تطبيق نموذج SecDevOps – حل أمن المعلومات للمؤسسات

في 29 نوفمبر 2024، شارك ممثلو MISA بخبراتهم العملية في بناء ثقافة SecDevOps لتحسين أمن المعلومات للمؤسسات في ورشة عمل "تعرف على DevSecOps - حلول التحكم في التكنولوجيا والأمن" التي نظمتها شركة BIDV Insurance - BIC.

حضر الورشة خبراء بارزون في مجال تكنولوجيا المعلومات وأمن المعلومات. ومن جانب معهد ميسا ، كان السيد نجوين كوانغ هوانغ، مدير أمن المعلومات، والسيد بوي دوك ترونغ، رئيس قسم أمن المعلومات.

في إطار ورشة العمل، قدم السيد بوي دوك ترونج - رئيس قسم أمن المعلومات في MISA نموذج SecDevOps، وبالتالي تبادل الخبرات في تطبيق SecDevOps على المنتجات لدعم المؤسسات في زيادة الوعي بأمن المعلومات والسلامة.

شارك ممثل MISA في ورشة العمل.

وفقًا لدليل توزيع الثغرات الأمنية والتعرضات الشائعة (CVE) من شبكة Paloalto، للفترة من نوفمبر 2022 إلى يناير 2023، غالبًا ما تظهر الثغرات الأمنية في التطبيقات نتيجةً للبرمجة غير الآمنة. لذلك، تحتاج المؤسسات إلى دمج الأمن في عملية تطوير منتجات البرمجيات بأكملها. وتحديدًا، تطبيق نموذج SecDevOps على البرمجيات لتسريع عملية تطوير المنتجات، وتقليل 40-50% من الثغرات الأمنية في الشيفرة المصدرية، وفقًا لجيمس روت، مدير تكنولوجيا المعلومات في Insight.

قائمة تخصيص الثغرات الأمنية للثغرات الأمنية الشائعة من نوفمبر 2022 إلى يناير 2023.

SecDevOps هو نموذج تطوير يجمع بين الأمن والتطوير والعمليات، على غرار DevSecOps. إلا أن الفرق الرئيسي يكمن في أن SecDevOps يضع الأمن في مقدمة أولويات كل فرد وفي كل خطوة من خطوات عملية تطوير البرمجيات. كما يُركز هذا النموذج على آلية عمل وثقافة "الفريق الواحد" التي تُمكّن الأفراد من العمل معًا بشكل وثيق لضمان إعطاء الأولوية للأمن طوال الوقت.

تحتاج المنظمات إلى تطبيق SecDevOps بشكل وثيق بين ثلاثة عوامل: الأشخاص - العملية - التكنولوجيا.

لتطبيق نموذج SecDevOps بفعالية، تحتاج المؤسسات إلى تطبيق ثلاثة عوامل بدقة: الأفراد، والعمليات، والتكنولوجيا. فيما يتعلق بالأفراد، تحتاج المؤسسات إلى تحسين مهارات فريق أمن المعلومات، وربط فريق الأمن بفريق DevOps، وتوفير تدريب برمجي ونشر آمن. أما فيما يتعلق بالإجراءات، فيمكن للمؤسسات تطبيق نموذج دورة حياة المنتج الآمن - دورة حياة تطوير البرمجيات (SSDLC) لتطوير برمجيات آمنة. أما فيما يتعلق بالتكنولوجيا، فيمكن للمؤسسات استخدام أساليب وأدوات الأمن التالية للكشف عن الثغرات الأمنية ومعالجتها: التحليل الثابت (SAST)؛ التحليل الديناميكي (DAST)؛ التحليل التفاعلي (IAST)؛ تحليل تركيب البرمجيات (SCA).

وبحسب السيد ترونج، فإن المبرمجين بحاجة إلى التدريب على الوعي الأمني والبرمجة الآمنة، بهدف منع ظهور الثغرات الأمنية في الخطوات اللاحقة من عملية تطوير البرمجيات.

باعتبارها مؤسسة تكنولوجية رائدة تقدم البرمجيات كخدمة في فيتنام والمبادر بتحالف CYSEEX، تلتزم MISA بمرافقة المؤسسات في نشر حلول أمنية متقدمة وحماية البيانات وأنظمة المعلومات من الهجمات الإلكترونية.

المصدر: https://www.misa.vn/149771/secdevops-model-application-information-security-solution-for-organizations/