Mitä se tarkastelee
Koodikatselmoinnissa luetaan sovitut koodivarastot ja komponentit, jotta sovelluksen rakenteesta löydetään tietoturvaheikkouksia. Tarkastelu keskittyy oleellisiin turvallisuuslogiikoihin ja luottamusrajoihin: siihen, mistä syötteet tulevat järjestelmään, miten käyttöoikeudet ratkaistaan ja miten arkaluonteista tietoa käsitellään. Jokainen havainto osoittaa kyseiseen koodiin ja ehdottaa korjausta.
Kysymykset, joihin se auttaa vastaamaan
- Missä epäluotettava syöte saavuttaa arkaluonteisia toimintoja?
- Sovelletaanko käyttöoikeuspäätöksiä koodissa johdonmukaisesti?
- Miten arkaluonteista tietoa tallennetaan, lokitetaan ja siirretään?
Milloin se on hyödyllinen
- Ennen uuden ominaisuuden julkaisua, joka käsittelee arkaluonteista tietoa tai tunnistautumista.
- Kolmannen osapuolen tekemän tai aiemmasta projektista perityn komponentin tarkastelu.
- Kehitystiimin tukeminen, kun se haluaa kohdennettua palautetta tietyistä moduuleista.
Miten toimeksianto rajataan
- Määrittele koodivarastot, komponentit, kielet ja tarkastelun syvyys ennen aloitusta.
- Tarkastele turvallisuuslogiikkaa ja luottamusrajoja, mukaan lukien syötteiden käsittely, käyttöoikeudet ja arkaluonteisen tiedon käsittely sovellettavin osin.
- Ilmoita rajaukset selkeästi, esimerkiksi tarkastelematta jääneet koodit tai ajonaikainen toiminta, jota pelkkä koodin lukeminen ei näytä.
Tyypilliset tuotokset
Nämä ovat tyypillisiä tuotoksia. Varsinainen laajuus ja tuotokset sovitaan jokaisessa toimeksiannossa erikseen.
- Tarkastellut komponentit ja kattavuus.
- Kooditason havainnot tukiviitteineen.
- Suositellut korjaukset, jotka kehitystiimi voi toteuttaa.
Olennainen varmennuksen konteksti
Tekniset havainnot voivat ohjata riskien käsittelyä, tietoturvaparannuksia ja varmennusnäyttöä. Sopiva arviointi riippuu velvoitteistanne, ympäristöstänne ja tavoitteistanne.
Testaus tukee laajempaa varmennusohjelmaa. Se ei yksinään osoita vaatimustenmukaisuutta tai sertifiointia.