Hướng dẫn Secure SDLC Review

Đây là gì

Đánh giá xem xét cách đội ngũ phát triển của bạn hiện đang tiếp cận bảo mật trong suốt các giai đoạn lập kế hoạch, thiết kế, viết mã, kiểm thử, phát hành và bảo trì liên tục. Phạm vi được xác nhận bằng văn bản trước khi bắt đầu công việc. Tùy theo dịch vụ được chọn, phạm vi có thể bao gồm xem xét thực hành mô hình hóa mối đe dọa hoặc rà soát thiết kế, quy trình rà soát mã nguồn, việc sử dụng công cụ kiểm thử bảo mật, quản lý phụ thuộc, xử lý bí mật, quy trình phê duyệt phát hành, kiểm soát truy cập production, mức độ sẵn sàng ứng phó sự cố, và cách kiến thức bảo mật được chia sẻ trong đội ngũ. Công việc được thiết kế để đánh giá bằng chứng và quan sát các thực hành làm việc, không nhằm kiểm tra từng lập trình viên hay làm gián đoạn tiến độ triển khai. Bạn nhận được một báo cáo có cấu trúc giải thích những gì có vẻ đang hoạt động tốt, ở đâu đã quan sát thấy khoảng trống hoặc sự thiếu nhất quán, và bước tiếp theo tương xứng có thể là gì. Các quan sát được sắp xếp để các bên liên quan kỹ thuật và không chuyên kỹ thuật hiểu được sự khác biệt giữa một cải tiến ưu tiên, một khoản đầu tư hợp lý tiếp theo, và một mối lo ngại có thể cần ý kiến chuyên môn hoặc một hợp đồng riêng.

Dành cho ai

Secure SDLC Review phù hợp với các doanh nghiệp:

• Có đội ngũ phát triển nội bộ hoặc thuê ngoài và chưa từng có một đánh giá chính thức về cách bảo mật được cân nhắc trong quá trình phát triển phần mềm
• Gần đây đã mở rộng đội ngũ phát triển, thay đổi thực hành triển khai, chuyển sang nền tảng mới hoặc áp dụng công cụ mới và muốn kiểm tra rằng các thực hành bảo mật vẫn theo kịp
• Đang chuẩn bị cho bán hàng doanh nghiệp, một quy trình tuân thủ hoặc một hợp đồng với khách hàng lớn hơn đòi hỏi bằng chứng về kỷ luật phát triển an toàn
• Cần trả lời thận trọng một câu hỏi về thực hành phát triển an toàn từ kiểm toán viên, nhà đầu tư, khách hàng hoặc hội đồng quản trị mà không phóng đại tình trạng hiện tại

Giúp làm rõ điều gì

Một đánh giá Secure SDLC giúp làm rõ:

• Những thực hành bảo mật nào có vẻ đã được áp dụng trong thiết kế, viết mã, kiểm thử và phát hành, và ở đâu bằng chứng còn thiếu hoặc quy trình cần người phụ trách rõ ràng hơn
• Ở đâu việc phụ thuộc vào kiến thức cá nhân, giao tiếp không chính thức hoặc thói quen không được ghi chép có thể khiến các quyết định bảo mật thiếu nhất quán hoặc vô hình với thành viên mới
• Những công cụ, điểm kiểm tra hoặc bước phê duyệt nào đang được sử dụng hiệu quả và những cái nào đang gây nhiễu, chậm trễ hoặc tạo ra sự tự tin sai lầm
• Điều gì cần xử lý trong đội ngũ hiện tại, điều gì cần đào tạo hoặc hướng dẫn rõ ràng hơn, và điều gì nên được thảo luận như một thay đổi kỹ thuật hoặc tổ chức có phạm vi riêng

Những gì được bao gồm

• Xác nhận phạm vi bằng văn bản trước khi bắt đầu, bao gồm cơ cấu đội ngũ, thực hành triển khai và các nguồn bằng chứng sẽ được xem xét
• Xem xét các thực hành phát triển đã thống nhất thông qua rà soát tài liệu, phỏng vấn đội ngũ và quan sát các sản phẩm làm việc khi phù hợp
• Báo cáo phát hiện có cấu trúc với các quan sát thực tế, được xếp hạng theo mức độ liên quan và tính khả thi, không chỉ theo mức độ nghiêm trọng lý thuyết
• Giải thích bằng ngôn ngữ dễ hiểu cho từng quan sát, kèm bối cảnh cho cả người ra quyết định kỹ thuật và không chuyên kỹ thuật
• Bản tóm tắt dành cho ban quản lý có thể chia sẻ nội bộ để hỗ trợ các quyết định về lập kế hoạch, tuyển dụng, đào tạo hoặc công cụ
• Một buổi trao đổi tiếp theo để thảo luận về các phát hiện, ưu tiên và các bước tiếp theo thực tế

Những gì không được bao gồm

• Kiểm thử xâm nhập ứng dụng đầy đủ, rà soát hạ tầng hoặc khai thác chủ động, trừ khi có phạm vi riêng
• Chứng nhận tuân thủ, ý kiến kiểm toán, hoặc tuyên bố rằng doanh nghiệp đáp ứng mọi tiêu chuẩn phát triển áp dụng
• Thiết kế lại quy trình, triển khai công cụ hoặc đào tạo đội ngũ trong chính quá trình đánh giá
• Giám sát liên tục, đánh giá thường xuyên hoặc kiểm thử lại sau khi hợp đồng đã thống nhất kết thúc
• Xem xét các đội ngũ, kho mã nguồn, hệ thống hoặc pipeline triển khai không nằm trong phạm vi bằng văn bản

Khi nào nên chọn

Hãy chọn Secure SDLC Review khi bạn muốn có cái nhìn rõ ràng, dựa trên bằng chứng, về cách đội ngũ phát triển hiện đang tiếp cận bảo mật, trước khi cam kết với một khoản đầu tư công cụ, chương trình đào tạo hay thay đổi quy trình cụ thể. Đây là bước hữu ích khi đội ngũ đã lớn hơn, thực hành triển khai đã thay đổi, hoặc một bên liên quan đã đặt ra câu hỏi hợp lý về phát triển an toàn mà hiện chưa thể trả lời một cách tự tin. Đánh giá cũng có thể hữu ích trước một cuộc kiểm toán, một đợt đánh giá bảo mật của khách hàng hoặc một chu kỳ lập kế hoạch nội bộ có thảo luận về năng lực phát triển. Khi bạn đã biết chính xác vấn đề kỹ thuật hoặc quy trình và cần triển khai tập trung, một dự án cải tiến có phạm vi rõ ràng thường là lựa chọn phù hợp hơn. Giá trị của đánh giá nằm ở khả năng giúp khoản đầu tư tiếp theo được cân nhắc kỹ hơn và có nhiều khả năng giải quyết đúng ràng buộc thực sự.

Phương pháp của chúng tôi

Chúng tôi bắt đầu bằng việc xác nhận ranh giới đánh giá và cách tiếp cận bằng chứng bằng văn bản. Bạn nhận được một bản mô tả bằng ngôn ngữ dễ hiểu, giải thích những đội ngũ, kho mã nguồn, thực hành và sản phẩm làm việc nào sẽ được xem xét, quyền truy cập hoặc buổi trao đổi nào cần thiết, và những gì bạn sẽ nhận được khi bàn giao. Chuyên gia làm việc với thông tin và quyền truy cập được cung cấp, và khi bằng chứng hiện có còn để ngỏ một câu hỏi, báo cáo sẽ ghi nhận rõ ràng để có thể theo dõi tiếp. Các quan sát được viết dưới dạng đánh giá thực tế: thực hành đã quan sát, bối cảnh mà nó có thể quan trọng, và một khuyến nghị tương xứng hoặc câu hỏi tiếp theo. Báo cáo nhằm hỗ trợ một cuộc trao đổi mang tính xây dựng giữa lãnh đạo kỹ thuật, người phụ trách sản phẩm và ban điều hành về những cải tiến cần bố trí nguồn lực và thời điểm thực hiện. Khi bàn giao, chúng tôi cùng bạn xem lại các ưu tiên để tài liệu có thể định hướng việc lập kế hoạch thực tế thay vì trở thành một danh sách khó sắp xếp ưu tiên hay hành động.

Câu hỏi thường gặp

Bài viết liên quan