امنیت در توسعه

دستورالعمل کوتاه امنیت در توسعه BPMS
 1. بخشی از مسائل امنیتی به ماهیت BPMS و تنظیمات سرور مربوط است و معمولاً با تست‌های نفوذ شناسایی می‌شود؛ اما بخش مهمی از امنیت در زمان توسعه باید توسط تیم رعایت شود.
 2. اصل حداقل دسترسی (Least Privilege) را رعایت کنید: هر کاربر فقط باید به امکانات و داده‌های موردنیاز نقش خود دسترسی داشته باشد. دسترسی اضافه ندهید؛ چون کاربر برای دسترسیِ کم درخواست می‌دهد، اما برای دسترسیِ زیاد هرگز اطلاع نمی‌دهد.
3. هرگز به پنهان‌سازی در UI اکتفا نکنید: کاربر را باهوش فرض کنید. حذف دکمه یا فیلد با CSS یا Frontend امنیت محسوب نمی‌شود؛ کنترل دسترسی باید در Backend اعمال شود
4. تست با کاربر واقعی: چون توسعه اغلب با ادمین انجام می‌شود، حتماً سناریوها با نقش‌ها و کاربران واقعی نیز تست شوند.
5. قبل از پیاده‌سازی با تحلیلگر درباره محدودیت‌های دسترسی مشورت کنید. برای هر فیلد، دکمه، فرم، صفحه یا گام فرآیند از خود بپرسید: «چه کسی باید ببیند؟ چه کسی می‌تواند ایجاد، ویرایش، حذف یا اقدام کند؟
6. از اعطای دسترسی‌های عمومی (Global/All Access) جداً خودداری کنید مگر با توجیه مشخص و مستند.
7. کنترل دسترسی و مشاهده داده‌ها باید مبتنی بر نقش (Role-Based) و قابل ردگیری (Audit) باشد.