Aplikace modelu SecDevOps – řešení informační bezpečnosti pro organizace

Dne 29. listopadu 2024 se zástupci MISA podělili o praktické zkušenosti s budováním kultury SecDevOps za účelem zlepšení informační bezpečnosti organizací na workshopu „Learn about DevSecOps - Technology and Security Control Solutions“, který pořádala společnost BIDV Insurance - BIC.

Workshopu se zúčastnili přední odborníci v oblasti informačních technologií a informační bezpečnosti. Za MISA se zúčastnili pan Nguyen Quang Hoang - ředitel informační bezpečnosti, a pan Bui Duc Truong - vedoucí oddělení informační bezpečnosti.

V rámci workshopu představil pan Bui Duc Truong - vedoucí oddělení informační bezpečnosti MISA - model SecDevOps a podělil se o zkušenosti s aplikací SecDevOps v produktech na podporu organizací při zvyšování povědomí o informační bezpečnosti a ochraně.

Zástupce MISA se na workshopu podělil o své zkušenosti.

Podle katalogu běžných zranitelností a ohrožení (CVE) sítě Paloalto Network od listopadu 2022 do ledna 2023 se zranitelnosti v aplikacích často objevují v důsledku nebezpečného programování. Organizace proto musí integrovat zabezpečení do celého procesu vývoje softwarových produktů. Konkrétně je třeba aplikovat model SecDevOps na software, aby se urychlil proces vývoje produktů a minimalizovalo se 40–50 % zranitelností ve zdrojovém kódu, uvádí James Rutt – CIO Insight.

Seznam alokací zranitelností pro CVE od listopadu 2022 do ledna 2023.

SecDevOps je vývojový model, který kombinuje bezpečnost, vývoj a provoz, podobně jako DevSecOps. Klíčovým rozdílem však je, že SecDevOps klade bezpečnost do popředí myšlení každého jednotlivce a v každém kroku procesu vývoje softwaru. Tento model navíc klade důraz na pracovní proces a kulturu „jednoho týmu“, která pomáhá jednotlivcům úzce spolupracovat, aby byla zajištěna priorita bezpečnosti v celém procesu.

Organizace musí aplikovat SecDevOps úzce mezi 3 faktory: lidé - procesy - technologie.

Aby organizace mohly efektivně aplikovat model SecDevOps, musí striktně uplatňovat 3 faktory: lidi, procesy a technologie. Pokud jde o lidi, organizace musí zlepšit dovednosti týmu informační bezpečnosti, propojit tým Sec s týmem DevOps a poskytovat školení programátorů a bezpečné nasazení. Pokud jde o proces, organizace mohou k vývoji bezpečného softwaru aplikovat model životního cyklu produktu Secure – Software Development Life Cycle (SSDLC). Pokud jde o technologie, organizace mohou k detekci a řešení bezpečnostních zranitelností použít následující bezpečnostní metody a nástroje: statickou analýzu (SAST), dynamickou analýzu (DAST), interaktivní analýzu (IAST) a analýzu kompozice softwaru (SCA).

Podle pana Truonga je třeba programátory proškolit v oblasti bezpečnostního povědomí a bezpečného programování s cílem zabránit vzniku zranitelností v pozdějších krocích procesu vývoje softwaru.

Jakožto přední technologický podnik poskytující software jako službu ve Vietnamu a iniciátor aliance CYSEEX se společnost MISA zavázala doprovázet organizace při zavádění pokročilých bezpečnostních řešení a ochraně dat a informačních systémů před kybernetickými útoky.

Zdroj: https://www.misa.vn/149771/secdevops-model-application-information-security-solution-for-organizations/