Bruk av SecDevOps-modellen – informasjonssikkerhetsløsning for organisasjoner

Den 29. november 2024 delte MISA-representanter praktiske erfaringer med å bygge en SecDevOps-kultur for å forbedre evnen til å sikre informasjonssikkerhet for organisasjoner på workshopen «Lær om DevSecOps - Teknologi og sikkerhetskontrollløsninger» organisert av BIDV Insurance - BIC.

Workshopen ble deltatt av ledende eksperter innen informasjonsteknologi og informasjonssikkerhet. Fra MISAs side deltok Nguyen Quang Hoang - direktør for informasjonssikkerhet, og Bui Duc Truong - leder for avdelingen for informasjonssikkerhet.

Innenfor rammen av workshopen introduserte Bui Duc Truong – leder for MISAs avdeling for informasjonssikkerhet – SecDevOps-modellen, og delte dermed erfaringer med å anvende SecDevOps på produkter for å støtte organisasjoner i å øke bevisstheten om informasjonssikkerhet og -trygghet.

MISA-representant delte på workshopen.

Ifølge Paloalto Networks Common Vulnerabilities and Exposures (CVE) Allocation Catalog fra november 2022 til januar 2023, oppstår det ofte sårbarheter i applikasjoner på grunn av usikker programmering. Derfor må organisasjoner integrere sikkerhet i hele programvareutviklingsprosessen. Mer spesifikt, bruk av SecDevOps-modellen på programvare for å fremskynde produktutviklingsprosessen, og minimere 40–50 % av sårbarhetene i kildekoden, ifølge James Rutt – CIO Insight.

Liste over sårbarhetstildelinger for CVE-er fra november 2022 til januar 2023.

SecDevOps er en utviklingsmodell som kombinerer sikkerhet, utvikling og drift, i likhet med DevSecOps. Den viktigste forskjellen er imidlertid at SecDevOps setter sikkerhet i fokus i hver enkelt persons tankesett og i hvert trinn av programvareutviklingsprosessen. I tillegg vektlegger denne modellen arbeidsprosessen og kulturen «ett team» som hjelper enkeltpersoner med å jobbe tett sammen for å sikre at sikkerhet prioriteres gjennomgående.

Organisasjoner må anvende SecDevOps tett mellom tre faktorer: mennesker - prosess - teknologi.

For å effektivt anvende SecDevOps-modellen, må organisasjoner strengt ta hensyn til tre faktorer: mennesker, prosesser og teknologi. Når det gjelder mennesker, må organisasjoner forbedre ferdighetene til informasjonssikkerhetsteamet, koble Sec-teamet med DevOps-teamet, tilby programmeringsopplæring og sikker distribusjon. Når det gjelder prosessen, kan organisasjoner anvende Secure Product Lifecycle Model - Software Development Life Cycle (SSDLC) for å utvikle sikker programvare. Når det gjelder teknologi, kan organisasjoner bruke følgende sikkerhetsmetoder og verktøy for å oppdage og håndtere sikkerhetssårbarheter: Statisk analyse (SAST); Dynamisk analyse (DAST); Interaktiv analyse (IAST); Programvarekomposisjonsanalyse (SCA).

Ifølge Truong må programmerere få opplæring i sikkerhetsbevissthet og sikker programmering, med sikte på å forhindre at sårbarheter dukker opp i senere trinn i programvareutviklingsprosessen.

Som et ledende teknologiselskap som tilbyr programvare som en tjeneste i Vietnam, og også initiativtaker til etableringen av CYSEEX-alliansen, forplikter MISA seg til å bistå organisasjoner i utrulling av avanserte sikkerhetsløsninger, og beskytter data- og informasjonssystemer mot cyberangrep.

Kilde: https://www.misa.vn/149771/secdevops-information-security-solution-for-organizations/