Veebilehitseja turvalisus: põhjalik ülevaade sisuturbe poliitikast (CSP)

Tänapäeva veebikeskkonnas on turvalisus esmatähtis. Veebisaidid seisavad silmitsi pideva potentsiaalsete rünnakute tulvaga, sealhulgas saidiülene skriptimine (XSS), andmete sisestamine ja klikirööv (clickjacking). Üks tõhusamaid kaitsemeetmeid nende ohtude vastu on sisuturbe poliitika (Content Security Policy, CSP). See artikkel pakub põhjalikku juhendit CSP kohta, uurides selle eeliseid, rakendamist ja parimaid tavasid teie veebirakenduste turvamiseks.

Mis on sisuturbe poliitika (CSP)?

Sisuturbe poliitika (CSP) on täiendav turvakiht, mis aitab tuvastada ja leevendada teatud tüüpi rünnakuid, sealhulgas saidiülest skriptimist (XSS) ja andmesisestusrünnakuid. Neid rünnakuid kasutatakse kõige jaoks alates andmevargusest kuni saidi rikkumise ja pahavara levitamiseni.

CSP on sisuliselt valge nimekiri, mis ütleb veebilehitsejale, milliseid sisuallikaid peetakse turvaliseks laadida. Määratledes range poliitika, annate veebilehitsejale korralduse ignoreerida sisu allikatest, mis pole selgesõnaliselt heaks kiidetud, neutraliseerides tõhusalt paljud XSS-rünnakud.

Miks on CSP oluline?

CSP pakub mitmeid olulisi eeliseid:

• Leevendab XSS-rünnakuid: Kontrollides allikaid, kust veebilehitseja saab sisu laadida, vähendab CSP dramaatiliselt XSS-rünnakute riski.
• Vähendab klikirööviga seotud haavatavusi: CSP aitab vältida klikiröövi rünnakuid, kontrollides, kuidas veebisaiti saab raamida.
• Jõustab HTTPS-i kasutamist: CSP aitab tagada, et kõik ressursid laaditakse üle HTTPS-i, vältides pealtkuulamisrünnakuid (man-in-the-middle).
• Vähendab ebausaldusväärse sisu mõju: Isegi kui teie lehele õnnestub kuidagi sisestada ebausaldusväärset sisu, võib CSP takistada sellel kahjulike skriptide käivitamist.
• Pakub raporteerimist: CSP-d saab konfigureerida rikkumistest teavitama, mis võimaldab teil oma turvapoliitikat jälgida ja täiustada.

Kuidas CSP töötab

CSP toimib, lisades teie veebilehtedele HTTP vastuse päise või <meta> sildi. See päis/silt määratleb poliitika, mida veebilehitseja peab ressursside laadimisel järgima. Poliitika koosneb direktiivide seeriast, millest igaüks määrab lubatud allikad teatud tüüpi ressursile (nt skriptid, stiililehed, pildid, fondid).

Seejärel jõustab veebilehitseja seda poliitikat, blokeerides kõik ressursid, mis ei vasta lubatud allikatele. Kui rikkumine toimub, võib veebilehitseja sellest valikuliselt teatada määratud URL-ile.

CSP direktiivid: põhjalik ülevaade

CSP direktiivid on poliitika tuum, määratledes lubatud allikad erinevat tüüpi ressurssidele. Siin on ülevaade kõige levinumatest ja olulisematest direktiividest:

• default-src: See direktiiv määratleb vaikeallika kõikidele ressursitüüpidele, mida teised direktiivid pole selgesõnaliselt määranud. See on hea lähtepunkt põhilise CSP poliitika jaoks. Kui on määratletud spetsiifilisem direktiiv, nagu näiteks `script-src`, siis see tühistab `default-src` direktiivi skriptide jaoks.
• script-src: Määrab lubatud allikad JavaScripti jaoks. See on üks olulisemaid direktiive XSS-rünnakute ennetamiseks.
• style-src: Määrab lubatud allikad CSS-stiililehtedele.
• img-src: Määrab lubatud allikad piltidele.
• font-src: Määrab lubatud allikad fontidele.
• media-src: Määrab lubatud allikad <audio>, <video> ja <track> elementidele.
• object-src: Määrab lubatud allikad <object>, <embed> ja <applet> elementidele. Märkus: Need elemendid on sageli turvanõrkuste allikaks ja võimalusel on soovitatav seada see väärtusele 'none'.
• frame-src: Määrab lubatud allikad <iframe> elementidele.
• connect-src: Määrab lubatud allikad XMLHttpRequest, WebSocket ja EventSource ühendustele. See on ülioluline kontrollimaks, kuhu teie veebisait saab andmeid saata.
• base-uri: Määrab dokumendi jaoks lubatud baas-URL-i.
• form-action: Määrab lubatud URL-id, kuhu vorme saab esitada.
• frame-ancestors: Määrab lubatud allikad, mis saavad praegust lehte manustada <frame>, <iframe>, <object> või <applet> elemendis. Seda kasutatakse klikiröövi rünnakute vältimiseks.
• upgrade-insecure-requests: Annab veebilehitsejale käsu automaatselt uuendada kõik ebaturvalised (HTTP) päringud turvalisteks (HTTPS) päringuteks. See on oluline tagamaks, et kõik andmed edastatakse turvaliselt.
• block-all-mixed-content: Takistab veebilehitsejal laadida ressursse üle HTTP, kui leht ise on laaditud üle HTTPS-i. See on agressiivsem versioon direktiivist upgrade-insecure-requests.
• report-uri: Määrab URL-i, kuhu veebilehitseja peaks saatma rikkumisraportid. See võimaldab teil oma CSP poliitikat jälgida ja täiustada. *Aegunud, asendatud direktiiviga `report-to`*
• report-to: Määrab `Report-To` HTTP päises defineeritud grupi nime, kuhu veebilehitseja peaks saatma rikkumisraportid. See direktiiv nõuab, et `Report-To` päis oleks korrektselt seadistatud.
• require-trusted-types-for: Lubab usaldusväärsed tüübid (Trusted Types), DOM API, mis aitab vältida DOM-põhiseid XSS-i haavatavusi. Nõuab spetsiifilisi Trusted Types'i implementatsioone ja konfiguratsioone.
• trusted-types: Määratleb nimekirja usaldusväärsete tüüpide poliitikatest, millel on lubatud luua DOM-i objekte (sinks).

Allikate loendi võtmesõnad

Lisaks URL-idele saavad CSP direktiivid kasutada lubatud allikate määratlemiseks mitmeid võtmesõnu:

• 'self': Lubab sisu samast päritolust (skeem ja domeen) kui kaitstav dokument.
• 'unsafe-inline': Lubab kasutada tekstisiseseid (inline) JavaScripti ja CSS-i. Kasutage äärmise ettevaatusega, kuna see nõrgestab oluliselt CSP-d ja võib taasluua XSS-i haavatavusi. Võimalusel vältige.
• 'unsafe-eval': Lubab kasutada dünaamilisi JavaScripti hindamisfunktsioone nagu eval() ja Function(). Kasutage samuti ettevaatusega, kuna see nõrgestab CSP-d. Kaaluge alternatiive, näiteks mall-literaale.
• 'unsafe-hashes': Lubab spetsiifilisi tekstisiseseid sündmuste käsitlejaid, lisades nende SHA256, SHA384 või SHA512 räsiväärtused valgesse nimekirja. Kasulik CSP-le üleminekuks ilma kõiki tekstisiseseid sündmuste käsitlejaid kohe ümber kirjutamata.
• 'none': Keelab sisu mis tahes allikast.
• 'strict-dynamic': Lubab usaldusväärsete skriptide poolt laaditud skriptidel laadida täiendavaid skripte, isegi kui need skriptid poleks tavaliselt poliitikaga lubatud. Kasulik kaasaegsete JavaScripti raamistike jaoks.
• 'report-sample': Annab veebilehitsejale korralduse lisada rikkumisraportisse näidis rikkunud koodist. Abiks CSP probleemide silumisel.
• data:: Lubab ressursside laadimist data: URL-idest (nt manustatud pildid). Kasutage ettevaatusega.
• mediastream:: Lubab ressursside laadimist mediastream: URL-idest (nt veebikaamera või mikrofon).
• blob:: Lubab ressursside laadimist blob: URL-idest (nt dünaamiliselt loodud objektid).
• filesystem:: Lubab ressursside laadimist filesystem: URL-idest (nt juurdepääs kohalikule failisüsteemile).

CSP rakendamine: praktilised näited

CSP rakendamiseks on kaks peamist viisi:

1. HTTP vastuse päis: See on soovitatav lähenemine, kuna see pakub suuremat paindlikkust ja kontrolli.
2. <meta> silt: See on lihtsam lähenemine, kuid sellel on piirangud (nt seda ei saa kasutada direktiiviga frame-ancestors).

Näide 1: HTTP vastuse päis

CSP päise seadistamiseks peate konfigureerima oma veebiserveri (nt Apache, Nginx, IIS). Spetsiifiline konfiguratsioon sõltub teie serveritarkvarast.

Siin on näide CSP päisest:

Content-Security-Policy: default-src 'self'; script-src 'self' https://example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:; report-uri /csp-report

Selgitus:

• default-src 'self': Lubab vaikimisi ressursse samast päritolust.
• script-src 'self' https://example.com: Lubab JavaScripti samast päritolust ja aadressilt https://example.com.
• style-src 'self' 'unsafe-inline': Lubab CSS-i samast päritolust ja tekstisiseseid stiile (kasutage ettevaatusega).
• img-src 'self' data:: Lubab pilte samast päritolust ja data URL-e.
• report-uri /csp-report: Saadab rikkumisraportid teie serveri /csp-report lõpp-punkti.

Näide 2: <meta> silt

CSP poliitika määratlemiseks võite kasutada ka <meta> silti:

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self' https://example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:">

Märkus: <meta> sildi lähenemisel on piirangud. Näiteks ei saa seda kasutada direktiivi frame-ancestors määratlemiseks, mis on oluline klikiröövi rünnakute ennetamiseks.

CSP ainult raporteerimise režiimis

Enne CSP poliitika jõustamist on tungivalt soovitatav seda testida ainult raporteerimise režiimis. See võimaldab teil jälgida rikkumisi ilma ühtegi ressurssi blokeerimata.

Ainult raporteerimise režiimi lubamiseks kasutage Content-Security-Policy-Report-Only päist Content-Security-Policy asemel:

Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self' https://example.com; report-uri /csp-report

Ainult raporteerimise režiimis saadab veebilehitseja rikkumisraportid määratud URL-ile, kuid ei blokeeri ühtegi ressurssi. See võimaldab teil tuvastada ja parandada oma poliitika probleemid enne selle jõustamist.

Raporteerimise URI lõpp-punkti seadistamine

Direktiiv report-uri (aegunud, kasutage `report-to`) määrab URL-i, kuhu veebilehitseja peaks saatma rikkumisraportid. Nende raportite vastuvõtmiseks ja töötlemiseks peate oma serveris seadistama lõpp-punkti. Need raportid saadetakse JSON-andmetena POST-päringu kehas.

Siin on lihtsustatud näide, kuidas võiksite CSP raporteid Node.js-is käsitleda:

const express = require('express');
const bodyParser = require('body-parser');
const app = express();
const port = 3000;

app.use(bodyParser.json({ type: 'application/csp-report' }));

app.post('/csp-report', (req, res) => {
 console.log('CSP rikkumise raport:', JSON.stringify(req.body, null, 2));
 res.status(204).end(); // Vasta 204 No Content staatusega
});

app.listen(port, () => {
 console.log(`CSP raportiserver kuulab aadressil http://localhost:${port}`);
});

See kood seadistab lihtsa serveri, mis kuulab POST-päringuid /csp-report lõpp-punktile. Kui raport vastu võetakse, logib see raporti konsooli. Reaalses rakenduses sooviksite tõenäoliselt need raportid analüüsimiseks andmebaasi salvestada.

Kasutades `report-to`, peate konfigureerima ka `Report-To` HTTP päise. See päis määratleb raporteerimise lõpp-punktid ja nende omadused.

Report-To: {"group":"csp-endpoint","max_age":10886400,"endpoints":[{"url":"https://example.com/csp-report"}],"include_subdomains":true}

Seejärel kasutaksite oma CSP päises:

Content-Security-Policy: default-src 'self'; report-to csp-endpoint;

CSP parimad praktikad

Siin on mõned parimad tavad, mida CSP rakendamisel järgida:

• Alustage range poliitikaga: Alustage piirava poliitikaga ja leevendage seda järk-järgult vastavalt vajadusele. See aitab teil varakult tuvastada ja lahendada potentsiaalseid turvanõrkusi.
• Kasutage tekstisiseste skriptide ja stiilide jaoks nonce'e või räsiväärtusi: Kui peate kasutama tekstisiseseid skripte või stiile, kasutage nonce'e (krüptograafiliselt juhuslikke väärtusi) või räsiväärtusi, et lisada konkreetsed koodiplokid valgesse nimekirja. See on turvalisem kui 'unsafe-inline' kasutamine.
• Vältige 'unsafe-eval': Direktiiv 'unsafe-eval' lubab dünaamiliste JavaScripti hindamisfunktsioonide kasutamist, mis võib olla suur turvarisk. Võimalusel vältige selle direktiivi kasutamist. Kaaluge mall-literaalide või muude alternatiivide kasutamist.
• Kasutage kõigi ressursside jaoks HTTPS-i: Veenduge, et kõik ressursid laaditakse üle HTTPS-i, et vältida pealtkuulamisrünnakuid. Kasutage direktiivi upgrade-insecure-requests ebaturvaliste päringute automaatseks uuendamiseks.
• Jälgige ja täiustage oma poliitikat: Jälgige regulaarselt CSP rikkumisraporteid ja täiustage oma poliitikat vastavalt vajadusele. See aitab teil tuvastada ja lahendada probleeme ning tagada, et teie poliitika jääb tõhusaks.
• Kaaluge CSP generaatori kasutamist: Mitmed veebipõhised tööriistad aitavad teil luua CSP poliitika vastavalt teie veebisaidi nõuetele. Need tööriistad võivad lihtsustada tugeva ja tõhusa poliitika loomise protsessi.
• Testige põhjalikult: Enne CSP poliitika jõustamist testige seda põhjalikult ainult raporteerimise režiimis, et tagada, et see ei riku teie veebisaidi funktsionaalsust.
• Kasutage raamistikku või teeki: Mõned veebiarenduse raamistikud ja teegid pakuvad sisseehitatud tuge CSP-le. Nende tööriistade kasutamine võib lihtsustada CSP poliitika rakendamise ja haldamise protsessi.
• Olge teadlik veebilehitsejate ühilduvusest: CSP-d toetavad enamik kaasaegseid veebilehitsejaid, kuid vanemate brauseritega võib esineda ühilduvusprobleeme. Testige oma poliitikat erinevates veebilehitsejates, et tagada selle ootuspärane toimimine.
• Harige oma meeskonda: Veenduge, et teie arendusmeeskond mõistab CSP olulisust ja kuidas seda õigesti rakendada. See aitab tagada, et CSP on kogu arendustsükli vältel õigesti rakendatud ja hooldatud.

CSP ja kolmandate osapoolte skriptid

Üks suurimaid väljakutseid CSP rakendamisel on tegelemine kolmandate osapoolte skriptidega. Paljud veebisaidid toetuvad analüütika, reklaami ja muu funktsionaalsuse jaoks kolmandate osapoolte teenustele. Need skriptid võivad tuua kaasa turvanõrkusi, kui neid ei hallata nõuetekohaselt.

Siin on mõned näpunäited kolmandate osapoolte skriptide haldamiseks CSP-ga:

• Kasutage alamressursside terviklikkust (Subresource Integrity, SRI): SRI võimaldab teil kontrollida, et kolmandate osapoolte skripte pole rikutud. Kui lisate kolmanda osapoole skripti, lisage atribuut integrity koos skripti räsiväärtusega. Seejärel kontrollib veebilehitseja enne skripti käivitamist, kas see vastab räsile.
• Hoidke kolmandate osapoolte skripte lokaalselt: Võimalusel hoidke kolmandate osapoolte skripte lokaalselt oma serveris. See annab teile rohkem kontrolli skriptide üle ja vähendab nende kompromiteerimise riski.
• Kasutage sisuedastusvõrku (CDN) koos CSP toega: Mõned CDN-id pakuvad sisseehitatud tuge CSP-le. See võib lihtsustada CSP rakendamist ja haldamist kolmandate osapoolte skriptide jaoks.
• Piirake kolmandate osapoolte skriptide õigusi: Kasutage CSP-d kolmandate osapoolte skriptide õiguste piiramiseks. Näiteks võite takistada neil juurdepääsu tundlikele andmetele või päringute tegemist volitamata domeenidele.
• Vaadake regulaarselt üle kolmandate osapoolte skripte: Vaadake regulaarselt üle oma veebisaidil kasutatavad kolmandate osapoolte skriptid, et tagada nende turvalisus ja usaldusväärsus.

Täiustatud CSP tehnikad

Kui teil on põhiline CSP poliitika paigas, saate uurida mõningaid täiustatud tehnikaid oma veebisaidi turvalisuse edasiseks parandamiseks:

• Nonce'ide kasutamine tekstisiseste skriptide ja stiilide jaoks: Nagu varem mainitud, on nonce'id krüptograafiliselt juhuslikud väärtused, mida saate kasutada konkreetsete tekstisisese koodi plokkide valgesse nimekirja lisamiseks. Nonce'ide kasutamiseks peate genereerima iga päringu jaoks unikaalse nonce'i ja lisama selle nii CSP päisesse kui ka tekstisisesse koodi.
• Räsiväärtuste kasutamine tekstisiseste sündmuste käsitlejate jaoks: Direktiiv 'unsafe-hashes' võimaldab teil lisada valgesse nimekirja konkreetseid tekstisiseseid sündmuste käsitlejaid nende SHA256, SHA384 või SHA512 räsiväärtuste alusel. See võib olla kasulik CSP-le üleminekuks ilma kõiki tekstisiseseid sündmuste käsitlejaid kohe ümber kirjutamata.
• Usaldusväärsete tüüpide (Trusted Types) kasutamine: Trusted Types on DOM API, mis aitab vältida DOM-põhiseid XSS-i haavatavusi. See võimaldab teil luua spetsiaalseid objektitüüpe, mis on teatud kontekstides garanteeritult ohutud kasutada.
• Funktsioonide poliitika (Feature Policy, nüüd Permissions Policy) kasutamine: Funktsioonide poliitika võimaldab teil kontrollida, millised veebilehitseja funktsioonid on teie veebisaidil saadaval. See aitab vältida teatud tüüpi rünnakuid ja parandada teie veebisaidi jõudlust.
• Alamressursside terviklikkuse (SRI) kasutamine koos varuvariandiga: Kombineerige SRI-d varumehhanismiga. Kui SRI kontroll ebaõnnestub (nt CDN on maas), olgu teil varukoopia ressursist oma serveris.
• Dünaamiline CSP genereerimine: Genereerige oma CSP dünaamiliselt serveripoolselt, tuginedes kasutaja seansile, rollidele või muule kontekstuaalsele teabele.
• CSP ja WebSockets: WebSocketsi kasutamisel konfigureerige hoolikalt direktiiv connect-src, et lubada ühendusi ainult usaldusväärsete WebSocketi lõpp-punktidega.

Globaalsed kaalutlused CSP rakendamisel

CSP rakendamisel globaalsele publikule arvestage järgmisega:

• CDN asukohad: Veenduge, et teie sisuedastusvõrgul (CDN) on servereid mitmes geograafilises asukohas, et pakkuda kasutajatele üle maailma kiiret ja usaldusväärset sisu edastamist. Kontrollige, et teie CDN toetab CSP-d ja suudab käsitleda vajalikke päiseid.
• Globaalsed regulatsioonid: Olge teadlik andmekaitse regulatsioonidest nagu GDPR (Euroopa), CCPA (California) ja muudest piirkondlikest seadustest. Veenduge, et teie CSP rakendus vastab nendele regulatsioonidele, eriti rikkumisraportite käsitlemisel.
• Lokaliseerimine: Kaaluge, kuidas CSP võib mõjutada lokaliseeritud sisu. Kui teil on erinevate keelte või piirkondade jaoks erinevad skriptid või stiilid, veenduge, et teie CSP poliitika arvestab nende variatsioonidega.
• Rahvusvahelised domeeninimed (IDN): Kui teie veebisait kasutab IDN-e, veenduge, et teie CSP poliitika käsitleb neid domeene õigesti. Olge teadlik võimalikest kodeerimisprobleemidest või veebilehitsejate ebajärjekindlusest.
• Päritoluülese ressursijagamise (CORS) poliitika: CSP töötab koos CORS-iga. Kui teete päritoluüleseid päringuid, veenduge, et teie CORS-i konfiguratsioon ühildub teie CSP poliitikaga.
• Piirkondlikud turvastandardid: Mõnedes piirkondades võivad olla spetsiifilised turvastandardid või nõuded. Uurige ja järgige neid standardeid, kui rakendate CSP-d nendes piirkondades asuvatele kasutajatele.
• Kultuurilised kaalutlused: Olge teadlik kultuurilistest erinevustest veebisaitide kasutamisel ja neile juurdepääsemisel. Kohandage oma CSP rakendust, et tegeleda potentsiaalsete turvariskidega, mis on spetsiifilised teatud piirkondadele või demograafilistele rühmadele.
• Testimine erinevates piirkondades: Testige oma CSP rakendust põhjalikult erinevates geograafilistes piirkondades ja veebilehitsejates, et tuvastada ja lahendada potentsiaalseid probleeme.
• Juurdepääsetavus: Veenduge, et teie CSP rakendus ei mõjuta negatiivselt teie veebisaidi juurdepääsetavust. Näiteks ärge blokeerige vajalikke skripte või stiile, mis on vajalikud ekraanilugejate või muude abitehnoloogiate jaoks.

CSP tõrkeotsing

CSP rakendamine võib mõnikord olla keeruline ja võite kokku puutuda probleemidega. Siin on mõned levinumad probleemid ja kuidas neid lahendada:

• Veebisait lakkab pärast CSP lubamist töötamast: Selle põhjuseks on sageli liiga piirav poliitika. Kasutage veebilehitseja arendaja tööriistu, et tuvastada blokeeritud ressursid ja kohandada oma poliitikat vastavalt.
• CSP rikkumisraporteid ei saada kätte: Kontrollige oma serveri konfiguratsiooni, et veenduda, et report-uri (või `report-to`) lõpp-punkt on õigesti konfigureeritud ja et teie server käsitleb POST-päringuid nõuetekohaselt. Samuti kontrollige, kas veebilehitseja tegelikult saadab raporteid (saate kasutada arendaja tööriistu võrguliikluse kontrollimiseks).
• Raskused tekstisiseste skriptide ja stiilidega: Kui teil on probleeme tekstisiseste skriptide ja stiilidega, kaaluge nende valgesse nimekirja lisamiseks nonce'ide või räsiväärtuste kasutamist. Alternatiivina proovige koodi teisaldada välistesse failidesse.
• Probleemid kolmandate osapoolte skriptidega: Kasutage SRI-d kolmandate osapoolte skriptide terviklikkuse kontrollimiseks. Kui teil on endiselt probleeme, proovige skripte lokaalselt hoida või võtke abi saamiseks ühendust kolmanda osapoole pakkujaga.
• Veebilehitsejate ühilduvusprobleemid: CSP-d toetavad enamik kaasaegseid veebilehitsejaid, kuid vanemate brauseritega võib esineda ühilduvusprobleeme. Testige oma poliitikat erinevates veebilehitsejates, et tagada selle ootuspärane toimimine.
• CSP poliitikate konfliktid: Kui kasutate mitut CSP poliitikat (nt erinevatest pistikprogrammidest või laiendustest), võivad need omavahel konflikti sattuda. Proovige pistikprogrammid või laiendused keelata, et näha, kas see lahendab probleemi.

Kokkuvõte

Sisuturbe poliitika on võimas tööriist teie veebisaidi turvalisuse parandamiseks ja kasutajate kaitsmiseks erinevate ohtude eest. Rakendades CSP-d õigesti ja järgides parimaid tavasid, saate oluliselt vähendada XSS-rünnakute, klikiröövi ja muude haavatavuste riski. Kuigi CSP rakendamine võib olla keeruline, on selle pakutavad eelised turvalisuse ja kasutajate usalduse osas pingutust väärt. Pidage meeles, et alustage range poliitikaga, testige põhjalikult ning jälgige ja täiustage pidevalt oma poliitikat, et tagada selle tõhusus. Veebi arenedes ja uute ohtude ilmnedes jääb CSP jätkuvalt oluliseks osaks terviklikust veebiturvalisuse strateegiast.