Biogasanlæg Modul Essentials

Elite it’s cybersecurity pakke – EICybSec

I vores softwareløsninger spiller dataintegration mellem forskellige systemer altid en stor rolle og vi arbejder ofte med IT /OT-systemer som karakteriseres som kritisk infrastruktur. Disse er i større eller mindre grad omfattet af NIS2 direktivet som formentlig træder i kraft d. 1. juli 2025. Derfor har vi i høj grad allerede forberedt vores systemer og procedurer til disse krav, og de er en integreret del af vores løsninger og services. Vi bruger ISO 27001 kontrolforanstaltningerne i vores tilgang til Cybersecurity.

Sikring af API-integrationer involverer implementering af robuste foranstaltninger designet til at beskytte data under transport og i hvile, autentificere og autorisere brugere, afbøde potentielle angreb og opretholde systemernes pålidelighed.

Overordnet kræver sikring af API-integrationer en tilgang, der omfatter kryptering, adgangskontrol, trafikstyring og proaktive sikkerhedsprocedurer. Ved omhyggeligt at anvende disse principper når vi langt i forhold til at opnå et tilfredsstillende sikkerhedsniveau på vores API. Der er ingen garantier, men med ovenstående imødegår vi en bred vifte af sikkerhedstrusler og sikrer integriteten, fortroligheden og tilgængeligheden af vores API-baserede softwareløsninger.

Nedenfor kan du læse lidt mere om de procedurer og komponenter der indgår i vores løsninger.

1. Etablér og vedligehold konkrete og relevante beredskabsplaner:
   Dette skal sikre at man er på forkant med Attack Surface, risici og konsekvenser. Disse procedurer medvirker også til at forhindre overimplementering. Det er vigtigt at overveje konsekvenser, og hvis de er små, skal punktet have lavere prioritet. Trusselsbilledet og kombinationen af risiko og konsekvens skal afgøre prioritet og indsats.
   
   
2. Brug HTTPS til datakryptering:
   Implementering af HTTPS over HTTP er afgørende for at kryptere data, der sendes mellem klienten og serveren, hvilket sikrer, at følsomme oplysninger ikke let kan opfanges af angribere (Man in the Middle). HTTPS bruger SSL/TLS-protokoller, som ikke kun krypterer dataene, men også giver autentificering af serverens identitet.
   
   
3. Autentificering og autorisation:
   Implementering af robuste mekanismer til autentificering og autorisation er afgørende for at verificere brugeridentiteter og kontrollere adgangen til forskellige dele af API’en. OAuth 2.0 og JWT’er er populære valg til token-baseret autentificering.
   
   
4. Begræns forespørgselsrater (Rate limiting):
   Ratebegrænsning er vigtig for at beskytte API’er mod brute-force angreb og sikre retfærdig ressourcebrug blandt forbrugere. Implementer ratebegrænsning baseret på IP-adresse, API-token eller brugerkonto for at forhindre, at en enkelt bruger eller tjeneste overvælder API’en med forespørgsler.
   
   
5. Logging:
   Logging af brugeradgange og dataforbrug kan afsløre mønstre for uautoriseret adgang og brug. Kan også anvendes til fejlfinding og performanceforbedringer.
   
   
6. API Gateway:
   En API-gateway fungerer som en omvendt proxy og giver et enkelt indgangspunkt til styring af API-kald. Den isolerer back-end-logikken og giver centraliseret styring af sikkerhed, som SSL-termineringer, autentificering og ratebegrænsning.
   
   
7. Inputvalidering:
   Validering af alle input, som din API modtager, er en grundlæggende sikkerhedsforanstaltning for at beskytte mod forskellige injektionsangreb. Brug allowlists til inputvalidering for at sikre, at kun tilladte tegn behandles.
   
   
8. Sikkerhedsheaders:
   Sikkerhedsheaders er afgørende for at forhindre almindelige web-sårbarheder. Indstil headers som Content-Security-Policy (CSP) for at forhindre XSS-angreb ved at specificere, hvilke dynamiske ressourcer der må indlæses.
   
   
9. Regelmæssige sikkerhedsrevisioner og test:
   Regelmæssige sikkerhedsrevisioner og automatiserede tests spiller en kritisk rolle i at identificere sårbarheder i din API. Brug værktøjer og metoder som statisk kodeanalyse, dynamisk analyse og penetrationstest.
   
   
10. Brug af Web Application Firewall (WAF):
    En WAF fungerer som en beskyttende barriere for din API, analyserer indkommende anmodninger og blokerer dem, der er ondsindede. Konfigurer din WAF med regler, der er specifikke for din applikationskontekst.
    
    
11. Sikkerhedspolitikker og dokumentation:
    At have klare og omfattende sikkerhedspolitikker og dokumentation er afgørende for at informere udviklere og brugere om sikker interaktion med din API. Dokumenter sikkerhedspraksis og retningslinjer for sikker kodning.
    
    
12. Sikkerhedsprocedurer under softwareudviklingen:
    Anvendelse af pull-request for fireøjne godkendelse af commits, og brug af software der scanner koden for sårbarheder (Supply Chain attacks finder også anvendelse i vores udviklingsprocedurer.