API 자세에 대해 물어볼 15가지 질문

저는 이러한 질문을 여러 기관의 규제기관 및 검사관과 직접 공유했습니다. 이제 미국은 미국 연방통신위원회는 API 문제에 대해 벌금과 동의 판결을 내리기 시작했으며, 현재 버전의 PCI DSS(Payment Card Industry Data Security Standard) 4.0+에서는 특히 개발 단계에서 API 규정 준수를 요구하므로, 방어자가 이러한 답변을 손쉽게 준비할 수 있는 절호의 기회입니다. 

모든 질문에 답할 수 없더라도 CISO에게는 자신의 입장을 알고 적극적인 자세를 보이는 것이 매우 중요합니다. API 보안 태세를 이해하고 발전시키고 있다는 것을 보여줌으로써, 여러분이 열심히 노력하여 얻은 신뢰를 유지할 수 있습니다. 

가장 쉬운 것부터 가장 어려운 것까지 목록은 다음과 같습니다. 목록에서 원하는 대로 아래로 이동하는 데 어려움이 있다면 F5 계정 팀에 전화하세요. 저희가 도와드리겠습니다.

1. 우리 회사의 API 보안은 누가 담당하고 있나요?
2. API에 소유자가 지정되어 있나요?
3. 우리 매출 중 API를 통해 발생하는 금액은 얼마입니까?
4. API는 몇 개나 있나요?
5. 이 중에서 실제로 사용되는 것은 몇 개이고, 사용되지 않는 것은 몇 개입니까?
6. 가장 흔한 10가지 API 문제 에 취약한 사람은 몇 명이나 됩니까?
7. 우리의 침투 테스트가 프로덕션 환경의 API 취약점과 비즈니스 로직에 대한 공격을 적절히 포괄하고 있는가?
8. 어떤 API가 법적 또는 규정 준수에 따라 데이터를 전송하거나 수신합니까?
9. 악성 트래픽이 나타나고 있나요? 어떤 API 엔드포인트에서?
10. 전반적인 API 보안 위험은 무엇입니까? 작년 같은 시기에 비해 개선되었나요, 아니면 악화되었나요?
11. 다른 개발팀보다 API 문제가 더 많이 발생하는 개발팀이 있습니까? API 보안 문제에 대한 교육과 피드백은 어떻게 제공되나요?
12. 코드와 API 변경 사항이 프로덕션에 적용되기 전에 검토 프로세스가 있습니까?
13. API에서 감지된 보안 이벤트에 대한 알림은 누가 받게 됩니까?
14. 프로덕션 API 중 하나에 대한 BOLA(손상된 개체 수준 권한 부여) 공격이 감지되면 평균 응답 시간은 몇 분입니까?
15. 마지막으로 목록 맨 위에 있는 기본 사항으로 돌아가서, API 보안을 담당한다고 생각하는 사람들이 자신이 그 보안을 담당하고 있다는 사실을 알고 동의하는가?