SEC11-BP08 Entwickeln eines Programms, das Workload-Teams die Verantwortung für die Sicherheit überträgt
Entwickeln Sie ein Programm oder einen Mechanismus, das bzw. der es Entwicklerteams ermöglicht, Entscheidungen bezüglich der Sicherheit der von ihnen erstellten Software zu treffen. Zwar muss Ihr Sicherheitsteam diese Entscheidungen immer noch während einer Überprüfung validieren, die Übertragung der Sicherheitsverantwortlichkeit auf Entwicklerteams ermöglicht jedoch eine schnellere und sicherere Workload-Entwicklung. Zudem fördert dieser Mechanismus eine Kultur der Verantwortlichkeit, die einen positiven Einfluss auf den Betrieb der von Ihnen entwickelten Systeme hat.
Gewünschtes Ergebnis: Sie haben die Verantwortung für Sicherheit und die Entscheidungsfindung in Ihren Teams verankert. Sie haben Ihre Teams entweder in Bezug auf die richtige Einstellung zur Sicherheit geschult oder die Teams um integrierte oder dem Team zugewiesene Sicherheitsmitarbeiter erweitert. So können Ihre Teams früher im Entwicklungszyklus bessere Sicherheitsentscheidungen treffen.
Typische Anti-Muster:
-
Einem Sicherheitsteam werden alle Entscheidungen bezüglich des Sicherheitsdesigns überlassen.
-
Sicherheitsanforderungen werden nicht früh genug im Entwicklungsprozess behandelt.
-
Es wird kein Feedback von Entwicklern und Sicherheitsexperten zum Betrieb des Programms eingeholt.
Vorteile der Nutzung dieser bewährten Methode:
-
Beschleunigung von Sicherheitsüberprüfungen.
-
Verringerung von Sicherheitsproblemen, die erst in der Phase der Sicherheitsüberprüfung erkannt werden.
-
Verbesserung der gesamten Qualität der Software, die geschrieben wird.
-
Möglichkeit, systemische Probleme oder Bereiche mit hoher Wertverbesserung zu identifizieren und zu verstehen.
-
Verringerung der erforderlichen Überarbeitung aufgrund von Erkenntnissen aus der Sicherheitsüberprüfung.
-
Verbesserung bei der Wahrnehmung der Sicherheitsfunktion.
Risikostufe, wenn diese bewährte Methode nicht eingeführt wird: Niedrig
Implementierungsleitfaden
Beginnen Sie mit der Anleitung unter SEC11-BP01 Schulen für Anwendungssicherheit. Bestimmen Sie danach das Betriebsmodell für das Programm, von dem Sie denken, dass es am besten für Ihre Organisation geeignet ist. Die zwei Hauptmuster sind, Entwickler zu schulen oder Sicherheitsexperten in Entwicklungsteams einzubetten. Nachdem Sie sich für eine anfängliche Verfahrensweise entschieden haben, sollten Sie eine Pilotphase mit einem einzelnen Team oder einer kleinen Gruppe von Workload-Teams durchführen, um sich zu vergewissern, dass das Modell für Ihre Organisation funktioniert. Unterstützung der Führungskräfte aus dem Entwicklungs- und Sicherheitsbereich der Organisation hilft bei der Durchführung und trägt zum Erfolg des Programms bei. Bei der Entwicklung dieses Programms ist es wichtig, Metriken auszuwählen, die Aufschluss über den Wert des Programms geben. Zu erfahren, wie AWS mit diesem Problem umgegangen ist, ist eine gute Lernerfahrung. Diese bewährte Methode konzentriert sich auf die Veränderung und Kultur der Organisation. Die von Ihnen eingesetzten Tools sollten die Zusammenarbeit zwischen der Entwickler- und Sicherheits-Community unterstützen.
Implementierungsschritte
-
Beginnen Sie damit, Ihre Entwickler im Bereich der Anwendungssicherheit zu schulen.
-
Schaffen Sie eine Community und ein Onboarding-Programm zur Schulung von Entwicklern.
-
Geben Sie dem Programm einen Namen. Häufig wird etwas wie Guardians, Champions oder Advocates verwendet.
-
Bestimmen Sie das Modell, das verwendet werden soll: Schulen Sie Entwickler, betten Sie Sicherheitstechniker ein oder verwenden Sie andere verwandte Sicherheitsrollen.
-
Identifizieren Sie Projektsponsoren aus dem Sicherheits- und Entwicklungsbereich sowie gegebenenfalls aus anderen relevanten Gruppen.
-
Verfolgen Sie Metriken für die Anzahl der am Programm beteiligten Personen, die für Überprüfungen erforderliche Zeit und das Feedback von Entwicklern und Sicherheitsexperten. Nutzen Sie diese Metriken für Verbesserungen.
Ressourcen
Zugehörige bewährte Methoden:
Zugehörige Dokumente:
Zugehörige Videos:
