Bezpečnostní audit není jen penetrační test. Tady je kompletní checklist.
Authentication¶
- ☐ Silné heslo requirements
- ☐ MFA implementováno
- ☐ Session management (timeout, invalidace)
- ☐ Rate limiting na login
- ☐ Password reset withoutpečný
Authorization¶
- ☐ Princip nejsmallerch permissions
- ☐ Role-based access control
- ☐ API endpoint autorizace
- ☐ IDOR prevence
Data¶
- ☐ Šifrování at rest
- ☐ Šifrování in transit (TLS 1.2+)
- ☐ PII klasifikace
- ☐ Backup encryption
- ☐ Log sanitizace (no tokeny v logách)
Infrastructure¶
- ☐ Firewall pravidla reviewována
- ☐ SSH klíče (ne hesla)
- ☐ Secrets v secrets manageru
- ☐ Container scanning
- ☐ Dependency scanning (Snyk, Dependabot)
Compliance¶
- ☐ GDPR souhlas a mazání dat
- ☐ Cookie consent
- ☐ Privacy policy current
- ☐ Data retention policy
Frequency¶
Plný audit alespoň 1× ročně. Automatizované scany (dependency, container) v CI/CD.
securityauditdevsecops