Контрольный список для аудита PHP-приложений

01

Контекст и право собственности

Кто принимает решения, управляет системой и понимает её?

Цели, пользователи и ключевые потоки действий задокументированы.У репозиториев, доменов, инфраструктуры и поставщиков есть свои владельцы.Владельцы бизнеса, продукта, кода, данных и операций известны.Учитываются временные рамки выпуска и допустимое время простоя.

02

Код и зависимости

Что можно безопасно изменить.

Проводится инвентаризация версий PHP, фреймворков, расширений и Composer.Проект устанавливается с чистой копии, используя проверенные инструкции.Границы между доменами, инфраструктурой и интерфейсами понятны.Выявлены заброшенные зависимости и дублирование.

03

Данные и интеграции

Происхождение, качество и стабильность.

Определены таблицы, объем, срок хранения и конфиденциальные данные.Миграции схем версионируются, проверяются и являются обратимыми.Проводится инвентаризация API, веб-хуков, импорта и запланированных заданий.Повторные попытки предотвращают дублирование операций.

04

Безопасность

Меры контроля, связанные с фактическим риском.

Аутентификация, авторизация и сеансы осуществляются в соответствии с установленной политикой.Вводимые данные, запросы, HTML-код и файлы проверяются с учетом контекста.Секретные данные и учетные данные не встроены в репозиторий.Для уязвимых зависимостей существует процесс оценки и реагирования.

05

Тестирование и доставка

Изменения без опоры на память.

Для критически важных процессов используется автоматизация или проверенный тестовый скрипт.Репрезентативная среда подтверждает правильность изменений.В разделе "Выпуск" указаны этапы, ответственные лица, проверки и откат.Определение завершенности включает в себя проверку, тестирование и документирование.

06

Операции

Обнаружение и восстановление.

Журналы событий могут следовать за соответствующим запросом или операцией.Показатели и оповещения связывают результаты с конкретными действиями.Резервное копирование выполнено, восстановление протестировано.Схемы действий в чрезвычайных ситуациях существуют для отдельных инцидентов и повторяющихся задач.

Рекомендуемое использование

Превратите ответы в решения.

Составляйте ссылки на подтверждающие материалы рядом с каждым ответом.
Разделите непосредственные риски и структурные улучшения.
Каждому неизвестному лицу назначается владелец и производится следующая проверка.
Превратите полученные результаты в поэтапный план, а не в сплошной список.

Следующий шаг

Материалы, связанные с этим решением

Продолжить с диагностикой, выполнением или смежным опытом.