Secure SDLC Review – przewodnik

Co to jest

Przegląd analizuje, jak Państwa zespół programistów podchodzi obecnie do bezpieczeństwa na etapach planowania, projektowania, kodowania, testowania, wydawania i bieżącego utrzymania. Zakres jest potwierdzany na piśmie przed rozpoczęciem prac. W zależności od wybranej usługi może obejmować badanie praktyk modelowania zagrożeń lub przeglądu projektu, procesów przeglądu kodu, wykorzystania narzędzi do testów bezpieczeństwa, zarządzania zależnościami, obsługi sekretów, procesów zatwierdzania wydań, kontroli dostępu do produkcji, gotowości na incydenty oraz sposobu dzielenia się wiedzą o bezpieczeństwie w zespole. Prace mają na celu ocenę dowodów i obserwację praktyk pracy, a nie audytowanie poszczególnych programistów czy zakłócanie harmonogramów dostarczania. Otrzymują Państwo ustrukturyzowany raport, który wyjaśnia, co wydaje się działać, gdzie zaobserwowano luki lub niespójności i jaki mógłby być proporcjonalny kolejny krok. Obserwacje są uporządkowane tak, aby interesariusze techniczni i nietechniczni rozumieli różnicę między priorytetowym usprawnieniem, rozsądną kolejną inwestycją a problemem, który może wymagać wsparcia specjalisty lub osobnego zlecenia.

Dla kogo

Secure SDLC Review jest odpowiedni dla firm, które:

• Zatrudniają wewnętrzny lub zewnętrzny zespół programistów i nie przeszły jeszcze formalnego przeglądu tego, jak bezpieczeństwo jest uwzględniane przy dostarczaniu oprogramowania
• Niedawno powiększyły zespół, zmieniły praktyki dostarczania, przeszły na nową platformę lub wdrożyły nowe narzędzia i chcą sprawdzić, czy praktyki bezpieczeństwa nadążają za zmianami
• Przygotowują się do sprzedaży korporacyjnej, procesu zgodności lub współpracy z większym klientem, który oczekuje dowodów dyscypliny w bezpiecznym wytwarzaniu oprogramowania
• Muszą rzeczowo odpowiedzieć na pytanie audytora, inwestora, klienta lub zarządu o praktyki bezpiecznego wytwarzania, nie przeceniając obecnej sytuacji

Co pomaga wyjaśnić

Przegląd Secure SDLC pomaga wyjaśnić:

• Które praktyki bezpieczeństwa wydają się stosowane na etapach projektowania, kodowania, testowania i wydawania, a gdzie dowody są niepełne lub proces wymaga jaśniej określonej odpowiedzialności
• Gdzie poleganie na wiedzy pojedynczych osób, nieformalnej komunikacji lub nieudokumentowanych nawykach może sprawiać, że decyzje dotyczące bezpieczeństwa są niespójne lub niewidoczne dla nowych członków zespołu
• Które narzędzia, punkty kontrolne lub etapy zatwierdzania są wykorzystywane skutecznie, a które generują szum, opóźnienia lub fałszywe poczucie bezpieczeństwa
• Czym zająć się w obecnym zespole, co wymaga szkolenia lub jaśniejszych wytycznych, a co należy omówić jako osobno zdefiniowaną zmianę techniczną lub organizacyjną

Co jest zawarte

• Pisemne potwierdzenie zakresu przed rozpoczęciem prac, w tym struktury zespołu, praktyk dostarczania i źródeł dowodów objętych przeglądem
• Badanie uzgodnionych praktyk programistycznych poprzez przegląd dokumentacji, rozmowy z zespołem i w razie potrzeby obserwację artefaktów roboczych
• Ustrukturyzowany raport z praktycznymi obserwacjami, uszeregowanymi według znaczenia i wykonalności, a nie tylko teoretycznej ważności
• Zrozumiałe wyjaśnienie każdej obserwacji z kontekstem dla decydentów technicznych i nietechnicznych
• Podsumowanie dla kierownictwa, które można udostępnić wewnętrznie na potrzeby decyzji o planowaniu, rekrutacji, szkoleniach lub narzędziach
• Jedna rozmowa uzupełniająca w celu omówienia ustaleń, priorytetów i realistycznych kolejnych kroków

Co nie jest uwzględnione

• Pełne testy penetracyjne aplikacji, przegląd infrastruktury ani aktywna eksploatacja, chyba że zostaną osobno zdefiniowane
• Certyfikacja zgodności, opinia audytowa ani oświadczenie, że firma spełnia wszystkie mające zastosowanie standardy wytwarzania oprogramowania
• Przeprojektowanie procesów, wdrożenie narzędzi ani szkolenie zespołu w trakcie samego przeglądu
• Bieżący monitoring, ciągła ocena ani ponowne testy po zakończeniu uzgodnionego zlecenia
• Przegląd zespołów, repozytoriów, systemów lub potoków dostarczania, które nie zostały ujęte w pisemnym zakresie

Kiedy to wybrać

Warto wybrać Secure SDLC Review, gdy chcą Państwo uzyskać jasny, oparty na dowodach obraz tego, jak zespół programistów podchodzi dziś do bezpieczeństwa, zanim zdecydują się Państwo na konkretną inwestycję w narzędzia, program szkoleniowy lub zmianę procesu. To przydatny krok, gdy zespół się rozrósł, praktyki dostarczania się zmieniły lub interesariusz zadał zasadne pytanie o bezpieczne wytwarzanie oprogramowania, na które nie da się jeszcze pewnie odpowiedzieć. Może także pomóc przed audytem, przeglądem bezpieczeństwa u klienta lub wewnętrznym cyklem planowania, w którym będą omawiane możliwości zespołu. Gdy znają Państwo już konkretny problem techniczny lub procesowy i potrzebują ukierunkowanego wdrożenia, lepiej sprawdza się zwykle projekt usprawnień o określonym zakresie. Wartość przeglądu polega na tym, że kolejna inwestycja staje się bardziej przemyślana i z większym prawdopodobieństwem trafia w rzeczywiste ograniczenie.

Nasze podejście

Zaczynamy od pisemnego potwierdzenia granic przeglądu i podejścia do dowodów. Otrzymują Państwo zrozumiały opis, który wyjaśnia, jakie zespoły, repozytoria, praktyki i artefakty zostaną zbadane, jaki dostęp lub jakie rozmowy są potrzebne i co otrzymają Państwo przy przekazaniu wyników. Specjalista pracuje na podstawie przekazanych informacji i dostępu, a jeśli dostępne dowody pozostawiają pytanie otwarte, raport wyraźnie je odnotowuje, aby można było się nim zająć w dalszej kolejności. Obserwacje są formułowane jako praktyczne oceny: zaobserwowana praktyka, kontekst, w którym może mieć znaczenie, oraz proporcjonalna rekomendacja lub kolejne pytanie. Raport ma wspierać konstruktywną rozmowę między kierownictwem technicznym, właścicielami produktu i zarządem o tym, na które usprawnienia przeznaczyć zasoby i kiedy. Przy przekazaniu wyników omawiamy z Państwem priorytety, aby dokument wspierał realistyczne planowanie, zamiast stać się listą, której trudno nadać priorytety i na podstawie której trudno działać.

Często zadawane pytania

Artykuły pokrewne