Guide til Secure SDLC Review

Hva det er

Gjennomgangen ser på hvordan utviklingsteamet deres i dag håndterer sikkerhet gjennom planlegging, design, koding, testing, utgivelse og løpende vedlikehold. Omfanget bekreftes skriftlig før arbeidet starter. Avhengig av valgt tjeneste kan dette omfatte undersøkelse av praksis for trusselmodellering eller designgjennomgang, kodegjennomgangsprosesser, bruk av sikkerhetstestverktøy, avhengighetsstyring, håndtering av hemmeligheter, godkjenningsflyt for utgivelser, tilgangskontroller i produksjon, hendelsesberedskap og hvordan sikkerhetskunnskap deles i teamet. Arbeidet er utformet for å vurdere dokumentasjon og observere arbeidspraksis, ikke for å revidere enkeltutviklere eller forstyrre leveranseplaner. Dere mottar en strukturert rapport som forklarer hva som ser ut til å fungere, hvor det ble observert mangler eller inkonsekvenser, og hva et forholdsmessig neste steg kan være. Observasjonene er organisert slik at tekniske og ikke-tekniske interessenter kan forstå forskjellen på en prioritert forbedring, en rimelig neste investering og et forhold som kan kreve spesialistbistand eller et eget oppdrag.

Hvem det er for

En Secure SDLC Review passer for virksomheter som:

• Har et internt eller innleid utviklingsteam og ennå ikke har fått en formell gjennomgang av hvordan sikkerhet ivaretas i programvareleveransen
• Nylig har utvidet utviklingsteamet, endret leveransepraksis, flyttet til en ny plattform eller tatt i bruk nye verktøy og vil kontrollere at sikkerhetspraksisen har holdt tritt
• Forbereder salg til større bedrifter, en samsvarsprosess eller et større kundeoppdrag der det forventes dokumentasjon på disiplin i sikker utvikling
• Må svare gjennomtenkt på et spørsmål om sikker utviklingspraksis fra en revisor, investor, kunde eller et styre uten å overdrive dagens situasjon

Hva det hjelper med å klarlegge

En gjennomgang av sikker SDLC bidrar til å avklare:

• Hvilke sikkerhetsrutiner som ser ut til å være på plass under design, koding, testing og utgivelse, og hvor dokumentasjonen er mangelfull eller prosessen trenger tydeligere eierskap
• Hvor avhengighet av enkeltpersoners kunnskap, uformell kommunikasjon eller udokumenterte vaner kan gjøre sikkerhetsbeslutninger inkonsekvente eller usynlige for nye teammedlemmer
• Hvilke verktøy, kontrollpunkter eller godkjenningstrinn som brukes effektivt, og hvilke som skaper støy, forsinkelser eller falsk trygghet
• Hva som kan håndteres i det nåværende teamet, hva som krever opplæring eller tydeligere veiledning, og hva som bør drøftes som en separat avgrenset teknisk eller organisatorisk endring

Hva er inkludert

• Skriftlig bekreftelse av omfanget før arbeidet starter, inkludert teamstrukturen, leveransepraksisen og dokumentasjonskildene som skal gjennomgås
• Undersøkelse av avtalt utviklingspraksis gjennom dokumentgjennomgang, intervjuer med teamet og, der det er hensiktsmessig, observasjon av arbeidsartefakter
• En strukturert funnrapport med praktiske observasjoner, rangert etter relevans og gjennomførbarhet, ikke bare teoretisk alvorlighetsgrad
• En forklaring på klart språk av hver observasjon, med sammenheng for både tekniske og ikke-tekniske beslutningstakere
• Et ledersammendrag som kan deles internt som grunnlag for beslutninger om planlegging, rekruttering, opplæring eller verktøy
• Én oppfølgingssamtale for å drøfte funn, prioriteringer og realistiske neste steg

Hva er ikke inkludert

• Full penetrasjonstesting av applikasjoner, gjennomgang av infrastruktur eller aktiv utnyttelse, med mindre det avgrenses separat
• Samsvarssertifisering, revisjonsuttalelse eller en erklæring om at virksomheten oppfyller alle gjeldende utviklingsstandarder
• Redesign av prosesser, implementering av verktøy eller opplæring av teamet under selve gjennomgangen
• Løpende overvåking, kontinuerlig vurdering eller ny testing etter at det avtalte oppdraget er avsluttet
• Gjennomgang av team, kodelagre, systemer eller leveransepipelines som ikke inngår i det skriftlige omfanget

Når skal den velges

Velg en Secure SDLC Review når dere ønsker et tydelig, dokumentasjonsbasert bilde av hvordan utviklingsteamet håndterer sikkerhet i dag, før dere forplikter dere til en bestemt verktøyinvestering, et opplæringsprogram eller en prosessendring. Det er et nyttig steg når teamet har vokst, leveransepraksisen har endret seg, eller en interessent har stilt et rimelig spørsmål om sikker utvikling som ennå ikke kan besvares med trygghet. Den kan også være nyttig før en revisjon, en sikkerhetsgjennomgang fra en kunde eller en intern planleggingssyklus der utviklingskapasitet skal drøftes. Når dere allerede kjenner det konkrete tekniske problemet eller prosessproblemet og trenger målrettet implementering, passer et avgrenset forbedringsprosjekt vanligvis bedre. Verdien av gjennomgangen ligger i at den gjør neste investering mer gjennomtenkt og mer sannsynlig rettet mot den reelle begrensningen.

Vår tilnærming

Vi begynner med å bekrefte avgrensningen av gjennomgangen og tilnærmingen til dokumentasjon skriftlig. Dere mottar en kortfattet beskrivelse på klart språk som forklarer hvilke team, kodelagre, rutiner og artefakter som skal undersøkes, hvilken tilgang eller hvilke samtaler som trengs, og hva dere mottar ved overleveringen. Fagpersonen arbeider med informasjonen og tilgangen som gis, og der tilgjengelig dokumentasjon lar et spørsmål stå åpent, registrerer rapporten det tydelig slik at det kan følges opp. Observasjonene skrives som praktiske vurderinger: praksisen som ble observert, sammenhengen den kan ha betydning i, og en forholdsmessig anbefaling eller et neste spørsmål. Rapporten skal støtte en konstruktiv samtale mellom teknisk ledelse, produkteiere og toppledelsen om hvilke forbedringer som skal tildeles ressurser, og når. Ved overleveringen går vi gjennom prioriteringene sammen med dere, slik at dokumentet kan danne grunnlag for realistisk planlegging i stedet for å bli en liste som er vanskelig å prioritere eller handle ut fra.

Ofte stilte spørsmål

Beslektede artikler