A.7 Implementierung
Objective: Die Anwendung der Prinzipien sicherer Implementierung vermeidet Sicherheitslücken durch die Verwendung unsicherer Funktionen und Bibliotheken.
Control 7.1: Vorgaben zum Umgang mit Daten
Es sollte Richtlinien zur Pseudonymisierung, Verschlüsselung und Übermittlung und Speicherung sensibler Daten geben. Diese Richtlinien müssen regelmäßig überprüft und auf einen aktuellen Stand gebracht werden.
Control 7.2: Verwendung von Kryptografie
Die Art und Verwendung von kryptografischen Funktionen sollte dokumentiert sein. Die Art sollte in Form einer Whitelist definiert werden. Nicht auf dieser Whitelist befindliche Algorithmen dürfen nicht verwendet werden.
Control 7.3: Verwendung von Bibliotheken
Bei der Verwendung von Bibliotheken externer Anbieter muss die Sicherheit dieser Bibliotheken gewährleistet sein.
Control 7.4: Verbotene Funktionen
Es sollte eine Blacklist definiert werden, auf der verbotene Funktionen aufgelistet sind.
Control 7.5: Implementierungsrichtlinien
Für jede verwendete Programmiersprache sollten Implementierungsrichtlinien vorhanden sein. Diese Richtlinien müssen regelmäßig geprüft und auf einen aktuellen Stand gebracht werden.
Control 7.6: Vorgaben zur Fehlerbehandlung
Für die Fehlerbehandlungen in Programmen sollte eine verbindliche Richtlinie bestehen, um sicherzustellen, dass sicherheitskritische Fehler ausreichend abgefangen werden.
Control 7.7: Ein- und Ausgabe-Validierung
In allen Programmteilen muss zwingend Ein- und Ausgabe-Validierung stattfinden. Hierzu sollten ausschließlich Bibliotheken oder Funktionen zum Einsatz kommen, die eine ausreichende Ein- und Ausgabe-Validierung sicherstellen.
Control 7.8: Tool-Unterstützung
Es sollten Tools in den Build-Prozess eingebunden sein, die die Einhaltung der Implementierungsvorgaben prüfen und Aktionen bei Nichteinhaltung initiieren können.
Control 7.9: Auswahl von Sprachen und Technologien
Programmiersprachen und Technologien sollten stets im Rahmen einer Risikobewertung ausgewählt werden.
Control 7.10: Dokumentation aller Tools
Sämtliche im Implementierungsprozess zum Einsatz kommende Tools (Compiler, Build-Tools, Code-Checker etc.) müssen dokumentiert sein. Die Dokumentation muss stets auf einem aktuellen Stand, d. h., ins Patchmanagement eingebunden sein.
Control 7.11: Richtlinien für Code-Kommentierung
Kommentare im Quelltext sollten in Art und Anzahl so beschaffen sein, dass sie manuelles Code-Audit unterstützen können.
Control 7.12: Versionsstände von Tools
Für die Entwicklung verwendete Tools müssen stets für alle Entwickler eines Projekts auf demselben Versionsstand sein.
Ihr Kommentar
Wie hat Ihnen das <openbook> gefallen? Wir freuen uns immer über Ihre freundlichen und kritischen Rückmeldungen.
