Secure SDLC Review: průvodce bezpečným vývojem softwaru

Co to je?

Revize se zaměřuje na to, jak váš vývojový tým v současnosti přistupuje k bezpečnosti v plánování, návrhu, programování, testování, vydávání a průběžné údržbě. Rozsah se před zahájením práce potvrzuje písemně. Podle zvolené služby může zahrnovat prověření postupů modelování hrozeb nebo revize návrhu, procesů revize kódu, používání nástrojů pro bezpečnostní testování, správy závislostí, nakládání s tajnými údaji, pracovních postupů schvalování vydání, řízení přístupu do produkce, připravenosti na incidenty a toho, jak se v týmu sdílejí znalosti o bezpečnosti. Práce je navržena tak, aby posuzovala podklady a sledovala pracovní postupy, nikoli aby auditovala jednotlivé vývojáře nebo narušovala harmonogram dodávek. Obdržíte strukturovanou zprávu, která vysvětluje, co se zdá fungovat, kde byly zjištěny mezery nebo nesrovnalosti a jaký by mohl být přiměřený další krok. Zjištění jsou uspořádána tak, aby techničtí i netechničtí zainteresovaní rozlišili prioritní zlepšení, rozumnou další investici a obavu, která může vyžadovat vstup specialisty nebo samostatnou zakázku.

Pro koho to je?

Secure SDLC Review je vhodná pro firmy, které:

• Zaměstnávají interní nebo smluvní vývojový tým a dosud neprošly formální revizí toho, jak je bezpečnost zohledňována při dodávce softwaru
• Nedávno rozšířily vývojový tým, změnily postupy dodávky, přešly na novou platformu nebo zavedly nové nástroje a chtějí ověřit, že bezpečnostní postupy drží krok
• Připravují se na prodej firemním zákazníkům, proces souladu nebo spolupráci s větším zákazníkem, který očekává doklady o disciplíně bezpečného vývoje
• Potřebují uvážlivě odpovědět na dotaz auditora, investora, zákazníka nebo představenstva ohledně postupů bezpečného vývoje, aniž by přeceňovaly současný stav

Co to pomůže objasnit

Revize Secure SDLC pomáhá ujasnit:

• Které bezpečnostní postupy se zdají být zavedeny při návrhu, programování, testování a vydávání a kde jsou podklady neúplné nebo proces potřebuje jasnějšího vlastníka
• Kde spoléhání na znalosti jednotlivců, neformální komunikaci nebo nezdokumentované zvyklosti může způsobit, že bezpečnostní rozhodnutí budou nekonzistentní nebo pro nové členy týmu neviditelná
• Které nástroje, kontrolní body nebo kroky schvalování se využívají efektivně a které vytvářejí šum, zdržení nebo falešnou jistotu
• Co řešit v rámci současného týmu, co vyžaduje školení nebo jasnější pokyny a co by mělo být projednáno jako samostatně vymezená technická či organizační změna

Co je zahrnuto

• Písemné potvrzení rozsahu před zahájením práce, včetně struktury týmu, postupů dodávky a zdrojů podkladů k revizi
• Prověření dohodnutých vývojových postupů prostřednictvím revize dokumentace, rozhovorů s týmem a tam, kde je to vhodné, sledování pracovních artefaktů
• Strukturovaná zpráva s praktickými zjištěními seřazenými podle relevance a proveditelnosti, nikoli jen podle teoretické závažnosti
• Srozumitelné vysvětlení každého zjištění s kontextem pro technické i netechnické osoby s rozhodovací pravomocí
• Manažerské shrnutí, které lze sdílet interně jako podklad pro rozhodování o plánování, náboru, školení nebo nástrojích
• Jeden navazující rozhovor k projednání zjištění, priorit a realistických dalších kroků

Co není součástí

• Úplné penetrační testování aplikace, revize infrastruktury nebo aktivní zneužívání zranitelností, pokud nejsou vymezeny samostatně
• Certifikace souladu, auditní stanovisko nebo prohlášení, že firma splňuje všechny platné vývojové standardy
• Přepracování procesů, zavádění nástrojů nebo školení týmu během samotné revize
• Průběžný monitoring, nepřetržité posuzování nebo opakované testování po ukončení dohodnuté zakázky
• Revize týmů, repozitářů, systémů nebo pipeline dodávky, které nejsou zahrnuty v písemném rozsahu

Kdy si ji vybrat

Secure SDLC Review zvolte, když chcete jasný a podložený pohled na to, jak váš vývojový tým dnes přistupuje k bezpečnosti, a to dříve, než se zavážete ke konkrétní investici do nástrojů, školicímu programu nebo změně procesu. Je to užitečný krok, když tým vyrostl, změnily se postupy dodávky nebo zainteresovaná strana položila oprávněnou otázku o bezpečném vývoji, na kterou zatím nelze s jistotou odpovědět. Může pomoci také před auditem, bezpečnostní revizí ze strany zákazníka nebo interním plánovacím cyklem, ve kterém se bude jednat o vývojových schopnostech. Když už přesně znáte technický nebo procesní problém a potřebujete cílenou realizaci, bývá vhodnější volbou vymezený projekt zlepšení. Hodnota revize spočívá v tom, že další investice bude promyšlenější a s větší pravděpodobností bude řešit skutečné omezení.

Náš přístup

Začínáme písemným potvrzením hranic revize a způsobu práce s podklady. Obdržíte srozumitelné zadání, které vysvětluje, které týmy, repozitáře, postupy a artefakty budou prověřeny, jaký přístup nebo jaké rozhovory jsou potřeba a co obdržíte při předání. Odborník pracuje s poskytnutými informacemi a přístupem, a kde dostupné podklady nechávají otázku otevřenou, zpráva ji jasně zaznamená, aby ji bylo možné dále sledovat. Zjištění jsou formulována jako praktická posouzení: sledovaný postup, kontext, ve kterém může být důležitý, a přiměřené doporučení nebo další otázka. Zpráva má podpořit konstruktivní rozhovor mezi technickým vedením, vlastníky produktu a vrcholovým vedením o tom, na která zlepšení vyčlenit zdroje a kdy. Při předání s vámi projdeme priority, aby dokument mohl sloužit realistickému plánování, a nestal se seznamem, který se těžko prioritizuje nebo realizuje.

Často kladené otázky

Související články