Det vanligaste motargumentet mot egenbyggda system är säkerheten: "ett stort standardsystem har väl ett helt säkerhetsteam?" Sanningen är mer nyanserad. Stora plattformar är också stora måltavlor, och deras sårbarheter publiceras öppet för alla att utnyttja. Ett eget system har inga färdiga angreppsrecept — men det förutsätter att den som bygger tar säkerheten på allvar från första dagen. Så här arbetar vi.
Skydda vägarna in
De flesta angrepp mot verksamhetssystem är oglamorösa: gissade lösenord, formulär som bombas, gamla länkar som provas. Grundskyddet är därför:
text
- Begränsade inloggningsförsök — både per konto och per avsändare, så att varken ett konto kan låsas ute av illvilja eller tusen lösenord provas i minuten
- Alla publika formulär hastighetsbegränsas — även "ofarliga" som kontaktformulär
- Engångslänkar och tokens — ogissbara, kortlivade och lagrade hashade
- Behörighet prövas på servern vid varje anrop — aldrig bara i gränssnittet
Räkna med att något ändå händer
Bra säkerhet antar att ett skydd någon gång brister — och ser till att det märks och begränsas:
- Säkerhetsloggning — misslyckade inloggningar, behörighetsändringar och känsliga åtgärder loggas med tid och avsändare
- Larm vid avvikelser — upprepade misslyckanden ger besked direkt, inte i en rapport nästa månad
- Säkerhetsrubriker och innehållspolicyer — webbläsaren instrueras att vägra köra främmande skript
- Regelbundna genomgångar — vi går igenom våra system punkt för punkt: behörigheter, publika ingångar, filhantering, hemligheter
Säkerhet är en vana, inte en funktion
Det viktigaste är inget av verktygen ovan, utan arbetssättet: säkerheten finns med i kravbilden före första kodraden, prövas vid varje ny funktion och gås igenom regelbundet i drift. Våra egna plattformar Eventprime och MeterFlow förvaltas precis så — och eftersom vi äger koden kan en brist åtgärdas samma dag den upptäcks, i stället för att vänta på en extern leverantörs nästa release.
Vill ni veta hur ert nuvarande system står sig? En säkerhetsgenomgång är ett konkret första steg — och ofta en ögonöppnare.