Keamanan API
Amankan API melalui autentikasi, pembatasan laju (rate limiting), validasi input, dan pemantauan.
Keamanan API didefinisikan oleh hasil-hasil NIST CSF 2.0 PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.AA-03 (Users, services, and hardware are authenticated); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage). Crosswalk Dipetakan melalui crosswalk yang dipublikasikan dalam ISO 27001, PCI DSS dan 800-53. Editorial Dipetakan secara editorial dalam CIS v8.1. Hanya terkait secara longgar dalam CMMC, HIPAA dan NIS2. Tidak ada pemetaan dalam data kami Tidak ada pemetaan dalam data kami untuk SOC 2, GDPR, Essential Eight, DORA, CPS 234 dan Cyber Essentials.
| Kerangka kerja | Persyaratan | Judul | Tautan | Sumber / alasan |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.AA-03PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Users, services, and hardware are authenticated; Networks and environments are protected from unauthorized logical access and usage | Definisi topik | PR.PS-06 PR.AA-03 PR.IR-01 |
| ISO 27001 | A.8.5A.8.26 | Secure authentication; Application security requirements | Crosswalk | A.8.5: via PR.AA-03 A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 16.10CIS 16.12 | Apply Secure Design Principles in Application Architectures; Implement Code-Level Security Checks | Editorial | CIS 16.10: Secure design principles in application architectures, which apply to APIs as much as user interfaces. CIS 16.12: Code-level security checks catch API flaws such as injection and broken authorisation before release. |
| SOC 2 | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan SOC 2 yang dipetakan ke topik ini dalam data kami. |
| PCI DSS | 6.2.36.2.4 | Custom code reviewed before release; Coding techniques prevent common software attacks | Crosswalk | 6.2.3: via PR.PS-06 6.2.4: Engineering techniques against common attacks, including API abuse; omitted from NIST's PCI references. |
| CMMC | SC.L2-3.13.2AC.L2-3.1.8AC.L2-3.1.11IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3 | Tidak dipetakan ke topik ini | Persyaratan ini hanya berbagi hasil CSF topik ini (PR.PS-06, PR.AA-03, PR.IR-01) melalui crosswalk yang diterbitkan: layak diperiksa, bukan pemetaan. | |
| 800-53 | IA-9SC-5SI-10 | Service Identification and Authentication; Denial-of-service Protection; Information Input Validation | Crosswalk | IA-9: via PR.AA-03 SC-5: via PR.IR-01 SI-10: Input validation; not linked to these subcategories in NIST's references. |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | Tidak dipetakan ke topik ini | Persyaratan ini hanya berbagi hasil CSF topik ini (PR.PS-06, PR.AA-03, PR.IR-01) melalui crosswalk yang diterbitkan: layak diperiksa, bukan pemetaan. | |
| GDPR | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan GDPR yang dipetakan ke topik ini dalam data kami. |
| NIS2 | 6.211.611.76.76.8 | Tidak dipetakan ke topik ini | Persyaratan ini hanya berbagi hasil CSF topik ini (PR.PS-06, PR.AA-03, PR.IR-01) melalui crosswalk yang diterbitkan: layak diperiksa, bukan pemetaan. | |
| Essential Eight | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan Essential Eight yang dipetakan ke topik ini dalam data kami. |
| DORA | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan DORA yang dipetakan ke topik ini dalam data kami. |
| CPS 234 | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan CPS 234 yang dipetakan ke topik ini dalam data kami. |
| Cyber Essentials | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan Cyber Essentials yang dipetakan ke topik ini dalam data kami. |
Definisi topik Hasil CSF 2.0 yang mendefinisikan topik ini · Crosswalk setidaknya satu pilihan didukung crosswalk yang dipublikasikan · Editorial Penilaian ControlMapping, beserta alasannya · belum dipetakan, hanya berbagi hasil CSF untuk topik ini · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Metodologi.
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Pemetaan salah atau belum ada? Laporkan
Tentang Keamanan API
Keamanan API melindungi antarmuka pemrograman aplikasi (application programming interface) dari penyalahgunaan, akses tidak sah, dan paparan data, seiring organisasi yang semakin mengandalkan API untuk integrasi sistem, aplikasi seluler, dan konektivitas mitra. Kontrol utama mencakup penerapan autentikasi OAuth 2.0 atau kunci API, penegakan pembatasan laju dan throttling untuk mencegah penyalahgunaan, validasi seluruh input untuk mencegah serangan injeksi, serta pencatatan panggilan API untuk keperluan pemantauan dan forensik. Organisasi sebaiknya memelihara inventaris lengkap seluruh API, melakukan pengujian keamanan API secara berkala yang selaras dengan OWASP API Security Top 10, dan menerapkan API gateway yang memusatkan autentikasi, otorisasi, dan manajemen lalu lintas.