Secure SDLC Review: en guide

Hvad det er

Gennemgangen ser på, hvordan jeres udviklingsteam i dag griber sikkerhed an på tværs af planlægning, design, kodning, test, release og løbende vedligeholdelse. Omfanget bekræftes skriftligt, før arbejdet begynder. Afhængigt af den valgte ydelse kan det omfatte undersøgelse af praksis for trusselsmodellering eller designgennemgang, processer for kodegennemgang, brug af sikkerhedstestværktøjer, styring af afhængigheder, håndtering af hemmeligheder, godkendelsesflows for releases, adgangskontrol til produktion, hændelsesberedskab og hvordan sikkerhedsviden deles i teamet. Arbejdet er tilrettelagt til at vurdere dokumentation og observere arbejdspraksis, ikke til at revidere enkelte udviklere eller forstyrre leverancetidsplaner. I modtager en struktureret rapport, der forklarer, hvad der ser ud til at fungere, hvor der blev observeret mangler eller uoverensstemmelser, og hvad et proportionalt næste skridt kunne være. Observationerne er ordnet, så tekniske og ikke-tekniske interessenter kan forstå forskellen mellem en prioriteret forbedring, en rimelig næste investering og en bekymring, der kan kræve specialistbistand eller en separat opgave.

Hvem er det for?

En Secure SDLC Review passer til virksomheder, der:

• Har et internt eller eksternt udviklingsteam og endnu ikke har fået foretaget en formel gennemgang af, hvordan sikkerhed tages i betragtning under softwareleverancen
• For nylig har udvidet udviklingsteamet, ændret leverancepraksis, flyttet til en ny platform eller taget nye værktøjer i brug og vil kontrollere, at sikkerhedspraksis har fulgt med
• Forbereder salg til større virksomheder, en compliance-proces eller et større kundesamarbejde, der forventer dokumentation for disciplin i sikker udvikling
• Skal svare gennemtænkt på et spørgsmål om sikker udviklingspraksis fra en revisor, investor, kunde eller bestyrelse uden at overdrive den nuværende situation

Hvad det hjælper med at afklare

En gennemgang af sikker SDLC hjælper med at afklare:

• Hvilke sikkerhedspraksisser der ser ud til at være på plads under design, kodning, test og release, og hvor dokumentationen er ufuldstændig, eller processen har brug for et tydeligere ejerskab
• Hvor afhængighed af enkeltpersoners viden, uformel kommunikation eller udokumenterede vaner kan gøre sikkerhedsbeslutninger inkonsekvente eller usynlige for nye teammedlemmer
• Hvilke værktøjer, kontrolpunkter eller godkendelsestrin der bruges effektivt, og hvilke der skaber støj, forsinkelse eller falsk tryghed
• Hvad der kan håndteres i det nuværende team, hvad der kræver træning eller klarere vejledning, og hvad der bør drøftes som en separat afgrænset teknisk eller organisatorisk ændring

Hvad er inkluderet

• Skriftlig bekræftelse af omfanget, før arbejdet begynder, herunder teamstruktur, leverancepraksis og de dokumentationskilder, der skal gennemgås
• Undersøgelse af aftalt udviklingspraksis gennem dokumentgennemgang, interviews med teamet og, hvor det er relevant, observation af arbejdsartefakter
• En struktureret rapport over fund med praktiske observationer, prioriteret efter relevans og gennemførlighed, ikke kun teoretisk alvorlighed
• Forklaring i et klart sprog af hver observation med kontekst for både tekniske og ikke-tekniske beslutningstagere
• Et ledelsesresumé, der kan deles internt som grundlag for beslutninger om planlægning, rekruttering, træning eller værktøjer
• En opfølgende samtale om fund, prioriteter og realistiske næste skridt

Hvad er ikke inkluderet?

• Fuld penetrationstest af applikationen, gennemgang af infrastruktur eller aktiv udnyttelse, medmindre det afgrænses separat
• Compliance-certificering, revisionsudtalelse eller en erklæring om, at virksomheden opfylder alle gældende udviklingsstandarder
• Redesign af processer, implementering af værktøjer eller træning af teamet under selve gennemgangen
• Løbende overvågning, kontinuerlig vurdering eller gentest efter afslutningen af den aftalte opgave
• Gennemgang af teams, repositories, systemer eller leverancepipelines, der ikke indgår i det skriftlige omfang

Hvornår du skal vælge det

Vælg en Secure SDLC Review, når I ønsker et klart, dokumentationsbaseret billede af, hvordan jeres udviklingsteam griber sikkerhed an i dag, før I forpligter jer til en bestemt værktøjsinvestering, et træningsprogram eller en procesændring. Det er et nyttigt skridt, når teamet er vokset, leverancepraksis har ændret sig, eller en interessent har stillet et rimeligt spørgsmål om sikker udvikling, som endnu ikke kan besvares med sikkerhed. Den kan også hjælpe før en revision, en kundes sikkerhedsgennemgang eller en intern planlægningscyklus, hvor udviklingskapaciteten skal drøftes. Når I allerede kender det præcise tekniske problem eller procesproblem og har brug for fokuseret implementering, er et afgrænset forbedringsprojekt som regel det bedre valg. Værdien af gennemgangen ligger i, at den gør den næste investering mere velovervejet og mere tilbøjelig til at ramme den reelle begrænsning.

Vores tilgang

Vi begynder med at bekræfte gennemgangens afgrænsning og dokumentationstilgang skriftligt. I modtager en brief i et klart sprog, der forklarer, hvilke teams, repositories, praksisser og artefakter der undersøges, hvilken adgang eller hvilke samtaler der er brug for, og hvad I modtager ved overdragelsen. Konsulenten arbejder med de oplysninger og den adgang, der stilles til rådighed, og hvor den tilgængelige dokumentation efterlader et spørgsmål åbent, registrerer rapporten det tydeligt, så det kan følges op. Observationerne skrives som praktiske vurderinger: den observerede praksis, den sammenhæng, hvori den kan have betydning, og en proportional anbefaling eller et næste spørgsmål. Rapporten skal understøtte en konstruktiv samtale mellem teknisk ledelse, produktejere og den øverste ledelse om, hvilke forbedringer der skal afsættes ressourcer til, og hvornår. Ved overdragelsen gennemgår vi prioriteterne med jer, så dokumentet kan danne grundlag for realistisk planlægning i stedet for at blive en liste, der er svær at prioritere eller handle på.

Ofte stillede spørgsmål

Relaterede artikler