به کارگیری مدل SecDevOps - یک راهکار امنیت اطلاعات برای سازمان‌ها

در تاریخ ۲۹ نوامبر ۲۰۲۴، نمایندگان MISA تجربیات عملی خود را در ایجاد فرهنگ SecDevOps برای افزایش امنیت اطلاعات سازمان‌ها در کارگاه آموزشی "درک DevSecOps - فناوری و راهکارهای کنترل امنیت" که توسط BIDV Insurance - BIC برگزار شد، به اشتراک گذاشتند.

این کارگاه با حضور متخصصان برجسته در حوزه‌های فناوری اطلاعات و امنیت اطلاعات برگزار شد. نمایندگان MISA آقای نگوین کوانگ هوانگ - مدیر امنیت اطلاعات - و آقای بویی دوک ترونگ - رئیس امنیت اطلاعات - بودند.

در چارچوب این کارگاه، آقای بویی دوک ترونگ - رئیس امنیت اطلاعات در MISA - مدل SecDevOps را معرفی کرد و تجربه خود را در به‌کارگیری SecDevOps در محصولات برای پشتیبانی از سازمان‌ها در افزایش آگاهی آنها از امنیت و ایمنی اطلاعات به اشتراک گذاشت.

نماینده‌ای از MISA این اطلاعات را در کارگاه به اشتراک گذاشت.

طبق شاخص آسیب‌پذیری‌ها و آسیب‌پذیری‌های رایج (CVE) شرکت Paloalto Network از نوامبر 2022 تا ژانویه 2023، آسیب‌پذیری‌ها معمولاً به دلیل برنامه‌نویسی ناامن در برنامه‌ها ظاهر می‌شوند. بنابراین، سازمان‌ها باید امنیت را در کل فرآیند توسعه نرم‌افزار خود ادغام کنند. به طور خاص، به گفته جیمز روت، مدیر ارشد اطلاعات Insight، اعمال مدل SecDevOps در توسعه نرم‌افزار می‌تواند این فرآیند را تسریع کرده و آسیب‌پذیری‌های کد منبع را 40 تا 50 درصد کاهش دهد.

فهرست تخصیص آسیب‌پذیری‌ها برای CVEها از نوامبر ۲۰۲۲ تا ژانویه ۲۰۲۳.

SecDevOps یک مدل توسعه است که امنیت، توسعه و عملیات را مانند DevSecOps ترکیب می‌کند. با این حال، تفاوت اصلی این است که SecDevOps امنیت را در طرز فکر هر فرد و در هر مرحله از فرآیند توسعه نرم‌افزار در اولویت قرار می‌دهد. علاوه بر این، این مدل بر فرآیند و فرهنگ کاری "یک تیم" تأکید دارد و همکاری نزدیک را برای اطمینان از اینکه امنیت در کل پروژه در اولویت اصلی قرار دارد، تقویت می‌کند.

سازمان‌ها باید SecDevOps را به طور مؤثر در سه عنصر کلیدی پیاده‌سازی کنند: افراد، فرآیندها و فناوری.

برای پیاده‌سازی مؤثر مدل SecDevOps، سازمان‌ها باید به سه عنصر کلیدی پایبند باشند: افراد، فرآیندها و فناوری. در مورد افراد، سازمان‌ها باید مهارت‌های تیم‌های امنیت اطلاعات خود را ارتقا دهند، تیم Sec را با تیم DevOps ادغام کنند و آموزش‌هایی در زمینه برنامه‌نویسی و استقرار امن ارائه دهند. در مورد فرآیندها، سازمان‌ها می‌توانند مدل چرخه حیات توسعه نرم‌افزار امن (SSDLC) را برای توسعه نرم‌افزار امن به کار گیرند. در مورد فناوری، سازمان‌ها می‌توانند از روش‌ها و ابزارهای امنیتی زیر برای شناسایی و رفع آسیب‌پذیری‌ها استفاده کنند: تحلیل استاتیک (SAST)؛ تحلیل دینامیک (DAST)؛ تحلیل تعاملی (IAST)؛ و تحلیل ترکیب نرم‌افزار (SCA).

به گفته آقای ترونگ، برنامه‌نویسان باید در زمینه آگاهی امنیتی و برنامه‌نویسی ایمن آموزش ببینند، با هدف جلوگیری از بروز آسیب‌پذیری‌ها در مراحل بعدی فرآیند توسعه نرم‌افزار.

MISA به عنوان یک شرکت پیشرو در زمینه فناوری نرم‌افزار به عنوان سرویس (SAS) در ویتنام و آغازگر اتحاد CYSEEX، متعهد به همکاری با سازمان‌ها در استقرار راه‌حل‌های امنیتی پیشرفته برای محافظت از داده‌ها و سیستم‌های اطلاعاتی در برابر حملات سایبری است.

نظر (0)