PHPアプリケーション監査チェックリスト

01

文脈と所有権

誰がシステムを決定し、運用し、理解するのか。

目標、ユーザー、重要なフローが文書化されている。リポジトリ、ドメイン、インフラストラクチャ、サプライヤーには所有者がいる。ビジネス、製品、コード、データ、および運用に関する責任者は特定されている。リリース期間とダウンタイム許容範囲は理解されています。

02

安全に変更できるものは何だろうか。

PHP、フレームワーク、拡張機能、およびComposerのバージョンが一覧化されています。このプロジェクトは、検証済みの手順書に基づいて、クリーンなコピーからインストールされます。ドメイン、インフラストラクチャ、インターフェースの境界は理解しやすい。放棄された依存関係と重複が特定されます。

03

原産地、品質、そして一貫性。

表、容量、保存期間、および機密データが特定されます。スキーマの移行はバージョン管理され、レビューされ、元に戻すことができます。API、Webhook、インポート、およびスケジュールされたジョブがインベントリされます。再試行により、重複操作が防止されます。

04

実際のリスクに関連する管理策。

認証、認可、およびセッションは、既知のポリシーに従います。入力、クエリ、HTML、およびファイルは、コンテキストに基づいて検証されます。機密情報や認証情報はリポジトリに埋め込まれていません。脆弱な依存関係には、評価および対応プロセスが存在する。

05

記憶に頼らずに変更する。

重要なフローには、自動化または検証済みのテストスクリプトが備わっている。代表的な環境は変更の妥当性を検証する。リリースには、手順、担当者、チェック、ロールバックが含まれます。完了の定義には、レビュー、テスト、およびドキュメント作成が含まれます。

06

検知して復旧する。

ログは、関連するリクエストまたは操作を追跡することができます。指標とアラートは、影響と行動を結びつけます。バックアップは実行され、復元テストも実施済みです。インシデント対応や定期的な作業には、それぞれランブック（運用マニュアル）が存在する。

推奨される使用方法

次のステップ

診断、処置、または関連する経験を継続してください。