Anwendungssicherheit
Erkennen Sie Sicherheitslücken vor dem Release oder der Kundenprüfung.
Eine neue API, Mandantenstruktur oder sensible Funktion kann bisherige Prüfungen überholen. Wavect prüft Architektur und Code der Änderung, damit Ihr Team weiß, was vor der Freigabe zu beheben ist.
KURZANTWORT
Ein Review der Anwendungssicherheit prüft, wie eine Anwendung Daten schützt und Zugriffe begrenzt. Wavect prüft vereinbarte Architektur, Quellcode und Schutzmaßnahmen für Webanwendungen und APIs. Sie erhalten priorisierte Befunde und auf Wunsch eine Prüfung vereinbarter Korrekturen.
Geeignet für
- SaaS-Teams mit neuen Rollen, APIs oder Mandantengrenzen
- Produktteams, die Nachweise für die Sicherheitsprüfung eines Unternehmenskunden brauchen
Anderer Bedarf
- Ein autorisierter Penetrationstest einer laufenden Anwendung
Welche Teile der Anwendung sollten Sie zuerst prüfen?
Beginnen Sie dort, wo ein Fehler Kundendaten offenlegen oder unberechtigten Zugriff ermöglichen könnte. Häufig sind das Anmeldung und Kontowiederherstellung, Rollen und Mandantentrennung, sensible API-Aktionen sowie Datenflüsse zwischen Diensten.
Was umfasst ein Secure Code Review?
Wir erfassen Datenflüsse und Vertrauensgrenzen, prüfen den zugehörigen Code und die Tests und dokumentieren geprüfte Kontrollen. Bei Webanwendungen und APIs können wir ausgewählte Anforderungen aus dem OWASP Application Security Verification Standard für Prüfumfang und Nachweise heranziehen.
Was erhält Ihr Team?
Eine Dokumentation der geprüften Version und ihrer Grenzen, priorisierte Aufgaben mit geschäftlichen Auswirkungen und Kriterien zur Überprüfung der Korrekturen. Ist Umsetzung oder Nachprüfung vereinbart, halten wir fest, was geprüft wurde und was offen bleibt.
Wie wird aus einem Sicherheitsbefund eine Release-Entscheidung?
Beispiel: Bei einer neuen Exportfunktion ist offen, welche Rollen auf Kundendaten zugreifen dürfen. Das Team vereinbart die Zugriffsregeln, benennt eine verantwortliche Person und hält fest, was vor der Freigabe nachgewiesen werden muss.
Welche Sicherheitsleistung passt zu Ihrer Situation?
Für eine gesondert autorisierte Prüfung einer laufenden Anwendung wählen Sie Penetrationstests. DevSecOps deckt CI/CD und Release-Kontrollen ab, Cloud-Sicherheit die Betriebsumgebung und KI-Sicherheit Agenten und deren Datenzugriff.
Häufige Fragen
Der Bericht dokumentiert geprüfte Kontrollen, Grenzen und offene Risiken. Er dient als Grundlage für Kundengespräche oder eine separate formale Prüfung.
Meist genügen ein Repository-Zugang, eine Erläuterung der Architektur und eine repräsentative Testumgebung mit synthetischen Konten und Daten. Den Umgang mit den Zugängen vereinbaren wir vorab.
Wir klären Empfänger und Freigabe vor Beginn. Für den vereinbarten Empfängerkreis können wir geprüfte Kontrollen, offene Punkte und bestätigte Korrekturen zusammenfassen.
Ja, wenn die Nachprüfung zum Umfang gehört. Wir dokumentieren Version, geprüfte Korrekturen und verbleibende Grenzen.
Anwendungssicherheit besprechen
Nennen Sie Anwendungstyp, Abläufe und Termin. Quellcode, Zugangsdaten und Kundendaten gehören nicht in die erste Anfrage.