Zrelost varnosti aplikacij · DevSecOps in varno kodiranje
Vaša razvojna veriga ocenjena, od kode do uvajanja, in prevedena v načrt poti.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost varnosti aplikacij · DevSecOps in varno kodiranje
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Okvir zrelosti DevSecOps in varnosti aplikacij (po vzoru OWASP SAMM in BSIMM) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (stopnja, višja stopnja in dejanje, ki ju povezuje) spremeni ugotovitev v trajektorijo.
Ali se ranljivosti, odkrite z avtomatiziranimi analizami, odpravljajo v skladu z opredeljenimi roki?
- N1
Rezultati analiz se ne uporabljajo. Noben rok za odpravo ni opredeljen in nihče ni določen za obravnavo odkritij.
- N2
Nekatere ekipe obravnavajo kritične ranljivosti, ko jih opazijo. Roki se razlikujejo glede na razpoložljivost in trenutno obremenitev.
- N3
Roki za odpravo po stopnji kritičnosti so opredeljeni in poznani. Ranljivosti so dodeljene nosilcu in se spremljajo do zaprtja.
- N4
Roki se spoštujejo in se merijo po ekipah. Prekoračitve so predmet dokumentirane in potrjene izjeme, varnostni dolg pa se spremlja kot načrtovano breme.
- N5
Pragovi in roki se periodično pregledujejo glede na incidente in razvoj aplikativnega portfelja, z dokumentiranim spremljanjem sprememb in njihovih učinkov.
Dejanje za prehod iz N2 v N3
Objaviti razpredelnico rokov za odpravo po stopnji kritičnosti, samodejno ustvariti zahtevek, dodeljen ekipi, ki je lastnica repozitorija, ob vsakem odkritju, in odprte zahtevke pregledati na pregledu sprinta.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna DEV SECOPS.
O čem govori ta referenčni okvir
Varnost aplikacij zajema vse prakse, ki zmanjšujejo izkoristljive napake v programski opremi, od zasnove do obratovanja. DevSecOps je organizacijski prevod tega pristopa: vgradnja varnostnih kontrol v verigo neprekinjenega dostavljanja namesto na koncu cikla. To predpostavlja pravila varnega kodiranja, orodno podprto statično in dinamično analizo, upravljanje odvisnosti in skrivnosti, modeliranje groženj v zgodnji fazi ter usposobljene razvojne ekipe. Ne gre za izdelek, ki ga namestite, temveč za niz praks, ki jih morate zasidrati v vsakdanje delo ekip.
V praksi gre za težko obvladljivo področje, ker je razpršeno. Varnost aplikacij hkrati pripada produktnim ekipam, platformskim ekipam in varnostni funkciji, ne da bi kdorkoli imel celovit pregled. Konkretna vprašanja se vedno ponavljajo: ali se analize kode izvajajo na vseh repozitorijih ali le na tistih, ki jih je nastavila kaka motivirana ekipa? Ali se odkrite ranljivosti odpravljajo, ali se kopičijo v nadzorni plošči, ki je nihče več ne odpre? Je varnostni pregled resnična kontrolna točka ali zgolj kljukica pred prehodom v produkcijo?
Pogosto nesporazum je vreden pojasnila: orodja niso obvladovanje. Mnoge organizacije imajo pregledovalnik tujih komponent, statični analizator in trezor skrivnosti, ne da bi bili ti gradniki povezani s politiko odprave, pragovi za blokiranje ali določenim nosilcem odgovornosti. Razmah pomoči pri pisanju kode z generativno umetno inteligenco to poudarja: obseg ustvarjene kode narašča, pregled in poznavanje odvisnosti pa morata slediti. Vprašanje ni več, ali imate orodja, temveč kaj veriga dejansko naredi z njihovimi rezultati.
Presoja preveri prisotnost mehanizma in se zaključi z ugotovljeno vrzeljo. Diagnostika zrelosti postavlja drugačno vprašanje: na kateri stopnji so vaše prakse, ekipa za ekipo, in katero konkretno dejanje omogoči prehod na naslednjo stopnjo. Pri temi, ki je tako neenakomerna od produkta do produkta, ta granularnost spremeni način vodenja. Ocena po tematskih področjih omogoča primerjavo poslovnih enot med seboj in merjenje napredka iz cikla v cikel, namesto zgolj ugotovitve splošnega stanja brez trajektorije.
Referenčni okvir je na voljo in takoj uporaben v Datamensio. Prilagodite ga lahko svoji organizaciji: umetna inteligenca prilagodi tematska področja, preoblikuje vprašanja in izostri stopnje po metodi CMMI, ali pa zgradi različico na podlagi vaših lastnih razvojnih politik in notranjih standardov.
Referenčni standard: Okvir zrelosti DevSecOps in varnosti aplikacij (po vzoru OWASP SAMM in BSIMM)
Ocenjevana tematska področja
Upravljanje varnosti aplikacij
Politika varnega razvoja, vloge in varnostni referenti v produktnih ekipah, odločanje o izjemah, kazalniki, ki jih spremlja vodstvo.
Zahteve in zasnova
Varnostne zahteve, formalizirane v specifikacijah, modeliranje groženj, pregledi arhitekture, izbira gradnikov in zasnovnih vzorcev.
Varno kodiranje in pregled
Standardi kodiranja, pregled s strani sodelavcev z vključenim varnostnim vidikom, pravila validacije vhodnih podatkov, upravljanje napak in beleženja.
Upravljanje odvisnosti in dobavne verige programske opreme
Popis tujih komponent, programski seznam sestavin, spremljanje objavljenih ranljivosti, politika posodabljanja, podpisovanje artefaktov.
Avtomatizirano varnostno testiranje
Statična analiza, dinamična analiza, testiranje sestave, pokritost repozitorijev, pragovi za blokiranje v integracijskih verigah.
Varnost verige CI/CD
Nadzor dostopa do repozitorijev in izvajalnih enot, upravljanje skrivnosti, celovitost cevovodov, ločevanje okolij, sledljivost uvajanj.
Upravljanje in odprava ranljivosti
Opredelitev in razvrščanje odkritih ranljivosti, roki za odpravo po stopnji kritičnosti, spremljanje do zaprtja, upravljanje varnostnega dolga.
Penetracijsko testiranje in zunanja validacija
Obseg in pogostost testiranj, program razkrivanja ali nagrajevanja ranljivosti, vračanje ugotovitev v razvojne standarde.
Kompetence in kultura
Usposabljanje za varno kodiranje, nadgrajevanje znanja referentov, ozaveščanje o uporabi pomoči pri pisanju kode z umetno inteligenco, deljenje izkušenj iz incidentov.
Obratovanje in nenehno izboljševanje
Varnost nastavitev v produkciji, nadzor aplikacij, izkušnje po incidentih, periodičen pregled standardov in pragov.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali ta diagnostika vodi do certifikacije?
Ne. Varnost aplikacij nima lastnega certifikacijskega organa. Datamensio izmeri zrelost vaših praks in pripravi pripadajoč akcijski načrt. Rezultati pa lahko podkrepijo dokumentacijo za stranke ali širšo pobudo za upravljanje varnosti.
Kakšna je razlika v primerjavi s pregledom kode ali penetracijskim testiranjem?
Pregled kode ali penetracijsko testiranje išče napake v določeni aplikaciji, v določenem trenutku. Diagnostika oceni sposobnost vaše organizacije, da se takim napakam izogne in jih ponovljivo odpravlja. Oba pristopa se dopolnjujeta: tehnične ugotovitve napajajo oceno praks.
Koliko časa traja ocenjevanje?
Krajšo različico izpolni odgovorni, ki pozna razvojno verigo, v 20 do 30 minutah. Celovita različica, v sodelovalnem načinu s produktnimi in platformskimi ekipami, običajno traja en do dva tedna, pri čemer večino časa zavzame zbiranje podatkov.
Ali lahko referenčni okvir prilagodimo svoji organizaciji?
Da. Tematska področja, vprašanja in stopnje je mogoče spreminjati. Umetna inteligenca lahko celoto preoblikuje na podlagi vaših razvojnih politik, standardov kodiranja ali dejanskih orodij, ali pripravi različico, prilagojeno posamezni produktni liniji.
Kako primerjati več razvojnih ekip?
Isti referenčni okvir se posreduje vsaki ekipi ali poslovni enoti. Ocene po tematskih področjih se lahko primerjajo med subjekti in skozi čas. Presečni načrt poti nato združi akcijske načrte, da se izogne desetkratnemu financiranju istega orodnega projekta.
Ali je treba biti razvijalec, da bi odgovarjali na vprašanja?
Vprašanja se nanašajo na prakse in mehanizme, ne na konkretne nastavitve. Nanje lahko odgovori vodja inženiringa ali varnostni referent. Sodelovalni način omogoča, da se vprašanja o orodjih dodelijo platformski ekipi, vprašanja o zasnovi pa arhitektom.
Ali je upoštevana uporaba generativne umetne inteligence za pisanje kode?
Da. Referenčni okvir oceni urejenost te rabe: pravila uporabe, pregled ustvarjene kode, nadzor uvedenih odvisnosti in usposabljanje razvijalcev. Te točke je mogoče prilagoditi, če je vaša notranja politika bolj podrobna.
Kje so shranjeni podatki?
V Franciji, pri ponudniku OVH, z varnostno kopijo pri Scaleway. Brez prenosa podatkov zunaj Evropske unije. Uporabljene modele umetne inteligence je mogoče izbrati, tudi med evropskimi rešitvami.