری وجود اطلاعات در کد اجتناب‌ناپذیر است
  • عدم وجود اطلاعات حساس یا اضافی (مانند ارجاع نامعتبر،کد توضیحی،درپشتی و هرگونه اطلاعات اضافی و مشکوک دیگر) به ویژه در بخش‌های مربوط به مکانیزم‌های امنیتی
جامعیت آزمون امنیتی
  • مستند بودن طرح آزمون
  • درنظر گرفتن کلیه‌ی COTS‌ها، الحاقات و بهنگام‎‌سازی در طرح آزمون امنیتی
  • عدم استفاده از داده‌های طبقه‌بندی شده در طرح آزمون

یک سیستم اتوماسیون اداری ممکن است با خرابی فیزیکی (مثل خرابی دیسک سخت) و یا نرم‌افزاری (مثل خرابی فایل‌های اطلاعاتی) مواجه گردد که به دلیل وابستگی شدید سازمان به این‎گونه سیستم‌ها، در صورت عدم وجود راهکاری برای بازیابی و ادامه‌ی کار سیستم، سازمان به اصطلاح با ”مرگ الکترونیکی“ مواجه خواهد شد. در این راستا، جدول زیر، لیستی از اهداف امنیتی مرتبط با این موضوع را بیان می‎کند:

پشتیبان گیری و ترمیم خرابی‌ها
  • قابلیت پشتیبان‌گیری به ویژه از داده‌های حساس و بازاریابی نسخه های پشتیبان
  • رعایت مکانیزم‌های امنیتی در نسخه‌های پشتیبان
  • مستند بودن روش تهیه نسخه‌های پشتیبان یا بازیابی آن‎ها به طور کامل
  • وجود طرح ترمیم خرابی ناشی از حوادث
کنترل تغییرات
  • وجود طرح نگهداری نرم‌افزار
  • مستند بودن نحوه‌ی نصب الحاقات امنیتی
  • توجه به تغییر و توسعه‌ی نیازمندی‎ها

در یک سیستم اتوماسیون اداری وجود این مستندات و مطالعه‌ی دقیق آن‎ها توسط راهبران و کاربران، می‎تواند به میزان چشم‎گیری در ارتقای امنیت نرم‌‎افزار مؤثر باشد. بسیاری از تهدیدهای امنیتی به صورت غیر‌عمدی و در اثر اشتباهات انسانی رخ می‎دهد که وجود مستندات کافی، ضمن جلوگیری از این‎گونه اشتباهات بسیاری از راه‌های نفوذ را مسدود می‎نماید. در این راستا جدول زیر، لیستی از اهداف امنیتی مرتبط با این موضوع را بیان می‎کند:

امکان نصب و راه اندازی امن نرم‌‎افزار
  • وجود راهنمای کامل نصب و پیکربندی امنیتی شامل هرگونه پیکربندی امنیتی لازم برای سیستم‎‌‌ها
  • مستند کردن مخاطرات نصب برنامه برای محیط و برنامه‌‎های کاربردی دیگر
  • حذف یا تغییر حساب‌ها و گذرواژه‎‌های پیش فرض برنامه
  • غیر فعال بودن توابع خطایابی
  • مستندسازی و رعایت گواهی‌نامه یا اعتبارنامه برای نصب برنامه
  • مستندسازی پیکربندی و تنظیمات مربوط با گواهی‌نامه‌‎ها و رمزنگاری (در صورت وجود)
مستندات مربوط به تاثیر محیط بر برنامه‌‎ی کاربردی
  • مستند شدن شرایط امنیتی خاص برای شبکه (بسته شدن برخی پورت‎های شبکه، قرارگرفتن کارگزاربرنامه‌ی کاربردی یا کارگزار وب درDMZ، نیاز به دیواره‌‎ی آتش و …)
  • مستند بودن نحوه‌ی نصب الحاقات امنیتی
  • مستند شدن کنترل‌‎های الزامی مورد نیاز برنامه در ارتباط با سیستم عامل (در صورت وجود)
  • مستند شدن شرایط مطلوب برای امنیت فیزیکی ویژه‌‎‌ی برنامه کاربردی (مانند نیاز به منبع برق وقفه ناپذیر)
  • مستند شدن پیکربندی مورد نیاز برنامه‌‎ی کاربردی برای حفاظت و ارتباط با پایگاه داده
  • لزوم اشاره به غیرفعال کردن خدماتی که توسط کارگزار وب یا برنامه‌ی کاربردی استفاده نمی‎شود و فعال‌ بودن آن‎ها ضریب امنیت برنامه‌ی کاربردی را کاهش می‎‌دهد.
5/5 - (2 امتیاز)
۴۲۶۲۳ (۰۲۱)