Wat houdt deze control in?
Principes voor veilig programmeren moeten worden toegepast om kwetsbaarheden zoals SQL-injectie en XSS te voorkomen.
Waarom is dit verplicht?
Applicatiekwetsbaarheden zijn een van de meest gebruikte aanvalsvectoren.
Praktische implementatie
- Train ontwikkelaars op basis van OWASP Top 10
- Gebruik statische code-analysetools (SAST)
- Voer beveiligingsgerichte code-reviews uit
- Stel een secure coding standaard op
Aandachtspunten voor de overheid
Bij uitbestede ontwikkeling moeten veilig-codeerstandaarden contractueel worden verplicht.
Relatie met andere controls
Gerelateerd aan 8.25 (ontwikkelomgeving) en 8.29 (beveiligingstesten).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je past principes voor veilig programmeren toe om kwetsbaarheden zoals SQL-injectie en XSS te voorkomen. Applicatiekwetsbaarheden zijn een van de meest gebruikte aanvalsvectoren. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Bij uitbestede ontwikkeling moeten veilig-codeerstandaarden contractueel worden verplicht.
Passende maatregelen
4 basismaatregelen.
- ›Stel een secure coding-standaard op en train ontwikkelaars op basis van de OWASP Top 10.
- ›Gebruik statische code-analyse (SAST).
- ›Voer beveiligingsgerichte code-reviews uit.
- ›Verplicht veilig-codeerstandaarden contractueel bij uitbestede ontwikkeling.
Bewijs dat je kunt verzamelen
- ›De secure coding-standaard en trainingsbewijs (OWASP)
- ›SAST-inrichting en -resultaten
- ›Bewijs van beveiligingsgerichte code-reviews
- ›Contractuele veilig-codeereisen bij uitbesteding
Wat je bij een audit moet kunnen aantonen
- ›Dat een secure coding-standaard bestaat
- ›Dat SAST wordt toegepast
- ›Dat beveiligingsgerichte reviews plaatsvinden
- ›Dat uitbestede ontwikkeling contractueel aan de standaard is gebonden
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een secure coding-standaard vastgesteld?
- ›Is SAST/review belegd?
- ›Zijn contractuele eisen voor uitbesteding bepaald?
- ›Wordt de standaard toegepast?
- ›Draait SAST?
- ›Vinden security-reviews plaats?
- ›Blijft de standaard actueel (OWASP)?
- ›Worden SAST-bevindingen opgevolgd?
- ›Houden leveranciers zich aan de eisen?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.