Aplikacja firmowa to zwykle dane klientów, zamówienia, dokumenty i dostęp do pieniędzy. Jeden błąd w zabezpieczeniach może oznaczać wyciek danych, kary i utratę zaufania. Dobry wykonawca potrafi spokojnie odpowiedzieć na pytania o bezpieczeństwo. Oto dziesięć, które warto zadać przed rozpoczęciem współpracy.
1. Czy aplikacja będzie chroniona przed typowymi atakami?
Poproś o odniesienie do listy OWASP Top 10, czyli zestawu najczęstszych podatności aplikacji webowych. Wśród nich są SQL injection, XSS (wstrzykiwanie skryptów) i CSRF (podszywanie się pod użytkownika).
2. Jak przechowywane są hasła?
Hasła nigdy nie mogą być zapisywane jawnym tekstem. Powinny być przechowywane w formie skrótu z użyciem sprawdzonych algorytmów (np. bcrypt lub Argon2).
3. Czy cała komunikacja jest szyfrowana?
Aplikacja powinna działać wyłącznie przez HTTPS (TLS), a dane wrażliwe warto szyfrować także w bazie danych.
4. Jak zorganizowana jest kontrola dostępu?
Każdy użytkownik powinien widzieć tylko to, co jest mu potrzebne (zasada najmniejszych uprawnień). Zapytaj o role i sposób ich egzekwowania po stronie serwera, a nie tylko w interfejsie.
5. Czy dostępne jest logowanie wieloskładnikowe (MFA)?
Drugi składnik uwierzytelniania znacząco utrudnia przejęcie konta, zwłaszcza administratora.
6. Jak wyglądają kopie zapasowe i odtwarzanie?
Kopie zapasowe są ważne tylko wtedy, gdy da się z nich odtworzyć dane. Zapytaj, jak często powstają, gdzie są przechowywane i czy odtwarzanie jest testowane.
7. Czy środowiska testowe i produkcyjne są rozdzielone?
Dane prawdziwych klientów nie powinny trafiać na środowiska testowe, a zmiany powinny być sprawdzane przed wdrożeniem na produkcję.
8. Jak zarządzane są klucze, hasła systemowe i aktualizacje?
Sekrety (klucze API, hasła do baz) nie mogą leżeć w kodzie ani w repozytorium. Regularne aktualizowanie bibliotek zamyka znane luki.
9. Czy zdarzenia są logowane, a aplikacja monitorowana?
Logi i alerty pozwalają szybko zauważyć podejrzaną aktywność. Warto wiedzieć też, jaki jest plan reagowania na incydent.
10. Jak aplikacja traktuje dane osobowe (RODO)?
Zapytaj, jakie dane są zbierane, gdzie przechowywane, czy da się je usunąć lub wyeksportować oraz jakie umowy (np. powierzenia przetwarzania danych) są potrzebne.
Co z normami ISO? ISO/IEC 27001 to międzynarodowy standard zarządzania bezpieczeństwem informacji w organizacji. Dotyczy procesów i polityk firmy, a nie pojedynczej aplikacji. Wykonawca może stosować jego zasady w codziennej pracy, nawet jeśli nie posiada formalnego certyfikatu. Warto zapytać wprost, co dokładnie oznacza jego deklaracja.
Czego szukać w odpowiedziach
Dobry wykonawca odpowiada konkretnie, tłumaczy dlaczego robi coś w dany sposób i nie obiecuje „pełnego bezpieczeństwa”, bo takie nie istnieje. Ostrożność budzą ogólniki w rodzaju „wszystko jest zabezpieczone” albo niechęć do rozmowy o szczegółach.