Sécurité côté client de base pour tousfor Everyone

Nous croyons que chaque individu et chaque opération devrait pouvoir se sécuriser. L'impact d'un incident de sécurité va au-delà de l'entreprise, de vraies données humaines sont divulguées et cela peut être désastreux. Nous comprenons que toutes les entreprises ne disposent pas des ressources nécessaires pour mettre en place les mesures de sécurité appropriées, mais le moins que nous puissions faire est de fournir des options. Par conséquent, nous voulons contribuer en offrant ce niveau de sécurité de base gratuitement.

Les exigences 6.4.3 et 11.6.1 de PCI DSS imposent la surveillance des modifications apportées aux contenus des scripts et aux en-têtes HTTP impactant la sécurité. Une politique de sécurité du contenu ne peut contrôler que les sources à partir desquelles les scripts sont récupérés et certaines des actions qu'elle prend. Elle n'a aucune visibilité sur la charge utile du script. Elle ne peut pas répondre à toutes les exigences de sécurité côté client pour satisfaire aux demandes de PCI DSS.

CSP est un bon point de départ en matière de sécurité côté client. Selon vos besoins, il peut offrir une sécurité suffisante, mais ce n'est pas le niveau le plus élevé possible et cela peut être difficile à maintenir, de nombreux adopteurs rencontrant des problèmes lorsque les scripts changent. Un CSP ne peut pas voir le contenu du script. S'ils deviennent malveillants, la rigueur avec laquelle vous configurez votre CSP définira si le comportement malveillant serait détecté.

Les produits CSP vous permettent de répertorier les domaines de confiance et les points de terminaison vers lesquels envoyer des données. Le navigateur bloquera tout le reste. Mais il ne regarde jamais le JavaScript lui-même. Si un attaquant introduit du code malveillant sur un CDN approuvé, CSP ne le détecterait pas.

Cside fonctionne dans l'autre sens : chaque script est analysé au niveau de la charge utile. Nous les hachons et si un changement malveillant a eu lieu, nous servons une version propre d'avant ou la bloquons avant que le navigateur ne la voie. Notre solution offre une vue de tableau de bord dédiée pour la conformité PCI DSS, elle a même été examinée par VikingCloud qui a rédigé un livre blanc à ce sujet.

Vous pouvez déployer une politique de sécurité du contenu et utiliser le point de terminaison cside inclus dans votre forfait. Nous offrons un tableau de bord unique pour gérer les rapports CSP et combiné avec notre solution de sécurité de scripts côté client. Vous donnant une visibilité complète sur les comportements suspects des scripts.

Alors que d'autres fournisseurs facturent séparément les points de terminaison de rapport CSP. Avec cside, cette fonctionnalité est incluse dans votre forfait sans frais supplémentaires. Notre approche intégrée signifie que les violations CSP apparaissent dans le même tableau de bord que vos autres informations de sécurité côté client.

D'une certaine manière, cela pourrait aider, mais ce n'est pas une exigence explicite. Adopter les meilleures pratiques de sécurité est une exigence indicative du RGPD. Et CSP serait une bonne mesure de sécurité de base à adopter. Mais l'avantage de sécurité le plus fondamental est que vous pouvez définir les sources de scripts que vous souhaitez autoriser et prévenir les événements inattendus d'exfiltration de données. Cela va loin dans le contexte du RGPD. Cela aide certainement, mais notez que CSP est une chose délicate à maintenir et a souvent causé des incidents pour ceux qui l'adoptent.