Безпека сайтів – це, як правило, забезпечення збереження даних та їх недоступність для сторонніх осіб, а також здатність програми зберігати працездатність при кібератаках і не заражатися вірусами.
Безпека веб-застосунків залежить від якості їх програмного коду, від кваліфікації системного адміністратора та від компетенцій усіх користувачів, які мають доступ до чутливої інформації.
Тобто причинами загроз безпеці — зломів та витоків даних можуть бути:
- Уразливості самого сайту/додатку перед кібератакою – наприклад, відсутність захисту від перебору паролів. Можливість впровадження стороннього коду (XSS, SQL-ін’єкції, відсутність захисту від CSRF)
- Недостатня швидкодія системи або підвищена ресурсоємність обробки запитів, що призводить до вразливості до атак типу «відмова в обслуговуванні» – DDoS
- Помилки, допущені адміністратором веб-сервера – невчасне оновлення ПЗ або небезпечне конфігурування сервісів
- Незнання чи недотримання співробітниками банальних правил безпеки – прості паролі, введення даних на фішингових сайтах, зараження вірусами ПК.
Рекомендації
- Довіряйте розробку вимогливих до рівня безпеки сервісів досвідченим фахівцям. Новачки, як правило, можуть домогтися працездатності програми, але не в змозі врахувати ризики злому та атак типу «відмова в обслуговуванні».
- Адмініструванням сервера повинен на регулярній основі займатися компетентний фахівець. Більшість заражень сайтів вірусами відбувається через те, що серверне програмне забезпечення ніхто не оновлює, а дуже багато витоків даних пов’язані з неправильним конфігуруванням серверних служб (з банального – відкриті «у світ» порти систем зберігання).
- Навчайте користувачів основ інформаційної безпеки, урізуйте права до необхідного для роботи мінімуму та використовуйте моніторинг доступу до чутливої інформації. Безпека сайтів пов’язана саме з некомпетентністю нетехнічного персоналу, що виникають як через банальну некомпетентність (потрапив на фішинг, «випадково» видалив дані), так і за злим наміром (розкрадання клієнтської бази, злив замовлень конкурентам і т.д.)
- Якщо вас мучать сумніви щодо безпеки сайту, то замовте аудит безпеки у незалежної компанії. Ми на своїй практиці були по обидва боки цього процесу – і ми перевіряли сторонні розробки на вразливості, і розроблені нами системи перевіряли.