Security risk in legacy system: Difference between revisions
Jump to navigation
Jump to search
mNo edit summary |
No edit summary |
||
| Line 5: | Line 5: | ||
== 短期處理策略 == | == 短期處理策略 == | ||
* | '''建立自由軟體資訊清單''' 確認 legacy system 程度 | ||
** | * 盤點公司網站使用到哪些開放原始碼專案清單、版本、授權方案？哪些功能模組是公司自行撰寫的？ | ||
* [https://docs.google.com/spreadsheets/d/1UarMQhYT4E0e_6dFCNGaw2_TNU2v83heZa2USneo5YQ/edit?usp=sharing 自由軟體資訊清單 文件範本] example: [http://confluence.jetbrains.com/display/PhpStorm/Third-Party+Software+Used+by+PhpStorm Third-Party Software Used by PhpStorm] | |||
* 相關資料: [http://www.openfoundry.org/tw/legal-column-list/8397-2011-07-22-09-56-32 善用自由軟體資訊清單有效降低法律糾紛的風險 - OpenFoundry] | |||
'''建立功能測試文件、服務中斷與資料遺失的風險評估''' | |||
* 不確定是否影響公司網站，代表公司自行撰寫的功能模組缺乏單元測試。建議先盤點公司網站功能，以及對應需要進行的功能測試，先寫成測試文件。例如：網站會員註冊功能模組，需要 (1) 訪客填寫表單時的檢查資料、 (2) Email 驗證、(3) 開通帳號的功能測試步驟等等。 | |||
** 短期先進行人工測試。 | ** 短期先進行人工測試。 | ||
* 假設當資安入侵造成服務中斷、資料遺失的風險評估：如果目前備份週期是每週一次，而資料遺失的容許時間卻更短。代表需要投入人力與金錢資源改善流程。請與老闆討論確認。 | * 假設當資安入侵造成服務中斷、資料遺失的風險評估：如果目前備份週期是每週一次，而資料遺失的容許時間卻更短。代表需要投入人力與金錢資源改善流程。請與老闆討論確認。 | ||
| Line 14: | Line 19: | ||
'''如果測試環境的公司網站不能正常運作''' | '''如果測試環境的公司網站不能正常運作''' | ||
額外建立測試環境，升級已經修復資安漏洞的開放原始碼套件版本，檢查與公司網站是否正常運作。方案 | |||
* 如果必須公司網站維持上線: 一種方案是增購「網頁應用程式防火牆」（WAF），可以先檔一段時間 ''$'' | * 如果必須公司網站維持上線: 一種方案是增購「網頁應用程式防火牆」（WAF），可以先檔一段時間 ''$'' | ||
* 盤點公司網站功能模組，不能正常運作的網站功能是否是 (1) 可以完全下線、(2)改用別的模組上線 | * 盤點公司網站功能模組，不能正常運作的網站功能是否是 (1) 可以完全下線、(2)改用別的模組上線 | ||
== 長期處理策略 == | == 長期處理策略 == | ||
根據規格文件，撰寫測試與調整測試方式。改善公司軟體開發方式。 | * 根據規格文件，撰寫測試與調整測試方式。改善公司軟體開發方式。 | ||
* 根據「自由軟體資訊清單」訂閱相關專案論壇或電子報，留意版本更新與資安通告方面的訊息。 | |||
Revision as of 08:22, 9 July 2018
案例狀況: 公司網站使用到開放原始碼專案的兩個套件，但是都發生資安漏洞。但是不確定更新套件後，是否會影響公司網站。
建議處理方式:
短期處理策略
建立自由軟體資訊清單 確認 legacy system 程度
- 盤點公司網站使用到哪些開放原始碼專案清單、版本、授權方案？哪些功能模組是公司自行撰寫的？
- 自由軟體資訊清單 文件範本 example: Third-Party Software Used by PhpStorm
- 相關資料: 善用自由軟體資訊清單有效降低法律糾紛的風險 - OpenFoundry
建立功能測試文件、服務中斷與資料遺失的風險評估
- 不確定是否影響公司網站，代表公司自行撰寫的功能模組缺乏單元測試。建議先盤點公司網站功能，以及對應需要進行的功能測試，先寫成測試文件。例如：網站會員註冊功能模組，需要 (1) 訪客填寫表單時的檢查資料、 (2) Email 驗證、(3) 開通帳號的功能測試步驟等等。
- 短期先進行人工測試。
- 假設當資安入侵造成服務中斷、資料遺失的風險評估：如果目前備份週期是每週一次，而資料遺失的容許時間卻更短。代表需要投入人力與金錢資源改善流程。請與老闆討論確認。
- 如果資料包含個資，需要進行個資盤點[1]。
如果測試環境的公司網站不能正常運作
額外建立測試環境，升級已經修復資安漏洞的開放原始碼套件版本，檢查與公司網站是否正常運作。方案
- 如果必須公司網站維持上線: 一種方案是增購「網頁應用程式防火牆」（WAF），可以先檔一段時間 $
- 盤點公司網站功能模組，不能正常運作的網站功能是否是 (1) 可以完全下線、(2)改用別的模組上線
長期處理策略
- 根據規格文件，撰寫測試與調整測試方式。改善公司軟體開發方式。
- 根據「自由軟體資訊清單」訂閱相關專案論壇或電子報，留意版本更新與資安通告方面的訊息。