V8.2.2 Client-side Data Protection

Requirement:

Verify that data stored in browser storage (such as localStorage, sessionStorage, IndexedDB, or cookies) does not contain sensitive data.

Explanation:

Требование направлено на обеспечение того, чтобы данные, хранящиеся в различных механизмах хранения браузера, таких как localStorage, sessionStorage, IndexedDB или cookies, не содержали конфиденциальной информации.

Remediation:

Для выполнения требования необходимо принять меры, чтобы данные, хранящиеся в таких механизмах хранения браузера, как localStorage, sessionStorage, IndexedDB или cookies, не содержали конфиденциальной информации:

1. Identify Sensitive Data.

Проведите детальный анализ приложения с целью выявления конфиденциальных данных, которые могут храниться на стороне клиента.

2. Review Storage Mechanisms.

Рассмотрите использование таких механизмов хранения данных в браузере, как localStorage, sessionStorage, IndexedDB и cookies.

3. Data Classification.

Классифицируйте данные, хранящиеся в этих механизмах, и убедитесь, что никакая конфиденциальная или персонально идентифицируемая информация не хранится напрямую.

4. Server-Side Storage.

По возможности перенесите хранение конфиденциальных данных на сторону сервера. Для хранения нечувствительной или некритичной информации используйте хранилище на стороне клиента.

5. Tokenization or References.

Если необходимо хранить ссылки на конфиденциальные данные на стороне клиента (например, session, tokens), убедитесь, что фактические конфиденциальные данные надежно хранятся на стороне сервера.

6. Encryption.

Если для данных, хранящихся на стороне клиента, необходимо шифрование, применяйте надежные алгоритмы шифрования и методы управления ключами. Документируйте стратегию шифрования.

7. Data Masking.

Проводить регулярные аудиты и проверки кода, чтобы убедиться, что новые изменения в коде не приводят к хранению конфиденциальных данных на стороне клиента.

8. Regular Audits and Reviews.

Проводить регулярные аудиты и проверки кода, чтобы убедиться, что новые изменения в коде не приводят к хранению конфиденциальных данных на стороне клиента.

9. Logging and Monitoring.

Внедрите механизмы протоколирования и мониторинга для обнаружения и предупреждения о попытках хранения конфиденциальной информации на стороне клиента.

10. Documentation.

Документируйте стратегию хранения данных, включая причины хранения определенных данных на стороне клиента и применяемые меры безопасности.

11. Testing.

Проведите детальное тестирование, чтобы убедиться, что конфиденциальные данные не хранятся в механизмах хранения на стороне клиента. В план тестирования следует включить как функциональное тестирование, так и тестирование безопасности.

Additional: