Sécurité web
Protéger les applications et services web contre les attaques.
Sécurité web est défini par les résultats NIST CSF 2.0 PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, CMMC et 800-53. Éditorial Mis en correspondance de manière éditoriale dans CIS v8.1, SOC 2 et PCI DSS. Seulement faiblement liés dans HIPAA et NIS2. Aucune correspondance dans nos données Aucune correspondance dans nos données pour GDPR, Essential Eight, DORA, CPS 234 et Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Networks and environments are protected from unauthorized logical access and usage | Définition du sujet | PR.PS-06 PR.IR-01 |
| ISO 27001 | A.8.26 | Application security requirements | Correspondance | A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 13.10CIS 16.10CIS 9.3 | Perform Application Layer Filtering; Apply Secure Design Principles in Application Architectures; Maintain and Enforce Network-Based URL Filters | Éditorial | CIS 13.10: Application-layer filtering proxies or gateways in front of web traffic (IG3), the CIS equivalent of a WAF-style control. CIS 16.10: Secure design principles in application architectures, applied to web applications. CIS 9.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): network-based URL filters. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | Éditorial | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.4.16.4.3 | Public web applications protected against attacks; Payment page scripts authorised and integrity-checked | Éditorial | 6.4.1: Public-facing web applications protected against attacks; omitted from NIST's PCI references. 6.4.3: Payment-page scripts managed and authorized; NIST links it to DE.CM-09 rather than these subcategories. |
| CMMC | SC.L2-3.13.1 | Boundary Protection | Correspondance | SC.L2-3.13.1: via 800-171r3 03.13.01 ↔ PR.IR-01 → SC-7; 800-171r2 Appendix D → SC-7 |
| 800-53 | SC-7SI-10 | Boundary Protection; Information Input Validation | Correspondance | SC-7: via PR.IR-01 SI-10: Input validation is the core web-application defence; not linked to these subcategories in NIST's references. |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)§164.312(a)§164.312(a)(2)(i) | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.PS-06, PR.IR-01) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| GDPR | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence GDPR n'est mise en correspondance avec ce thème dans nos données. |
| NIS2 | 6.26.76.8 | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.PS-06, PR.IR-01) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence DORA n'est mise en correspondance avec ce thème dans nos données. |
| CPS 234 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CPS 234 n'est mise en correspondance avec ce thème dans nos données. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Sécurité web
La sécurité web protège les applications et services exposés sur internet contre les principaux vecteurs d'attaque, notamment le cross-site scripting (XSS), l'injection SQL, la falsification de requête inter-sites (CSRF) et les attaques par déni de service distribué (DDoS). Sa mise en œuvre passe par le déploiement de pare-feu d'applications web (WAF), la mise en place de politiques de sécurité du contenu (CSP), l'application systématique du HTTPS sur l'ensemble des propriétés web et la réalisation de tests d'intrusion réguliers sur les applications web. Les organisations doivent également mettre en place des en-têtes de sécurité, gérer de manière proactive les certificats TLS et maintenir un inventaire de toutes les applications web et API accessibles publiquement.