Bezpečnost
Proveďte prosím párové porovnání jednotlivých kritérií.
V rámci dané oblasti se hodnotí několik kritérií, které mohou mít různou váhu - tj. důležitost. Cílem je získat relevantní pohled na váhy jednotlivých kritérií (procentuálni distribuce vah pro danou oblast).
Provádí se porovnáním dvojic "každý s každým". U každé dvojice vyberte jedno z kritérií, které by podle Vás mělo být preferováno a na stupnici od 1 do 9 určete sílu této preference vůči druhému kritériu z páru.
Stupnice preferencí je následující:
- 1 - stejná preference (není nutné zvolit preferované kritérium z páru)
- 3 - střední preference
- 5 - silná preference
- 7 - velmi silná preference
- 9 - extrémní preference
- (2,4,6,8 hodnoty mezi)
Kritéria
1. Protokoly a technologie
Správné využívání komunikačních protokolů (např. HTTPS pro zabezpečení komunikace mezi klientem a serverem) a aktuálnost technologií. Korektní použití praktik a technologií pro eliminaci kybernetických útoků jako jsou SQL injection, XSS, CSRF a dalších uvedených např. zde: https://owasp.org/www-community/attacks/
2. Soulad s GDPR
Důraz na podporu a dodržování pravidel GDPR. Zveřejnění stránek s informacemi ohledně zásad zpracování osobních údajů.
3. Testování
Pravidelné testování na různých úrovních - od vývoje až po případné bezpečností audity externích služeb.
4. Pravidelné aktualizace
Pravidelnost aktualizace technologií použitých k vývoji a provozu webu.
5. Zálohování
Proces vytváření a ukládání kopií dat, souborů nebo konfigurací systému s cílem obnovit je v případě ztráty, selhání hardwaru, kybernetického útoku nebo jiných nepředvídatelných událostí. Data by měla být zálohována jednak pravidelně v určitých časových intervalech a jednak nepravidelně, typicky pokud se dotčená data mění či upravují.
6. Logování
Aplikační a systémové logování událostí pro případné audity. Logy poskytují informace o neobvyklých činnostech či anomáliích, což umožňuje identifikaci potenciálních bezpečnostních hrozeb. V situaci, kdy již bezpečnostní incident nastal, jsou logy klíčovým nástrojem pro zjištění příčin a podkladem pro následná nápravná opatření. Zároveň lze z logů vyčíst, kdo měl k systému přístup a jaké operace a kdy provedl.
7. Nasazení v prostředích
Využití samostatných prostředí pro vývoj, testování a vlastní "ostrou" produkci. Tj. web běží ve více instancích, na kterých lze zkoušet nové funkce, resp. které je možné použít pro testování, aniž by tím byla ohrožena stabilita produkční verze.