Sicurezza delle API
Proteggere le API tramite autenticazione, limitazione della frequenza, validazione dell'input e monitoraggio.
Sicurezza delle API è definito dagli esiti PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.AA-03 (Users, services, and hardware are authenticated); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage) di NIST CSF 2.0. Crosswalk Mappato tramite un crosswalk pubblicato in ISO 27001, PCI DSS e 800-53. Redazione Mappato in modo editoriale in CIS v8.1. Solo debolmente correlato in CMMC, HIPAA e NIS2. Nessuna mappatura nei nostri dati Nessuna mappatura nei nostri dati per SOC 2, GDPR, Essential Eight, DORA, CPS 234 e Cyber Essentials.
| Framework | Requisito | Titolo | Collegamento | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.AA-03PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Users, services, and hardware are authenticated; Networks and environments are protected from unauthorized logical access and usage | Definizione dell'argomento | PR.PS-06 PR.AA-03 PR.IR-01 |
| ISO 27001 | A.8.5A.8.26 | Secure authentication; Application security requirements | Crosswalk | A.8.5: via PR.AA-03 A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 16.10CIS 16.12 | Apply Secure Design Principles in Application Architectures; Implement Code-Level Security Checks | Redazione | CIS 16.10: Secure design principles in application architectures, which apply to APIs as much as user interfaces. CIS 16.12: Code-level security checks catch API flaws such as injection and broken authorisation before release. |
| SOC 2 | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di SOC 2 è mappato su questo argomento nei nostri dati. |
| PCI DSS | 6.2.36.2.4 | Custom code reviewed before release; Coding techniques prevent common software attacks | Crosswalk | 6.2.3: via PR.PS-06 6.2.4: Engineering techniques against common attacks, including API abuse; omitted from NIST's PCI references. |
| CMMC | SC.L2-3.13.2AC.L2-3.1.8AC.L2-3.1.11IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3 | Non mappato su questo argomento | Questi requisiti condividono solo gli esiti CSF di questo argomento (PR.PS-06, PR.AA-03, PR.IR-01) tramite crosswalk pubblicati: da verificare, non è una mappatura. | |
| 800-53 | IA-9SC-5SI-10 | Service Identification and Authentication; Denial-of-service Protection; Information Input Validation | Crosswalk | IA-9: via PR.AA-03 SC-5: via PR.IR-01 SI-10: Input validation; not linked to these subcategories in NIST's references. |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | Non mappato su questo argomento | Questi requisiti condividono solo gli esiti CSF di questo argomento (PR.PS-06, PR.AA-03, PR.IR-01) tramite crosswalk pubblicati: da verificare, non è una mappatura. | |
| GDPR | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di GDPR è mappato su questo argomento nei nostri dati. |
| NIS2 | 6.211.611.76.76.8 | Non mappato su questo argomento | Questi requisiti condividono solo gli esiti CSF di questo argomento (PR.PS-06, PR.AA-03, PR.IR-01) tramite crosswalk pubblicati: da verificare, non è una mappatura. | |
| Essential Eight | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di Essential Eight è mappato su questo argomento nei nostri dati. |
| DORA | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di DORA è mappato su questo argomento nei nostri dati. |
| CPS 234 | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di CPS 234 è mappato su questo argomento nei nostri dati. |
| Cyber Essentials | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di Cyber Essentials è mappato su questo argomento nei nostri dati. |
Definizione dell'argomento Risultati CSF 2.0 che definiscono questo tema · Crosswalk almeno una scelta supportata da una tabella di corrispondenza pubblicata · Redazione Giudizio di ControlMapping, con la motivazione · non mappato, condivide solo gli esiti CSF di questo argomento · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Metodologia.
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Mappatura errata o mancante? Segnalalo
Informazioni su Sicurezza delle API
La sicurezza delle API protegge le application programming interface da abusi, accessi non autorizzati ed esposizione dei dati, in un contesto in cui le organizzazioni fanno sempre più affidamento sulle API per l'integrazione dei sistemi, le applicazioni mobili e la connettività con i partner. I controlli chiave includono l'implementazione dell'autenticazione OAuth 2.0 o tramite chiave API, l'applicazione di limitazione della frequenza e throttling per prevenire abusi, la validazione di tutto l'input per prevenire attacchi di injection e la registrazione delle chiamate API a fini di monitoraggio e analisi forense. Le organizzazioni dovrebbero mantenere un inventario completo di tutte le API, condurre test di sicurezza delle API con regolarità in linea con l'OWASP API Security Top 10 e implementare API gateway che centralizzino autenticazione, autorizzazione e gestione del traffico.