Vad den undersöker
En säkerhetsgranskning av kod läser överenskomna kodförråd och komponenter för att hitta säkerhetsbrister i hur applikationen är byggd. Granskningen fokuserar på relevant säkerhetslogik och förtroendegränser, till exempel var indata tas emot, hur åtkomst avgörs och hur känsliga uppgifter hanteras. Varje fynd pekar på den berörda koden och föreslår en korrigering.
Frågor som den hjälper till att besvara
- Var når otillförlitlig indata känsliga operationer?
- Tillämpas åtkomstbeslut konsekvent i koden?
- Hur lagras, loggas och överförs känsliga uppgifter?
När den är användbar
- Före lansering av en ny funktion som hanterar känsliga uppgifter eller autentisering.
- Granskning av en komponent som utvecklats av en tredje part eller ärvts från ett tidigare projekt.
- Stöd till ett utvecklingsteam som vill ha riktad återkoppling på specifika moduler.
Hur uppdraget avgränsas
- Definiera kodförråd, komponenter, språk och granskningsdjup innan arbetet påbörjas.
- Granska säkerhetslogik och förtroendegränser, inklusive indatahantering, åtkomstkontroll och hantering av känsliga uppgifter där det är tillämpligt.
- Ange täckningsbegränsningar tydligt, till exempel kod som inte granskats eller körbeteende som den statiska läsningen inte kan visa.
Typiska leveranser
Dessa är typiska leveranser. Den faktiska omfattningen och leveranserna avtalas för varje uppdrag.
- Granskade komponenter och täckning.
- Fynd på kodnivå med stödjande referenser.
- Rekommenderade korrigeringar som utvecklingsteamet kan tillämpa.
Relevant kontext för försäkran
Tekniska fynd kan ligga till grund för riskhantering, säkerhetsförbättringar och underlag för försäkran. Lämplig bedömning beror på era skyldigheter, er miljö och era mål.
Testning stödjer ett bredare försäkringsprogram. Den fastställer inte efterlevnad eller certifiering på egen hand.