Seguridad de APIs
Proteja las APIs mediante autenticación, limitación de tasa, validación de entradas y monitorización.
Seguridad de APIs se define por los resultados de NIST CSF 2.0 PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.AA-03 (Users, services, and hardware are authenticated); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, PCI DSS y 800-53. Editorial Con correspondencia editorial en CIS v8.1. Solo relación tangencial en CMMC, HIPAA y NIS2. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para SOC 2, GDPR, Essential Eight, DORA, CPS 234 y Cyber Essentials.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.AA-03PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Users, services, and hardware are authenticated; Networks and environments are protected from unauthorized logical access and usage | Definición del tema | PR.PS-06 PR.AA-03 PR.IR-01 |
| ISO 27001 | A.8.5A.8.26 | Secure authentication; Application security requirements | Correspondencia | A.8.5: via PR.AA-03 A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 16.10CIS 16.12 | Apply Secure Design Principles in Application Architectures; Implement Code-Level Security Checks | Editorial | CIS 16.10: Secure design principles in application architectures, which apply to APIs as much as user interfaces. CIS 16.12: Code-level security checks catch API flaws such as injection and broken authorisation before release. |
| SOC 2 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de SOC 2 está asignado a este tema en nuestros datos. |
| PCI DSS | 6.2.36.2.4 | Custom code reviewed before release; Coding techniques prevent common software attacks | Correspondencia | 6.2.3: via PR.PS-06 6.2.4: Engineering techniques against common attacks, including API abuse; omitted from NIST's PCI references. |
| CMMC | SC.L2-3.13.2AC.L2-3.1.8AC.L2-3.1.11IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3 | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.PS-06, PR.AA-03, PR.IR-01) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| 800-53 | IA-9SC-5SI-10 | Service Identification and Authentication; Denial-of-service Protection; Information Input Validation | Correspondencia | IA-9: via PR.AA-03 SC-5: via PR.IR-01 SI-10: Input validation; not linked to these subcategories in NIST's references. |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.PS-06, PR.AA-03, PR.IR-01) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| GDPR | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de GDPR está asignado a este tema en nuestros datos. |
| NIS2 | 6.211.611.76.76.8 | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.PS-06, PR.AA-03, PR.IR-01) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| Essential Eight | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Essential Eight está asignado a este tema en nuestros datos. |
| DORA | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de DORA está asignado a este tema en nuestros datos. |
| CPS 234 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CPS 234 está asignado a este tema en nuestros datos. |
| Cyber Essentials | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Cyber Essentials está asignado a este tema en nuestros datos. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Seguridad de APIs
La seguridad de las APIs protege las interfaces de programación de aplicaciones frente a abusos, accesos no autorizados y exposición de datos, a medida que las organizaciones dependen cada vez más de las APIs para la integración de sistemas, las aplicaciones móviles y la conectividad con socios. Los controles clave incluyen la implementación de autenticación mediante OAuth 2.0 o claves de API, la aplicación de limitación de tasa y control de tráfico para prevenir abusos, la validación de todas las entradas para prevenir ataques de inyección y el registro de las llamadas a las APIs con fines de monitorización y análisis forense. Las organizaciones deben mantener un inventario completo de todas las APIs, realizar pruebas periódicas de seguridad de APIs alineadas con el OWASP API Security Top 10 e implementar pasarelas de APIs que centralicen la autenticación, la autorización y la gestión del tráfico.