1. 维护包含第三方API的API清单
维护一个API清单，确保它在代码发生变化时能够自动更新，这是API安全程序的重要一步。清单应该区分第一方和第三方API，并鼓励在不通知安全团队的情况下持续监控影子IT API。这样可以确保企业的库存稳健且可操作，跟踪哪些API传输关键业务信息，如个人身份信息和支付卡数据。
2. 调查第三方API供应商
选择具有强大安全措施的信誉良好的提供商，监控可疑行为的API活动，并使用加密措施。例如，只使用来自可信提供者的支付处理API，定期监视API日志中任何异常活动，并确保通过API发送的所有敏感数据都是加密的。此外，建立供应商的安全管理流程非常重要，这个过程应该与企业的采购过程紧密结合起来。
3. 确保第三方API的供应商安全测试
企业应该建立供应商的通用安全控制和跨第三方API生命周期不同阶段的安全控制，以确保适当的保护符合他们的风险承受能力。这包括解决由供应商开发的源代码和产品中包含的开源库所产生的风险的实践。用户希望看到供应商有良好的安全测试实践，使用最新的工具来执行静态代码分析、模糊测试和漏洞扫描。
确保第三方API的安全性是维护合规性的关键，因为许多行业都有严格的数据保护和隐私法规，如欧盟的《通用数据保护条例》(GDPR)和美国的《健康保险流通与责任法案》。因此，通过上述最佳实践，企业可以在追求便利的同时确保安全，避免潜在的风险和损失。
