Input-/output-validatie: verschil tussen versies
(sjabloon aangeroepen en gevuld) |
k (paragraaf in hoofdstuk veranderd) |
||
Regel 8: | Regel 8: | ||
|Redactionele wijzigingsdatum=2021/04/12 | |Redactionele wijzigingsdatum=2021/04/12 | ||
|Publicatiedatum=2021/03/30 | |Publicatiedatum=2021/03/30 | ||
|Beschrijving | |Beschrijving===Toelichting== | ||
Het softwarepakket ontvangt invoer van de gebruiker en van andere applicaties. Deze invoer kan verschillende vormen hebben. Het softwarepakket dient eerst de invoer te normaliseren, voordat een validatie van de invoer kan worden uitgevoerd via mechanismen voor filtering. | Het softwarepakket ontvangt invoer van de gebruiker en van andere applicaties. Deze invoer kan verschillende vormen hebben. Het softwarepakket dient eerst de invoer te normaliseren, voordat een validatie van de invoer kan worden uitgevoerd via mechanismen voor filtering. | ||
Regel 20: | Regel 20: | ||
Deze kwetsbaarheden zijn door inputvalidatie relatief eenvoudig te voorkomen. Input-/outputcontroles verdienen extra aandacht bij softwarepakketten die worden gebruikt via openbare netwerken als internet, om zo het lagere beheersingsniveau van die omgeving te compenseren. | Deze kwetsbaarheden zijn door inputvalidatie relatief eenvoudig te voorkomen. Input-/outputcontroles verdienen extra aandacht bij softwarepakketten die worden gebruikt via openbare netwerken als internet, om zo het lagere beheersingsniveau van die omgeving te compenseren. | ||
==Schaalgrootte== | |||
Elke schaalgrootte. | Elke schaalgrootte. | ||
==Voor wie== | |||
Leverancier. | Leverancier. | ||
|Criterium=Het softwarepakket behoort mechanismen te bevatten voor ''normalisatie'' en ''validatie'' van invoer en voor ''schoning'' van de uitvoer. | |Criterium=Het softwarepakket behoort mechanismen te bevatten voor ''normalisatie'' en ''validatie'' van invoer en voor ''schoning'' van de uitvoer. |
Versie van 19 apr 2021 09:26
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 1.2 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.
Verwante principes |
Toelichting
Het softwarepakket ontvangt invoer van de gebruiker en van andere applicaties. Deze invoer kan verschillende vormen hebben. Het softwarepakket dient eerst de invoer te normaliseren, voordat een validatie van de invoer kan worden uitgevoerd via mechanismen voor filtering.
Om de integriteit van de informatievoorziening te kunnen waarborgen, zijn inputvalidaties onmisbaar. Dit geldt ook voor elektronische berichten, zoals een E-factuur, loonaangifte etc.
Een bekende kwetsbaarheid van applicaties en dus ook van softwarepakketten is de zogenaamde SQL-injection. Als een applicatie de syntax van gebruikersinput niet of onvoldoende controleert op datgene wat nodig is voor de ontworpen applicatiefuncties, maar naar gebruikers toe bijvoorbeeld ook systeemcommando’s reageert, dan is de kans groot dat het softwarepakket gehackt kan worden.
Deze kwetsbaarheden zijn door inputvalidatie relatief eenvoudig te voorkomen. Input-/outputcontroles verdienen extra aandacht bij softwarepakketten die worden gebruikt via openbare netwerken als internet, om zo het lagere beheersingsniveau van die omgeving te compenseren.
Schaalgrootte
Elke schaalgrootte.
Voor wie
Leverancier.
Criterium
Doelstelling
Risico
Indeling binnen ISOR
Dit beveiligingsprincipe:
- is gericht op het Beveiligingsaspect Uitvoering;
- valt binnen de Invalshoek Functie.
ℹ️(Klik om uitleg open/dicht te klappen)
Grondslag
De grondslag voor dit principe is Grip op Secure Software Development SSD-19 en SSD-20
Onderliggende normen
ID | Conformiteitsindicator | Stelling |
---|---|---|
SWP_U.04.01 | Normalisatie |
Het softwarepakket zorgt dat de invoer in een gestandaardiseerde vorm komt, zodat deze herkend en gevalideerd kan worden. |
SWP_U.04.02 | Validatie |
Foute, ongeldige of verboden invoer wordt geweigerd of onschadelijk gemaakt. Het softwarepakket (of Software as a Service (SaaS)) voert deze controle van de invoer uit aan de serverzijde en vertrouwt niet op maatregelen aan de clientzijde. |
SWP_U.04.03 | Validatie |
Het softwarepakket (of Software as a Service (SaaS)) valideert alle invoer die de gebruiker aan het softwarepakket verstrekt. |
SWP_U.04.04 | Validatie |
Binnen het softwarepakket zijn beveiligingsmechanismen ingebouwd om bij import van gegevens, zogenaamde ‘ingesloten’ aanvallen te detecteren. |
SWP_U.04.05 | Schoning |
Alle uitvoer wordt naar een veilig formaat geconverteerd. |