¿Se debe permitir que un sitio web utilice un servicio web de terceros directamente?

Me complace mucho haber tropezado con esta pregunta, ya que es una situación común pero en su mayoría mal manejada.

Mi respuesta es que tiene que haber un servicio interno para cumplir con el propósito de consumir / alimentar a un servicio de terceros y mi justificación es la siguiente.

1. Me ayuda a rastrear todas las ocurrencias de servicios internos que atienden a los 3PE. (suponga que un día después de 1 año debe encontrar todos los 3PE y no tiene idea de dónde están dispersos en todo el código y cuáles son sus nombres, pero si tiene un servicio interno haciendo el trabajo de los intermediarios, sabe exactamente qué buscar para). La auditoría externa de la asociación es fácil.
2. Si el servicio tiene algún problema al final de la tercera parte, tiene una posibilidad de lograr fallos elegantes.
3. Realiza un seguimiento de todos los datos que los 3PE van a entregar / consumir para que sepa exactamente lo que entra y sale.
4. En situaciones muy específicas, este tipo de 3PE debe realizarse después de una revisión de la Arquitectura de seguridad (por ejemplo, el dominio bancario) que involucra la revisión del proveedor, servicio, datos, privilegios y muchos más. Tener un servicio interno elimina la dependencia de que un código de terceros sea completamente confiable. (No hay confianza en infosec, ¿verdad?)

Sin embargo, también hay un inconveniente. Cada vez que el servicio externo se modifica a sí mismo, debe realizar los cambios pertinentes en su servicio interno en consecuencia. Pero eso se puede tolerar debido a las ventajas que aporta.

Último punto, si apunta a PCI-DSS o cualquier otra auditoría, siempre puede agregar el informe de sus 3PE y la forma en que los maneja utilizando los servicios internos en su lista de evidencia de prácticas de codificación segura.

Espero que esto ayude.

Se puede acceder directamente

Puede haber razones por las que un servicio interno intermedio puede ser útil, como abstraer el servicio web de terceros o proporcionar una interfaz común a varias interfaces.

Sin embargo, no hay razón por la que el sitio web no pueda consumir directamente al tercero, si se realiza correctamente. Tenga en cuenta que el sitio web aún deberá interactuar con el servicio interno, lo que puede ser tan difícil como interactuar con un tercero.

Desde el punto de vista de la seguridad, el uso de ese servicio interno puede permitirle segregar las credenciales de terceros o usarlo para aplicar otra capa de filtrado a la entrada, pero dicho servicio no es necesario . p>