Voorbeeldproject

Managementsamenvatting

Dit is een voorbeeld. Geen kritieke of hoge bevindingen. Drie kleinere punten: geen SBOM bij de build, geen doorlopende bewaking van afhankelijkheden en één ongebruikt pakket.

Bevindingen

• Middel
  A-03 Geen SBOM die automatisch bij de build gemaakt wordt.
• Middel
  G-08 Geen Dependabot, Renovate of geplande scan.
• Laag
  C-19 Eén pakket in package.json wordt nergens gebruikt.

Geteste checks (38)

• ✕Niet geslaagd:A-03 SBOM in machineleesbaar formaat
• ✓Geslaagd:A-09 AI-vermelding: gebruikt het product AI?
• ✓Geslaagd:B-05 Agentconfiguratie in de repo
• ✓Geslaagd:B-06 Geen verzonnen of verdachte pakketten
• ✓Geslaagd:C-01 Statische analyse zonder kritieke of hoge bevindingen
• ✓Geslaagd:C-06 Foutafhandeling
• ✓Geslaagd:C-07 Het project bouwt uit een schone checkout met één gedocumenteerde opdracht
• ✓Geslaagd:C-13 Geen blokkerende of kritieke code smells
• ✕Niet geslaagd:C-19 Geen ongebruikte afhankelijkheden
• ✓Geslaagd:C-20 Geen achtergebleven rommel in repository en artefact
• ✓Geslaagd:D-02 Tests draaien automatisch bij elke wijziging en een falende test blokkeert de release
• ✓Geslaagd:D-06 Statische beveiligingsanalyse en afhankelijkheidsscan in de pipeline
• ✓Geslaagd:D-12 Extern aanvalsoppervlak gescand
• ✓Geslaagd:E-03 Sessies: veilige cookies, time-outs en afmelden
• ✓Geslaagd:E-04 Geen injectie
• ✓Geslaagd:E-05 Geen geheimen in code, configuratie of git-geschiedenis
• ✓Geslaagd:E-06 Versleuteling: TLS, opslag en algoritmen
• ✓Geslaagd:E-08 Beveiligingsheaders en configuratie
• ✓Geslaagd:F-01 Geen afhankelijkheden met bekende uitbuitbare kwetsbaarheden
• ✓Geslaagd:F-02 Geen frameworks of runtimes die niet meer ondersteund worden
• ✓Geslaagd:F-03 Versies vastgezet met een lockfile en integriteitscontrole
• ✓Geslaagd:F-05 Alle licenties gekend en verenigbaar met het gebruik
• ✓Geslaagd:F-13 Indirecte (transitieve) afhankelijkheden worden mee gescand
• ✕Niet geslaagd:G-08 Doorlopende bewaking van nieuwe kwetsbaarheden in afhankelijkheden via de SBOM
• ✓Geslaagd:H-02 Uitvoer van het model wordt behandeld als onbetrouwbare invoer
• ✓Geslaagd:H-08 Limieten op verbruik van AI (tokens, aanvragen)
• ✓Geslaagd:O-04 Geen cookies of trackers vóór toestemming
• ✓Geslaagd:O-05 De site zelf is veilig
• ✓Geslaagd:O-06 Domein en e-mail beschermd tegen misbruik
• ✓Geslaagd:P-05 Inkomende webhooks en berichten worden gecontroleerd (handtekening, herkomst)
• ✓Geslaagd:R-03 Branchstrategie vastgelegd; hoofdbranch beschermd
• ✓Geslaagd:R-13 Veilige repository-instellingen
• ✓Geslaagd:S-04 Geen geheimen of API-sleutels in de app zelf
• ✓Geslaagd:S-06 SDK's van derden (analyse, advertenties, crashrapporten) geïnventariseerd
• ✓Geslaagd:U-01 Geen geheimen, API-sleutels of interne adressen in de JavaScript-bundel
• ✓Geslaagd:U-02 Source maps en debugmodus niet publiek in productie
• ✓Geslaagd:U-03 Sessietokens en gevoelige gegevens niet in localStorage of sessionStorage
• ✓Geslaagd:U-04 Bescherming tegen CSRF en clickjacking

Historiek

Integriteit

Rapporthash: voorbeeld