Standardy bezpieczeństwa i zgodność

Twój zespół ds. zgodności właśnie wysłał kwartalną listę kontrolną audytu. Czterdzieści siedem pozycji obejmujących OWASP Top 10, kontrole SOC 2, obsługę danych GDPR i wymagania PCI DSS dla modułu płatności. W zeszłym kwartale twojemu zespołowi zajęło to trzy tygodnie ręcznego przeglądu. W tym kwartale masz narzędzia AI — ale twój zespół bezpieczeństwa chce wiedzieć, do jakich dokładnie danych te narzędzia mają dostęp i czy kod generowany przez AI spełnia standardy zgodności.

Co wyniesiesz z tego rozdziału

Konfiguracja narzędzi AI stawiająca bezpieczeństwo na pierwszym miejscu, satysfakcjonująca zespoły bezpieczeństwa enterprise
Zautomatyzowane przepływy sprawdzania zgodności z wykorzystaniem przeglądu kodu wspomaganego AI
Ramy zarządzania danymi dla korzystania z narzędzi AI w regulowanych środowiskach
Wzorce promptów do generowania kodu zorientowanego na bezpieczeństwo i skanowania podatności
Implementacja ścieżki audytowej dowodząca, że kod generowany przez AI spełnia standardy

Konfiguracja narzędzi AI pod kątem bezpieczeństwa

Polityki obsługi danych

Zanim napiszesz choć jeden prompt, ustal jakie dane mogą i jakie nie mogą być wysyłane do dostawców AI.

Cursor Business oferuje Privacy Mode, który zapewnia, że żaden kod nie jest przechowywany ani wykorzystywany do treningu:

SECURITY REQUIREMENTS:
- Privacy Mode MUST be enabled (Settings → Privacy → Privacy Mode ON)
- Never paste production credentials, API keys, or secrets into prompts
- Never paste customer PII (names, emails, SSNs) into prompts
- When discussing database schemas with PII columns, use anonymized names
- Reference .env.example for environment variable names, never .env

Cursor Business zapewnia zgodność SOC 2 Type II i gwarancje zerowej retencji danych.

Claude Code respektuje pliki .claudeignore, aby zapobiec odczytywaniu wrażliwych plików:

.env
.env.*
**/secrets/
**/credentials/
**/*.pem
**/*.key
**/config/production.json

Dodatkowo skonfiguruj hooki blokujące wrażliwe dane przed opuszczeniem środowiska:

{
  "hooks": {
    "PreToolUse": [{
      "matcher": ".*",
      "command": "python scripts/check-sensitive-data.py \"$PROMPT\""
    }]
  }
}

Plany Claude Max i API domyślnie zapewniają zerową retencję danych dla użycia biznesowego.

Zadania chmurowe Codex działają w izolowanych środowiskach z ograniczeniami sieciowymi:

SECURITY POLICY:
- Never read or output contents of .env files
- Never include actual API keys, tokens, or passwords in code or comments
- Use environment variable references for all sensitive configuration
- Flag any hardcoded credentials found during code review

Plany enterprise Codex zapewniają gwarancje izolacji danych i mogą być konfigurowane z niestandardowymi politykami sieciowymi.

Zautomatyzowane skanowanie bezpieczeństwa

Przegląd OWASP Top 10

Gotowy prompt do przeglądu zgodności z OWASP:

Perform an OWASP Top 10 (2021) security review of our authentication module at /src/auth/:
1. A01:2021 - Broken Access Control: Check all route handlers for proper authorization
2. A02:2021 - Cryptographic Failures: Verify password hashing, token generation, TLS usage
3. A03:2021 - Injection: Review all database queries for parameterization
4. A04:2021 - Insecure Design: Check for rate limiting, account lockout, session management
5. A05:2021 - Security Misconfiguration: Review CORS, CSP headers, error handling
6. A06:2021 - Vulnerable Components: Check dependencies for known CVEs
7. A07:2021 - Auth Failures: Review login flow, MFA implementation, session tokens
8. A08:2021 - Software/Data Integrity: Check for unsigned updates, untrusted deserialization
9. A09:2021 - Logging Failures: Verify security events are logged with sufficient detail
10. A10:2021 - SSRF: Check all server-side URL fetching for validation

For each finding: severity (Critical/High/Medium/Low), file location, specific line,
and a concrete fix with code. No generic advice.

Ciągły przegląd bezpieczeństwa w CI

Użyj Background Agent w Cursor do uruchamiania przeglądów bezpieczeństwa na każdym PR:

Review the changes in this PR for security issues:
1. Check for any new SQL queries - are they parameterized?
2. Check for any new API endpoints - do they have authentication middleware?
3. Check for any new file uploads - are they validated for type and size?
4. Check for any new user inputs - are they sanitized before rendering?
5. Check for any new dependencies - do they have known vulnerabilities?

Output a security review checklist with pass/fail for each item.

Zintegruj przegląd bezpieczeństwa w swoim pipeline CI za pomocą trybu headless:

security-review:
  runs-on: ubuntu-latest
  steps:
    - uses: actions/checkout@v4
    - name: AI Security Review
      run: |
        claude -p "Review the git diff for security issues:
        $(git diff origin/main...HEAD)

        Check for:
        1. SQL injection vulnerabilities
        2. Missing authentication/authorization
        3. Hardcoded secrets or credentials
        4. Unvalidated user input
        5. Insecure cryptographic operations
        6. Missing rate limiting on new endpoints

        Output as JSON: {issues: [{severity, file, line, description, fix}]}
        Exit code 1 if any Critical or High severity issues found."

Codex może być uruchamiany przez zdarzenia GitHub PR do automatycznego przeglądu bezpieczeństwa:

When a PR is opened, perform a security review:
1. Analyze all changed files for OWASP Top 10 vulnerabilities
2. Check new dependencies against known vulnerability databases
3. Verify authentication is required on all new endpoints
4. Confirm input validation exists for all new user-facing parameters
5. Post findings as a PR review comment with inline annotations

Implementacja ram zgodności

Kontrole SOC 2 z pomocą AI

Gotowy prompt do przygotowania audytu SOC 2:

Help me prepare for our SOC 2 Type II audit by reviewing our codebase against key controls:

CC6.1 (Logical Access):
- List all authentication mechanisms in our codebase
- Verify role-based access control is implemented consistently
- Check that session management follows security best practices

CC6.6 (System Boundaries):
- Map all external API integrations and their authentication methods
- Verify TLS is enforced on all external communications
- Check that API rate limiting is implemented

CC7.2 (Monitoring):
- Verify security events are logged (failed logins, permission changes, data exports)
- Check that logs include timestamp, user, action, and resource
- Confirm log retention and integrity mechanisms

For each control: current status (Compliant/Partial/Non-compliant), evidence location, and remediation steps if needed.

Gotowy prompt do audytu zgodności z GDPR:

Audit our codebase for GDPR compliance:
1. Data Inventory: Find all places where personal data is collected, stored, or processed.
   Search for: email, name, address, phone, IP address, cookies, user agent
2. Consent Management: Verify consent is collected before processing personal data
3. Right to Erasure: Check that user deletion cascades to all data stores
4. Data Minimization: Flag any places where we collect data we do not strictly need
5. Encryption: Verify personal data is encrypted at rest and in transit
6. Breach Notification: Check that security event logging would support a 72-hour notification

Map each finding to the specific GDPR article it relates to.
Present as a compliance matrix with: Data Type | Location | Legal Basis | Encrypted | Deletable

Wzorce bezpiecznego generowania kodu

Nauczanie AI twoich standardów bezpieczeństwa

Zakoduj swoje wymagania bezpieczeństwa, aby kod generowany przez AI był domyślnie bezpieczny.

// .cursor/rules or CLAUDE.md - Security section
SECURITY CODING STANDARDS:

Authentication:
- All API endpoints must use the authMiddleware from /src/middleware/auth.ts
- JWT tokens expire after 15 minutes, refresh tokens after 7 days
- Password hashing uses bcrypt with cost factor 12

Input Validation:
- All request bodies validated with Zod schemas before processing
- File uploads limited to 10MB, allowed types: jpg, png, pdf
- URL parameters must be validated as UUIDs where applicable

Database:
- ALL queries must use parameterized statements (Drizzle ORM or prepared statements)
- Never construct SQL strings with string concatenation
- Database connections use least-privilege service accounts

Output:
- All HTML output must be escaped (handled by React/template engine)
- API responses must not include internal error details in production
- Set Content-Security-Policy, X-Frame-Options, X-Content-Type-Options headers

Kiedy coś się psuje

“Nasz zespół bezpieczeństwa nie zatwierdi narzędzi AI, bo wysyłają kod na zewnętrzne serwery.” Przynieś na spotkanie raport SOC 2 dostawcy, umowę o przetwarzaniu danych i politykę zerowej retencji. Większość planów enterprise narzędzi AI zapewnia gwarancje umowne. Claude Code może też działać z lokalnymi modelami, jeśli wymagana jest absolutna izolacja danych.

“Kod generowany przez AI przeszedł przegląd, ale miał podatność.” Narzędzia AI zmniejszają, ale nie eliminują ryzyk bezpieczeństwa. Utrzymuj automatyczne skanowanie (SAST, DAST, audytowanie zależności) w CI niezależnie od tego, czy kod został wygenerowany przez AI czy napisany przez człowieka. Przegląd bezpieczeństwa to strategia obrony w głąb.

“Audyty zgodności zajmują tyle samo czasu nawet z AI.” Prawdopodobnie przeprowadzasz audyty reaktywnie. Skonfiguruj ciągłe monitorowanie zgodności z kontrolami CI opartymi na AI. Kwartalny audyt staje się formalnością, gdy każdy PR jest już przeglądany pod kątem kontroli zgodności.

“Różne zespoły kodują wymagania bezpieczeństwa w różny sposób.” Scentralizuj swoje standardy bezpieczeństwa we współdzielonym pliku reguł i dystrybuuj go do wszystkich repozytoriów. Użyj monorepo lub submodułu Git do współdzielonych konfiguracji.

Co dalej

Prywatność i obsługa danych Polityki prywatności danych enterprise i zarządzanie danymi w narzędziach AI.

Testowanie bezpieczeństwa Zautomatyzowane skanowanie podatności i testy penetracyjne z AI.

Disaster recovery Strategie backupu, odzyskiwania i rollbacku dla rozwoju wspomaganego AI.