SEC11-BP08 打造在工作負載團隊中納入安全所有權的計畫
打造一項計畫或一種機制，賦予建置人員團隊能對其本身所建軟體做出安全決策的能力。您的安全團隊仍需在審查過程中確認這些決策，但是讓建置人員團隊與生俱來擁有安全決策權，就能建置更快速、更安全的工作負載。這項機制也能推動所有權文化，積極影響您所建置系統的運作。
預期成果：您在團隊中已內嵌安全性擁有權和決策。您已針對如何考慮安全性培訓您的團隊，或已透過內嵌或關聯的資安人員來強化這些人的團隊。如此您的團隊才能在開發週期的早期，做出更優質的資安決策。
常見的反模式：
-
將所有的安全決策全部留給安全團隊。
-
未及早在開發程序初期解決安全需求。
-
未諮詢建置人員與安全部門人員在計畫運作方面的意見回饋。
建立此最佳實務的優勢：
-
縮短完成安全審核的時間。
-
減少必須在安全審核階段中偵測出的安全問題。
-
改善所編寫軟體的整體品質。
-
有機會識別並了解具備高度改善價值的系統性問題或區域。
-
減少因安全審核調查結果而必須進行的重新作業量。
-
改善對於安全功能的感覺。
未建立此最佳實務時的曝險等級：低
實作指引
從 SEC11-BP01 應用程式安全訓練 的指引開始。接著識別您認為最適合組織的計畫操作模式。其中兩種主要模式分別是訓練建置人員，以及在建置人員團隊當中納入安全部門人員。在您決定初步方法之後，您應該透過單一或小組型工作負載團隊進行先行試驗，證明該模式適合您的組織。建置人員與組織的安全部門所提供的領導支援，有助於計畫達成與成功實施。隨著這項計畫不斷建置，您一定要選擇可以用來顯示計畫價值的矩陣。了解 AWS 如何解決這個問題可以學到相當多知識。這項最佳實務非常強調組織層面變更與文化。您所使用的工具應該能支援建置人員與安全社群之間的協作。
實作步驟
-
從訓練建置人員處理應用程式安全開始。
-
建立專為教育建置人員的社群和上線計畫。
-
挑選計畫名稱。守門人、擁護者或倡導者是常見手法。
-
識別要應用的模式：訓練建置人員、納入安全部門工程師，或是安排親和性安全角色。
-
從安全部門、建置人員和可能的其他相關小組當中，識別專案贊助者。
-
計畫當中所涉多人的追蹤矩陣，審核所花時間，以及建置人員與安全團隊人員的意見回饋。使用這些矩陣來達成改善。
資源
相關的最佳實務：
相關文件：
相關影片：
