Безопасность API
Защита API за счёт аутентификации, ограничения частоты запросов, валидации входных данных и мониторинга.
Тема Безопасность API определена результатами NIST CSF 2.0: PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.AA-03 (Users, services, and hardware are authenticated); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, PCI DSS и 800-53. Редакционные материалы Сопоставлено редакторски в CIS v8.1. Только косвенная связь в CMMC, HIPAA и NIS2. Нет сопоставления в наших данных В наших данных нет сопоставления для SOC 2, GDPR, Essential Eight, DORA, CPS 234 и Cyber Essentials.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.AA-03PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Users, services, and hardware are authenticated; Networks and environments are protected from unauthorized logical access and usage | Определение темы | PR.PS-06 PR.AA-03 PR.IR-01 |
| ISO 27001 | A.8.5A.8.26 | Secure authentication; Application security requirements | Соответствия | A.8.5: via PR.AA-03 A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 16.10CIS 16.12 | Apply Secure Design Principles in Application Architectures; Implement Code-Level Security Checks | Редакционные материалы | CIS 16.10: Secure design principles in application architectures, which apply to APIs as much as user interfaces. CIS 16.12: Code-level security checks catch API flaws such as injection and broken authorisation before release. |
| SOC 2 | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование SOC 2 не сопоставлено с этой темой. |
| PCI DSS | 6.2.36.2.4 | Custom code reviewed before release; Coding techniques prevent common software attacks | Соответствия | 6.2.3: via PR.PS-06 6.2.4: Engineering techniques against common attacks, including API abuse; omitted from NIST's PCI references. |
| CMMC | SC.L2-3.13.2AC.L2-3.1.8AC.L2-3.1.11IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3 | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (PR.PS-06, PR.AA-03, PR.IR-01) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| 800-53 | IA-9SC-5SI-10 | Service Identification and Authentication; Denial-of-service Protection; Information Input Validation | Соответствия | IA-9: via PR.AA-03 SC-5: via PR.IR-01 SI-10: Input validation; not linked to these subcategories in NIST's references. |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (PR.PS-06, PR.AA-03, PR.IR-01) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| GDPR | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование GDPR не сопоставлено с этой темой. |
| NIS2 | 6.211.611.76.76.8 | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (PR.PS-06, PR.AA-03, PR.IR-01) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| Essential Eight | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Essential Eight не сопоставлено с этой темой. |
| DORA | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование DORA не сопоставлено с этой темой. |
| CPS 234 | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование CPS 234 не сопоставлено с этой темой. |
| Cyber Essentials | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Cyber Essentials не сопоставлено с этой темой. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «Безопасность API»
Безопасность API защищает программные интерфейсы приложений от злоупотреблений, несанкционированного доступа и утечек данных, поскольку организации всё чаще опираются на API для интеграции систем, мобильных приложений и связи с партнёрами. Ключевые меры контроля включают внедрение OAuth 2.0 или аутентификации по ключам API, применение ограничения частоты запросов и троттлинга для предотвращения злоупотреблений, валидацию всех входных данных для защиты от атак внедрения и журналирование вызовов API для мониторинга и целей судебно-технического анализа. Организациям следует вести полный инвентарь всех API, регулярно проводить тестирование безопасности API в соответствии с OWASP API Security Top 10 и внедрять API-шлюзы, которые централизуют аутентификацию, авторизацию и управление трафиком.