Sovellusturvallisuus

Sovellusturvallisuus tarkoittaa ohjelmistojen kehittämisen, toimituksen ja käytön turvallisuuteen liittyvää kokonaisuutta. Sen tavoitteena on estää hyökkäykset, tietovuodot, väärinkäyttö ja palvelun keskeytykset sekä varmistaa luottamuksellisuus, eettinen käyttö ja saatavuus. Työ keskittyy sekä ohjelmiston suunnitteluun että sen elinkaaren hallintaan.

Keskeisiä osa-alueita ovat turvallisuutta ohjaava ohjelmistokehityksen elinkaari eli Secure Software Development Lifecycle (SDLC), riskinarviointi ja uhkakuvien (threat modeling) huomiointi jo suunnitteluvaiheessa. Arkkitehtuurin ja toteutuksen turvallisuus sekä riippuvuuksien hallinta muodostavat tärkeän perustan. Riippuvuudet ja toimitusketju on varmistettava, jotta kolmansien osapuolien komponentteihin ei liity riskitekijöitä.

Turvallisuustestaus kattaa sekä stattisen koodianalyysin (SAST) että dynaamisen testaamisen (DAST), riippuvuuksien turvallisuusskanoinnin, penetraatiotestauksen sekä muut laadunvarmistuksen menetelmät kuten fuzzing. Käytännöt korostavat vähiten etuoikeuden periaatetta, vahvoja todennuksia, turvallisia oletusasetuksia, syötteen validointia, salaus both at rest ja in transit sekä asianmukaisia virhe- ja poikkeamienhallintaprosesseja. Lokitus, monitorointi ja reagointi poikkeamiin ovat olennaisia jatkuvan turvallisuuden varmistamisessa.

Sovellusturvallisuus viittaa myös säädöksiin ja standardeihin, kuten OWASP Top 10, ISO/IEC 27034 ja tarvittaessa GDPR-yhteensopivuuteen. Yhteistyö kehittäjien, tietoturvan ja liiketoiminnan välillä sekä jatkuva parantaminen elinkaaren jokaisessa vaiheessa ovat avainasemassa.