API-Sicherheit
APIs absichern durch Authentifizierung, Ratenbegrenzung, Eingabevalidierung und Überwachung.
API-Sicherheit wird durch die NIST CSF 2.0 Outcomes PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.AA-03 (Users, services, and hardware are authenticated); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001, PCI DSS und 800-53. Redaktionell Redaktionell zugeordnet in CIS v8.1. In CMMC, HIPAA und NIS2 nur lose verwandt. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für SOC 2, GDPR, Essential Eight, DORA, CPS 234 und Cyber Essentials.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.AA-03PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Users, services, and hardware are authenticated; Networks and environments are protected from unauthorized logical access and usage | Themendefinition | PR.PS-06 PR.AA-03 PR.IR-01 |
| ISO 27001 | A.8.5A.8.26 | Secure authentication; Application security requirements | Crosswalk | A.8.5: via PR.AA-03 A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 16.10CIS 16.12 | Apply Secure Design Principles in Application Architectures; Implement Code-Level Security Checks | Redaktionell | CIS 16.10: Secure design principles in application architectures, which apply to APIs as much as user interfaces. CIS 16.12: Code-level security checks catch API flaws such as injection and broken authorisation before release. |
| SOC 2 | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine SOC 2-Anforderung diesem Thema zugeordnet. |
| PCI DSS | 6.2.36.2.4 | Custom code reviewed before release; Coding techniques prevent common software attacks | Crosswalk | 6.2.3: via PR.PS-06 6.2.4: Engineering techniques against common attacks, including API abuse; omitted from NIST's PCI references. |
| CMMC | SC.L2-3.13.2AC.L2-3.1.8AC.L2-3.1.11IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3 | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.PS-06, PR.AA-03, PR.IR-01) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| 800-53 | IA-9SC-5SI-10 | Service Identification and Authentication; Denial-of-service Protection; Information Input Validation | Crosswalk | IA-9: via PR.AA-03 SC-5: via PR.IR-01 SI-10: Input validation; not linked to these subcategories in NIST's references. |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.PS-06, PR.AA-03, PR.IR-01) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| GDPR | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine GDPR-Anforderung diesem Thema zugeordnet. |
| NIS2 | 6.211.611.76.76.8 | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.PS-06, PR.AA-03, PR.IR-01) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| Essential Eight | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Essential Eight-Anforderung diesem Thema zugeordnet. |
| DORA | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine DORA-Anforderung diesem Thema zugeordnet. |
| CPS 234 | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine CPS 234-Anforderung diesem Thema zugeordnet. |
| Cyber Essentials | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Cyber Essentials-Anforderung diesem Thema zugeordnet. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über API-Sicherheit
API-Sicherheit schützt Anwendungsprogrammierschnittstellen vor Missbrauch, unbefugtem Zugriff und Datenoffenlegung, da Organisationen zunehmend auf APIs für Systemintegration, mobile Anwendungen und Partneranbindungen angewiesen sind. Zu den zentralen Kontrollen gehören die Implementierung von OAuth 2.0 oder API-Key-Authentifizierung, die Durchsetzung von Ratenbegrenzung und Drosselung zur Verhinderung von Missbrauch, die Validierung sämtlicher Eingaben zur Abwehr von Injection-Angriffen sowie die Protokollierung von API-Aufrufen für Überwachungs- und forensische Zwecke. Organisationen sollten ein vollständiges Inventar aller APIs pflegen, regelmäßige API-Sicherheitstests gemäß der OWASP API Security Top 10 durchführen und API-Gateways implementieren, die Authentifizierung, Autorisierung und Traffic-Management zentral bündeln.