SEC11-BP08 Création d’un programme permettant aux équipes responsables de la charge de travail de s’approprier les mécanismes de sécurité
Créez un programme ou un mécanisme qui permette aux équipes de créateurs de prendre des décisions en matière de sécurité pour les logiciels qu’ils créent. Votre équipe de sécurité doit toujours valider ces décisions au cours d’un examen, mais le fait de donner la responsabilité de la sécurité aux équipes de concepteurs permet d’élaborer des charges de travail plus rapides et plus sûres. Ce mécanisme favorise également une culture de responsabilisation qui a un impact positif sur le fonctionnement des systèmes que vous construisez.
Résultat escompté : vous avez intégré la prise en charge de la sécurité et la prise de décision dans vos équipes. Vous avez formé vos équipes à la façon de réfléchir à la sécurité ou vous avez renforcé les équipes en y intégrant ou associant des personnes chargées de la sécurité. Vos équipes prennent ainsi des décisions de meilleure qualité en matière de sécurité plus tôt dans le cycle de développement.
Anti-modèles courants:
-
Laisser à une équipe de sécurité le soin de prendre toutes les décisions relatives à la conception de la sécurité.
-
Ne pas tenir compte des exigences de sécurité suffisamment tôt dans le processus de développement.
-
Ne pas recueillir de commentaires des créateurs et des responsables de la sécurité sur le fonctionnement du programme.
Avantages liés au respect de cette bonne pratique:
-
Réduction du temps nécessaire à la réalisation des examens de sécurité.
-
Réduction des problèmes de sécurité qui ne sont détectés qu’au stade de l’examen de la sécurité.
-
Amélioration de la qualité globale du logiciel en cours d’écriture.
-
Possibilité d’identifier et de comprendre les problèmes systémiques ou les domaines d’amélioration à forte valeur ajoutée.
-
Réduction de la quantité de travail à refaire en raison des conclusions de l’examen de sécurité.
-
Amélioration de la perception de la fonction de sécurité.
Niveau d’exposition au risque si cette bonne pratique n’est pas respectée : bas
Directives d’implémentation
Commencez par suivre les instructionsSEC11-BP01 Formation à la sécurité des applications. Identifiez ensuite le modèle opérationnel du programme qui vous semble le plus adapté à votre organisation. Les deux principaux modèles consistent à former les créateurs ou à intégrer les responsables de la sécurité dans les équipes de créateurs. Une fois que vous avez décidé de l’approche initiale, vous devez mener un projet pilote avec une seule équipe ou un petit groupe d’équipes de charge de travail afin de prouver que le modèle fonctionne pour votre organisation. Le soutien de la direction de l’organisation en matière de construction et de sécurité contribue à la mise en œuvre et à la réussite du programme. Lors de la création de ce programme, il est important de choisir des métriques qui peuvent être utilisées pour montrer la valeur du programme. Apprendre de la manière dont AWS les autres ont abordé ce problème est une bonne expérience d’apprentissage. Cette bonne pratique est très axée sur le changement organisationnel et la culture. Les outils que vous utilisez doivent favoriser la collaboration entre les créateurs et les responsables de la sécurité.
Étapes d’implémentation
-
Commencez par former vos créateurs à la cybersécurité des applications.
-
Créer une communauté et un programme d’intégration pour former les créateurs.
-
Choisissez un nom pour le programme. Les termes « tuteur », « champion » ou « défenseur » sont couramment utilisés.
-
Identifier le modèle à utiliser : former des créateurs, intégrer des ingénieurs en sécurité ou avoir des rôles de sécurité connexes.
-
Identifier les sponsors du projet parmi les responsables de la sécurité, les créateurs et éventuellement d’autres groupes concernés.
-
Suivez les métriques concernant le nombre de personnes impliquées dans le programme, le temps nécessaire aux examens et les commentaires des créateurs et des responsables de la sécurité. Utilisez ces métriques pour apporter des améliorations.
Ressources
Bonnes pratiques associées:
Documents connexes:
Vidéos connexes:
