Lista di controllo per l'audit di un'applicazione PHP

01

Contesto e proprietà

Chi decide, gestisce e comprende il sistema.

Obiettivi, utenti e flussi critici sono documentati.Repository, domini, infrastrutture e fornitori hanno dei proprietari.Sono noti i responsabili di business, prodotto, codice, dati e operazioni.Le finestre di rilascio e la tolleranza ai tempi di inattività sono comprese.

02

Codice e dipendenze

Cosa si può modificare in sicurezza.

Vengono inventariate le versioni di PHP, framework, estensioni e Composer.Il progetto si installa da una copia pulita seguendo istruzioni verificate.I confini del dominio, dell'infrastruttura e dell'interfaccia sono comprensibili.Vengono identificate le dipendenze abbandonate e le duplicazioni.

03

Dati e integrazioni

Origine, qualità e uniformità.

Vengono identificati tabelle, volume, conservazione e dati sensibili.Le migrazioni dello schema sono versionate, revisionate e reversibili.Vengono inventariate le API, i webhook, le importazioni e le attività pianificate.I tentativi di ripetizione impediscono operazioni duplicate.

04

Sicurezza

Controlli relativi al rischio effettivo.

Autenticazione, autorizzazione e sessioni seguono una politica predefinita.Input, query, HTML e file vengono convalidati in base al contesto.Segreti e credenziali non sono incorporati nel repository.Le situazioni di vulnerabilità prevedono un processo di valutazione e di intervento.

05

Test e consegna

Cambiare senza fare affidamento sulla memoria.

I flussi critici sono automatizzati o dotati di uno script di test verificato.Un ambiente rappresentativo convalida le modifiche.Il rilascio prevede fasi, responsabili, verifiche e possibilità di rollback.La definizione di "fatto" include revisione, test e documentazione.

06

Operazioni

Individuare e recuperare.

I log possono essere generati a seguito di una richiesta o operazione pertinente.Metriche e avvisi collegano l'impatto all'azione.Sono stati eseguiti i backup e il ripristino è stato testato.I manuali operativi esistono per gli incidenti e le attività ricorrenti.

Uso consigliato

Trasforma le risposte in decisioni

Allega i link alle prove a supporto di ciascuna risposta.
Distinguere il rischio immediato dal miglioramento strutturale.
Assegna un proprietario e controlla successivamente ogni sconosciuto.
Trasforma i risultati in un piano graduale, non in un elenco statico.

Passo successivo

Contenuti correlati a questa decisione

Proseguire con la diagnosi, l'esecuzione o l'esperienza correlata.