Seguridad del Lado del Cliente de Capa Base para Todos

Creemos que cada individuo y operación debería poder asegurarse. El impacto de un incidente de seguridad va más allá del negocio, se filtra información humana real y eso puede ser desastroso. Entendemos que no todos los negocios tienen los recursos para implementar las medidas de seguridad adecuadas, pero lo mínimo que podemos hacer es proporcionar opciones. Por lo tanto, queremos contribuir ofreciendo este nivel base de seguridad gratis.

El requisito 6.4.3 y 11.6.1 de PCI DSS exige que los contenidos de scripts y los encabezados HTTP que impactan la seguridad sean monitoreados en busca de cambios. Una Content Security Policy solo puede controlar las fuentes de dónde se obtienen los scripts y algunas de las acciones que toma. No tiene visibilidad sobre la carga útil del script. No puede cumplir con todos los requisitos de seguridad del lado del cliente para cumplir con las demandas de PCI DSS.

CSP es un buen punto de partida cuando se trata de seguridad del lado del cliente. Dependiendo de tus necesidades puede proporcionar suficiente seguridad, pero no es el nivel más alto alcanzable y puede ser algo doloroso de mantener con muchos adoptantes enfrentando problemas cuando los scripts cambian. Un CSP no puede ver el contenido del script. Si se vuelven maliciosos, qué tan estricto configures tu CSP definirá si el comportamiento malicioso sería detectado.

Los productos CSP te permiten listar dominios confiables y endpoints para enviar datos. El navegador bloqueará todo lo demás. Pero nunca mira el JavaScript en sí. Si un atacante desliza código malo en un CDN aprobado, CSP no lo detectaría.

Cside funciona al revés: cada script es analizado a nivel de carga útil. Los hasheamos y en caso de que un cambio malicioso haya ocurrido, servimos una versión limpia de antes o lo bloqueamos antes de que el navegador lo vea. Nuestra solución ofrece una vista de panel dedicada para cumplimiento de PCI DSS, incluso fue revisada por VikingCloud que escribió un documento técnico sobre ello.

Puedes desplegar una Content Security Policy y usar el endpoint de cside incluido en tu plan. Ofrecemos un panel único para manejar informes CSP y combinado con nuestra solución de seguridad de scripts del lado del cliente. Dándote visibilidad completa del comportamiento sospechoso de scripts.

Mientras otros proveedores cobran por separado por endpoints de informes CSP. Con cside esta funcionalidad está incluida en tu plan sin costo adicional. Nuestro enfoque integrado significa que las violaciones CSP aparecen en el mismo panel que tus otros insights de seguridad del lado del cliente.

De alguna manera podría ayudar, pero no es un requisito explícito. Aprovechar las mejores prácticas de seguridad es un requisito indicativo de GDPR. Y CSP sería una buena medida de seguridad base para adoptar. Pero el beneficio de seguridad más fundamental es que puedes definir las fuentes de scripts que deseas permitir y prevenir eventos inesperados de exfiltración de datos. Eso recorre un largo camino en el contexto de GDPR. Seguramente ayuda, pero ten en cuenta que CSP es algo complicado de mantener y a menudo ha causado incidentes para quienes lo adoptan.