BlogBeveiliging
Securityrisico’s in bedrijfsprocessen herkennen
Breng beveiligingsvragen in de stappen van een bedrijfsproces in kaart.
Een applicatie kan afzonderlijke verzoeken controleren en toch een reeks handelingen toestaan die een bedrijfsregel doorbreekt. Om zulke risico’s te onderzoeken moet je begrijpen wat een proces hoort toe te staan, wie mag handelen en wat gebeurt als stappen anders lopen.
Begin bij het bedoelde proces
Neem een fictief declaratiesysteem: een medewerker dient een declaratie in, een manager keurt die goed en finance verwerkt de betaling. De belangrijkste vraag is niet alleen of elk scherm werkt, maar of de juiste persoon de juiste versie goedkeurt voordat wordt betaald.
Breng betrokkenen, statussen en overgangen in kaart met iemand die het proces beheert. Noteer welke velden na goedkeuring kunnen wijzigen, wie een actie mag annuleren en welke systemen gebeurtenissen ontvangen. Ga er niet van uit dat de technische implementatie altijd de bedoelde regel weergeeft.
Denk aan uitzonderingen en timing
Vraag wat moet gebeuren als een verzoek wordt herhaald, twee gebruikers bijna tegelijk handelen of een gekoppelde dienst tijdelijk niet beschikbaar is. Kan een goedgekeurd bedrag nog wijzigen voor betaling? Kan een afgeronde actie opnieuw worden uitgevoerd? Dit zijn onderzoeksvragen, geen bewijs dat een specifiek systeem kwetsbaar is.
Test alleen met expliciete toestemming, afgesproken accounts en veilige gegevens. Maak afspraken over neveneffecten zoals betalingen, e-mails en diensten van derden; een testomgeving of sandbox kan passend zijn.
Maak van vragen toetsbare afspraken
Beschrijf de verwachte uitkomst voor toegestane én ongewenste handelingen. Onderzoek de relevante applicatie en koppelingen en leg waarnemingen, hiaten en onzekerheden vast. Controleer na een oplossing zowel of de ongewenste reeks wordt tegengehouden als of het normale proces blijft werken.
Bij security op maat beginnen we bij de software en processen die voor je organisatie belangrijk zijn.
