SEC11-BP08 Creazione di un programma per l'integrazione della titolarità della sicurezza nei team responsabili del carico di lavoro
Crea un programma o un meccanismo che permetta ai team di sviluppo di prendere decisioni sulla sicurezza del software che creano. Il team responsabile della sicurezza dovrà convalidare queste decisioni durante una revisione, ma l'integrazione della titolarità della sicurezza nei team di sviluppo permette di creare carichi di lavoro più veloci e sicuri. Questo meccanismo promuove anche una cultura della responsabilità che ha un impatto positivo sul funzionamento dei sistemi che crei.
Risultato desiderato: per integrare la titolarità della sicurezza e il processo decisionale nei team di sviluppo, puoi insegnare agli sviluppatori come riflettere sulla sicurezza o puoi migliorarne la formazione attraverso l'integrazione o l'associazione di responsabili della sicurezza nei team di sviluppo. Entrambi gli approcci sono validi e permettono al team di prendere decisioni di qualità migliore sulla sicurezza nelle fasi iniziali del ciclo di sviluppo. Questo modello di titolarità è basato sulla formazione per la sicurezza delle applicazioni. Iniziando dal modello di rischio per il carico di lavoro specifico, puoi concentrarti sul design thinking nel contesto appropriato. Un altro vantaggio della presenza di una comunità di sviluppatori attenti alla sicurezza o di un gruppo di tecnici della sicurezza che collabora con i team di sviluppo è la possibilità di comprendere a pieno il modo in cui è compilato il codice. Questa comprensione permette di determinare le aree di miglioramento successive per l'automazione.
Anti-pattern comuni:
-
Assegnazione di tutte le decisioni in materia di sicurezza al team responsabile della sicurezza.
-
Gestione dei requisiti di sicurezza in fasi tardive del processo di sviluppo.
-
Assenza di feedback di sviluppatori e responsabili della sicurezza sul funzionamento del programma.
Vantaggi dell'adozione di questa best practice:
-
Riduzione del tempo necessario per completare le revisioni della sicurezza.
-
Riduzione dei problemi di sicurezza rilevati solo in fase di revisione della sicurezza.
-
Miglioramento della qualità complessiva del software scritto.
-
Opportunità di identificare e comprendere i problemi sistematici o le aree di miglioramento a valore elevato.
-
Riduzione della quantità di attività di correzione dovute ai risultati delle revisioni della sicurezza.
-
Migliore percezione della funzione della sicurezza.
Livello di rischio associato alla mancata adozione di questa best practice: basso
Guida all'implementazione
Per iniziare, segui le linee guida fornite in SEC11-BP01 Formazione per la sicurezza delle applicazioni. Identifica quindi il modello operativo per il programma che ritieni più efficace per l'organizzazione. I due modelli principali consistono nel formare gli sviluppatori o nell'integrare responsabili della sicurezza nei team di sviluppo. Una volta scelto l'approccio iniziale, devi eseguire un progetto pilota con un singolo team o un piccolo gruppo di team del carico di lavoro per dimostrare il funzionamento del modello per l'organizzazione. Il supporto autorevole da parte dello sviluppatore e di altre parti responsabili della sicurezza dell'organizzazione semplifica l'implementazione e il successo del programma. Durante la creazione del programma è importante scegliere metriche da usare per dimostrarne il valore. Per un'ottima esperienza formativa, puoi documentarti sul modo in cui AWS ha affrontato questo problema. Questa best practice è per lo più incentrata sulla trasformazione e sulla cultura aziendali. Gli strumenti usati devono supportare la collaborazione tra lo sviluppatore e le comunità responsabili della sicurezza.
Passaggi dell'implementazione
-
Per iniziare, fornisci formazione sulla sicurezza delle applicazioni agli sviluppatori.
-
Crea una comunità e un programma di onboarding per preparare gli sviluppatori.
-
Scegli un nome per il programma. Alcuni termini comunemente usati sono Responsabilità, Supporto o Promozione.
-
Identifica il modello da usare: formazione per gli sviluppatori, integrazione di tecnici della sicurezza o ruoli di sicurezza per affinità.
-
Identifica alcuni sponsor del progetto tra responsabili della sicurezza, sviluppatori e altri gruppi potenzialmente rilevanti.
-
Tieni traccia delle metriche per il numero di persone coinvolte nel programma, il tempo impiegato per le revisioni e il feedback ottenuto da sviluppatori e responsabili della sicurezza. Usa queste metriche per apportare miglioramenti.
Risorse
Best practice correlate:
Documenti correlati:
Video correlati:
