FardaIQ Journal
چک‌لیست نگهداری امنیت سایت برای کسب‌وکارهای کوچک
امنیت بعد از انتشار ادامه دارد: دسترسی مدیر، به‌روزرسانی، نسخه پشتیبان، فایل‌های خصوصی و رسیدگی به رخداد را بررسی کنید.
تحریریه فردا آی‌کیو ·
این متن با کمک هوش مصنوعی تهیه شده است. برای جزئیات فنی، منابع انتهای مقاله را بررسی کنید.
امنیت سایت یک تنظیم یک‌باره نیست. کد برنامه، حساب هاست، حساب ایمیل و روش کار مدیر همگی در آن نقش دارند. این چک‌لیست یک راهنمای عملی برای نگهداری است و جای ارزیابی تخصصی متناسب با سامانه و داده‌های شما را نمی‌گیرد. ادعای «غیرقابل هک» معیار واقع‌بینانه‌ای برای خرید یا تحویل سایت نیست.
دسترسی‌ها را بر اساس وظیفه تقسیم کنید
کسی که مقاله منتشر می‌کند لزوماً نباید بتواند نقش کاربران یا تنظیمات پرداخت را تغییر دهد. برای هر همکار حساب جدا بسازید و دسترسی مورد نیاز را بدهید. پس از پایان همکاری، دسترسی را لغو کنید. احراز هویت چندمرحله‌ای حساب هاست، مخزن کد و ایمیل مالک را فعال کنید؛ داشتن رمز قوی در سایت، جای حفاظت از این حساب‌ها را نمی‌گیرد.
فایل خصوصی را با لینک عمومی اشتباه نگیرید
رسید پرداخت و فایل پروژه باید با کنترل دسترسی سرور نمایش داده شوند. مخفی‌کردن دکمه یا طولانی‌بودن نام فایل کافی نیست. یک آزمون عملی این است که حساب مشتری دوم نتواند رسید مشتری اول را باز کند. پاسخ‌های خصوصی نباید در کش عمومی ذخیره شوند. فرمت و اندازه فایل باید محدود باشد و برای انواع پرخطر، بررسی جداگانه در نظر گرفته شود.
نسخه پشتیبان را واقعاً بازیابی کنید
نسخه پشتیبان زمانی ارزش دارد که قابل بازیابی باشد. مشخص کنید چه داده‌هایی پشتیبان گرفته می‌شوند، چه کسی دسترسی دارد و تا چه زمانی نگهداری می‌شوند. بازیابی را ابتدا در محیط آزمایشی انجام دهید و نتیجه را ثبت کنید. برای فایل‌هایی که خارج از پایگاه داده ذخیره می‌شوند، پشتیبان پایگاه داده به‌تنهایی کافی نیست.
به‌روزرسانی و خطاها را پیگیری کنید
وابستگی‌های برنامه و سرویس‌های مورد استفاده تغییر می‌کنند. برای به‌روزرسانی، تست و انتشار زمان مشخص بگذارید. گزارش خطای عمومی نباید رمز، کلید سرویس، مسیر فایل سرور یا جزئیات پایگاه داده را نشان دهد. نام ارائه‌دهنده هاست در سیاست حریم خصوصی با افشای رمز دسترسی تفاوت دارد؛ برای بررسی نشت باید خود داده حساس و مسیر دسترسی آن بررسی شود.
تغییرات مالی را ثبت و بازبینی کنید
رسید تصویرشده، اثبات قطعی ورود پول به حساب نیست. مدیر باید دریافت مبلغ و مرجع تراکنش را در سوابق بانک بررسی کند. تأیید پرداخت باید ثبت شود و تأیید دوباره همان دریافت نباید درآمد تکراری ایجاد کند. برای لغو و بازپرداخت نیز سابقه روشن نگه دارید تا اختلاف مشتری و حسابداری قابل پیگیری باشد.
برای رخداد احتمالی آماده باشید
اگر نشانه دسترسی غیرمجاز دیدید، زمان و شواهد را ثبت کنید، دسترسی آسیب‌دیده را محدود کنید و کلیدهای مرتبط را تعویض کنید. حذف عجولانه گزارش‌ها می‌تواند بررسی را دشوار کند. مشخص کنید چه کسی مسئول بررسی و اطلاع‌رسانی است. نتیجه چند آزمون موفق، نبود رخداد در گذشته یا بسته‌بودن همه مسیرهای نفوذ را اثبات نمی‌کند؛ امنیت نیاز به مراقبت ادامه‌دار دارد.