Чек-лист безопасности сайта для бизнеса

Должно быть понятно, кому принадлежит каждый административный доступ и кто отключает его при увольнении.

Чем подтвердить: Список администраторов со сроком последнего пересмотра; уволенные и подрядчики без задачи отключены.

Один похищенный пароль не должен автоматически давать доступ к управлению сайтом, почтой или сервером.

Чем подтвердить: Проверка второго фактора для панели, домена, хостинга, резервных копий и корпоративной почты.

Обычный пользователь не должен видеть чужие документы или выполнять действия администратора.

Чем подтвердить: Проверенный перечень ролей и тестовые сценарии доступа, согласованные с владельцами процессов.

Устаревшие компоненты часто создают риск известной уязвимости, даже если сайт продолжает работать.

Чем подтвердить: Реестр компонентов, ответственный и дата последнего успешного обновления с планом отката.

Копия на том же сервере или под теми же правами может пострадать при инциденте вместе с сайтом.

Чем подтвердить: Доступность защищённой удалённой копии, сроки хранения и отсутствие общего административного доступа.

Успешное создание архива ещё не доказывает, что сайт и база данных восстановятся.

Чем подтвердить: Протокол тестового восстановления с датой, длительностью и списком успешно восстановленных компонентов.

Без журналов затруднительно отличить ошибку приложения от вмешательства и определить время события.

Чем подтвердить: Доступные журналы важных действий, срок хранения и ответственный за просмотр предупреждений.

Сторонний сервис или давно забытый токен может сохранить доступ после окончания проекта.

Чем подтвердить: Список API, webhooks и сервисных ключей с владельцами, сроками ревизии и минимумом прав.

Во время сбоя команда должна знать, кто принимает решение об изоляции, отзыве доступов и восстановлении.

Чем подтвердить: Доступные контакты и порядок остановки, сохранения доказательств, уведомления и возврата сервиса.