V8.1.1 General Data Protection

Requirement:

Verify the application protects sensitive data from being cached in server components such as load balancers and application caches.

Explanation:

Требование направлено на защиту конфиденциальных данных от кэширования в серверных компонентах, включая балансировщики нагрузки и кэши приложений. 

1 Caching and Sensitivity:  Во многих веб-приложениях данные часто кэшируются на различных уровнях для повышения производительности. Кэширование - это технология хранения и повторного использования ранее полученных или вычисленных данных для снижения нагрузки на внутренние серверы и обеспечения более быстрой реакции на запросы пользователей. Однако не все данные следует кэшировать, поскольку некоторые из них могут быть конфиденциальными и не должны храниться в местах, где к ним могут получить доступ посторонние лица.

1 Load Balancers:  Балансировщики нагрузки - это инфраструктурные компоненты, распределяющие входящий сетевой трафик между несколькими серверами или экземплярами. Они играют важную роль в повышении масштабируемости, избыточности и доступности приложений. Однако балансировщики нагрузки могут также временно кэшировать данные, чтобы уменьшить количество запросов, направляемых на внутренние серверы. Такое кэширование может включать конфиденциальную информацию, поэтому важно не допускать хранения конфиденциальных данных в балансировщиках нагрузки.

1 Application Caches: Кэши на уровне приложений, например в веб-приложениях, используются для хранения часто используемых данных с целью сокращения количества запросов к базе данных или внешнему API и увеличения времени отклика. При отсутствии надлежащего управления эти кэши могут также непреднамеренно хранить конфиденциальную информацию.

1 Data Protection: Для выполнения этого требования в приложении должны быть реализованы меры по защите конфиденциальных данных от хранения в таких серверных компонентах, как балансировщики нагрузки и кэши приложений. Это предполагает выполнение следующих действий:

• Data Classification: Идентификация и классификация данных в приложении для определения того, какие данные являются конфиденциальными и не должны кэшироваться.

• Data Anonymization: Перед кэшированием данных убедитесь, что чувствительные данные анонимизированы или преобразованы для удаления персональной информации (PII) или любого другого чувствительного содержимого.

• Cache-Control Headers: Используйте соответствующие HTTP headers типа "Cache-Control" для указания промежуточным компонентам, включая балансировщики нагрузки и кэши, как обрабатывать ответы. Для конфиденциальных данных устанавливайте HTTP headers, предотвращающие кэширование.

• Security Configuration: Настройте серверные компоненты, включая балансировщики нагрузки, так, чтобы они не кэшировали конфиденциальные данные. Балансировщики нагрузки часто имеют настройки или правила, позволяющие контролировать поведение кэширования.

• Data Encryption: Если конфиденциальные данные временно кэшируются, убедитесь, что они зашифрованы, чтобы даже при случайном кэшировании они оставались в безопасности.

1 Compliance and Security: Это требование соответствует нормативным документам по защите данных и лучшим практикам обеспечения безопасности. Оно позволяет предотвратить утечку конфиденциальных данных и несанкционированный доступ к ним, снижая риск утечки данных и нарушения конфиденциальности.

Remediation:

Чтобы привести приложение в соответствие с данным требованием по защите конфиденциальных данных от кэширования в серверных компонентах, включая балансировщики нагрузки и кэши приложений, необходимо выполнить следующее:

1 Data Classification: В первую очередь необходимо определить и классифицировать конфиденциальные данные в приложении. К ним можно отнести персональную информацию (PII), финансовые данные, медицинские записи или любые другие типы данных, которые не должны кэшироваться.

1 Data Anonymization: Перед кэшированием данных убедитесь, что чувствительные данные анонимизированы или преобразованы для удаления конфиденциального содержимого. Например, можно заменить реальные PII на условные обозначения или анонимизировать данные с помощью таких методов, как псевдонимизация или токенизация.

1 Use Cache-Control Headers: Внедрите соответствующие HTTP headers, такие как "Cache-Control", в ответы вашего приложения. Эти заголовки содержат инструкции для промежуточных компонентов, таких как балансировщики нагрузки и кэши, о том, как обрабатывать ответы. Для конфиденциальных данных следует устанавливать заголовки, предотвращающие кэширование. Для управления поведением кэша можно использовать такие директивы, как "no-store", "no-cache" или "private".

К примеру: Java

response.setHeader("Cache-Control", "no-store, no-cache, must-revalidate, private");

1 Configuration Settings: Настройте серверные компоненты, особенно балансировщики нагрузки и любые кэши на уровне приложений, так, чтобы они не кэшировали конфиденциальные данные. Балансировщики нагрузки часто имеют настройки или правила, позволяющие контролировать поведение кэширования. Проверьте конфигурацию этих компонентов, чтобы убедиться в их соответствии требованиям к защите данных. 1 Data Encryption:  Если по соображениям производительности конфиденциальные данные должны временно кэшироваться, убедитесь, что они зашифрованы перед хранением в кэше. Для защиты данных используйте надежные алгоритмы шифрования и методы управления ключами. При запросе данных из кэша расшифровывайте их "на лету".

1 Testing and Validation: Протестируйте приложение, чтобы убедиться в том, что конфиденциальные данные не попадают в кэш по ошибке.

1 Documentation and Training: Документируйте меры по защите данных, включая политику кэширования, классификацию данных и параметры конфигурации.

1 Monitoring and Logging:  Внедрите мониторинг и ведение журналов для отслеживания поведения кэширования. Это включает в себя мониторинг кэширования конфиденциальных данных и регистрацию всех инцидентов, когда конфиденциальные данные могли быть кэшированы ненадлежащим образом. Настройте оповещения о необычном поведении кэша.

1 Regular Review: Проводите регулярные проверки и аудиты мер по защите данных, включая контроль кэш-памяти.

1 Compliance: Убедитесь, что ваши политики защиты данных и кэширования соответствуют соответствующим нормативным документам, таким как GDPR, HIPAA или PCI DSS, применимым к вашему приложению.

Additional: