Anwendung des SecDevOps-Modells – Eine Informationssicherheitslösung für Organisationen.

Am 29. November 2024 tauschten Vertreter von MISA auf dem von BIDV Insurance – BIC organisierten Workshop „Understanding DevSecOps – Technology and Solutions for Security Control“ praktische Erfahrungen beim Aufbau einer SecDevOps-Kultur zur Verbesserung der Informationssicherheit von Organisationen aus.

An dem Workshop nahmen führende Experten aus den Bereichen Informationstechnologie und Informationssicherheit teil. MISA wurde vertreten durch Herrn Nguyen Quang Hoang, Direktor für Informationssicherheit, und Herrn Bui Duc Truong, Leiter der Informationssicherheit.

Im Rahmen des Workshops stellte Herr Bui Duc Truong – Leiter der Informationssicherheit bei MISA – das SecDevOps-Modell vor und teilte seine Erfahrungen bei der Anwendung von SecDevOps auf Produkte mit, um Organisationen dabei zu unterstützen, ihr Bewusstsein für Informationssicherheit und -schutz zu schärfen.

Ein Vertreter von MISA teilte diese Information im Rahmen des Workshops mit.

Laut dem CVE-Index (Common Vulnerabilities and Exposures) des Palo Alto Networks (November 2022 bis Januar 2023) entstehen Sicherheitslücken in Anwendungen häufig durch unsichere Programmierung. Daher müssen Unternehmen Sicherheit in ihren gesamten Softwareentwicklungsprozess integrieren. Insbesondere die Anwendung des SecDevOps-Modells kann den Prozess beschleunigen und die Anzahl der Quellcode-Schwachstellen um 40–50 % reduzieren, so James Rutt, CIO von Insight.

Liste der Schwachstellenzuordnungen für CVEs von November 2022 bis Januar 2023.

SecDevOps ist ein Entwicklungsmodell, das Sicherheit, Entwicklung und Betrieb – ähnlich wie DevSecOps – vereint. Der entscheidende Unterschied besteht jedoch darin, dass SecDevOps Sicherheit in der Denkweise jedes Einzelnen und in jedem Schritt des Softwareentwicklungsprozesses priorisiert. Darüber hinaus betont dieses Modell einen „Ein-Team“-Arbeitsprozess und eine entsprechende Kultur, die eine enge Zusammenarbeit fördert, um sicherzustellen, dass Sicherheit durchgehend höchste Priorität hat.

Organisationen müssen SecDevOps effektiv in drei Schlüsselbereichen implementieren: Menschen, Prozesse und Technologie.

Für die effektive Implementierung des SecDevOps-Modells müssen Unternehmen drei Schlüsselelemente konsequent berücksichtigen: Mitarbeiter, Prozesse und Technologie. Im Bereich Mitarbeiter gilt es, die Kompetenzen der Informationssicherheitsteams zu stärken, das Sec-Team in das DevOps-Team zu integrieren und Schulungen zu sicherer Programmierung und Bereitstellung anzubieten. Bezüglich der Prozesse können Unternehmen das Secure Software Development Life Cycle (SSDLC)-Modell anwenden, um sichere Software zu entwickeln. Im Bereich Technologie können Unternehmen die folgenden Sicherheitsmethoden und -tools nutzen, um Schwachstellen zu erkennen und zu beheben: Statische Analyse (SAST), Dynamische Analyse (DAST), Interaktive Analyse (IAST) und Software Composition Analysis (SCA).

Laut Herrn Truong müssen Programmierer in Sicherheitsbewusstsein und sicherer Programmierung geschult werden, um zu verhindern, dass Schwachstellen in späteren Phasen des Softwareentwicklungsprozesses auftreten.

Als führendes Software-as-a-Service (SAS)-Technologieunternehmen in Vietnam und Initiator der CYSEEX Alliance engagiert sich MISA für die Partnerschaft mit Organisationen bei der Implementierung fortschrittlicher Sicherheitslösungen zum Schutz von Daten und Informationssystemen vor Cyberangriffen.

Quelle: https://www.misa.vn/149771/ung-dung-mo-hinh-secdevops-giai-phap-an-toan-thong-tin-cho-cac-to-chuc/