Anforderungen an die Informationssicherheit sollten bei der Entwicklung oder Beschaffung von Anwendungen ermittelt, festgelegt und genehmigt werden.
Der Code wird auf Schwachstellen auf Code-Ebene, schwache Authentifizierungsmuster und Fehler aus den OWASP Top 10 gescannt. Container-Images werden laufend auf Fehlkonfigurationen gescannt.
Alle Ereignisse, Fehler und sicherheitsrelevanten Aktivitäten von Anwendungen werden zentral protokolliert. Prometheus und Grafana erfassen und visualisieren Ressourcenmetriken wirksam.
Der gesamte Anwendungscode wird nach festgelegten Sicherheitsanforderungen entwickelt, einschließlich korrekter Zugriffskontrolle und Berechtigungsprüfungen. Wir nutzen Test-Driven Development (TDD) und umfassende Tests von Anwendungsfällen, um erwartete und negative Szenarien zu prüfen (z. B. dass der Zugriff verweigert wird, wenn er verweigert werden muss).