Webanwendungssicherheit
Webanwendungen und Dienste vor Angriffen schützen.
Webanwendungssicherheit wird durch die NIST CSF 2.0 Outcomes PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001, CMMC und 800-53. Redaktionell Redaktionell zugeordnet in CIS v8.1, SOC 2 und PCI DSS. In HIPAA und NIS2 nur lose verwandt. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für GDPR, Essential Eight, DORA, CPS 234 und Cyber Essentials.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Networks and environments are protected from unauthorized logical access and usage | Themendefinition | PR.PS-06 PR.IR-01 |
| ISO 27001 | A.8.26 | Application security requirements | Crosswalk | A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 13.10CIS 16.10CIS 9.3 | Perform Application Layer Filtering; Apply Secure Design Principles in Application Architectures; Maintain and Enforce Network-Based URL Filters | Redaktionell | CIS 13.10: Application-layer filtering proxies or gateways in front of web traffic (IG3), the CIS equivalent of a WAF-style control. CIS 16.10: Secure design principles in application architectures, applied to web applications. CIS 9.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): network-based URL filters. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | Redaktionell | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.4.16.4.3 | Public web applications protected against attacks; Payment page scripts authorised and integrity-checked | Redaktionell | 6.4.1: Public-facing web applications protected against attacks; omitted from NIST's PCI references. 6.4.3: Payment-page scripts managed and authorized; NIST links it to DE.CM-09 rather than these subcategories. |
| CMMC | SC.L2-3.13.1 | Boundary Protection | Crosswalk | SC.L2-3.13.1: via 800-171r3 03.13.01 ↔ PR.IR-01 → SC-7; 800-171r2 Appendix D → SC-7 |
| 800-53 | SC-7SI-10 | Boundary Protection; Information Input Validation | Crosswalk | SC-7: via PR.IR-01 SI-10: Input validation is the core web-application defence; not linked to these subcategories in NIST's references. |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)§164.312(a)§164.312(a)(2)(i) | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.PS-06, PR.IR-01) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| GDPR | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine GDPR-Anforderung diesem Thema zugeordnet. |
| NIS2 | 6.26.76.8 | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.PS-06, PR.IR-01) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| Essential Eight | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Essential Eight-Anforderung diesem Thema zugeordnet. |
| DORA | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine DORA-Anforderung diesem Thema zugeordnet. |
| CPS 234 | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine CPS 234-Anforderung diesem Thema zugeordnet. |
| Cyber Essentials | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Cyber Essentials-Anforderung diesem Thema zugeordnet. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über Webanwendungssicherheit
Webanwendungssicherheit schützt internetseitig erreichbare Anwendungen und Dienste vor gängigen Angriffsvektoren, darunter Cross-Site-Scripting (XSS), SQL-Injection, Cross-Site-Request-Forgery (CSRF) und Distributed-Denial-of-Service-Angriffe (DDoS). Die Umsetzung umfasst den Einsatz von Web Application Firewalls (WAFs), die Implementierung von Content Security Policies (CSP), die durchgängige Erzwingung von HTTPS für alle Webangebote sowie regelmäßige Penetrationstests von Webanwendungen. Organisationen sollten außerdem sichere HTTP-Header implementieren, TLS-Zertifikate proaktiv verwalten und ein Inventar aller öffentlich zugänglichen Webanwendungen und APIs pflegen.