Zastosowanie modelu SecDevOps – rozwiązanie z zakresu bezpieczeństwa informacji dla organizacji.

29 listopada 2024 r. przedstawiciele MISA podzielili się praktycznymi doświadczeniami w zakresie budowania kultury SecDevOps w celu zwiększenia bezpieczeństwa informacji w organizacjach podczas warsztatu „Zrozumienie DevSecOps – technologia i rozwiązania dla kontroli bezpieczeństwa” zorganizowanego przez BIDV Insurance – BIC.

W warsztatach wzięli udział czołowi eksperci z dziedziny technologii informatycznych i bezpieczeństwa informacji. MISA reprezentowali: pan Nguyen Quang Hoang – Dyrektor ds. Bezpieczeństwa Informacji oraz pan Bui Duc Truong – Szef ds. Bezpieczeństwa Informacji.

W ramach warsztatów pan Bui Duc Truong – Dyrektor ds. Bezpieczeństwa Informacji w MISA – przedstawił model SecDevOps i podzielił się swoimi doświadczeniami w stosowaniu SecDevOps w produktach, aby pomóc organizacjom zwiększyć świadomość bezpieczeństwa informacji.

Przedstawiciel MISA podzielił się tymi informacjami na warsztatach.

Według indeksu Common Vulnerabilities and Exposures (CVE) firmy Paloalto Network z okresu od listopada 2022 do stycznia 2023 roku, luki w zabezpieczeniach często pojawiają się w aplikacjach z powodu niezabezpieczonego oprogramowania. Dlatego organizacje muszą zintegrować bezpieczeństwo z całym procesem rozwoju oprogramowania. W szczególności, według Jamesa Rutta, dyrektora ds. informatyki w Insight, zastosowanie modelu SecDevOps w rozwoju oprogramowania może przyspieszyć ten proces i zmniejszyć liczbę luk w zabezpieczeniach kodu źródłowego o 40-50%.

Lista luk w zabezpieczeniach CVE od listopada 2022 r. do stycznia 2023 r.

SecDevOps to model rozwoju oprogramowania, który łączy bezpieczeństwo, rozwój i operacje, podobnie jak DevSecOps. Kluczowa różnica polega jednak na tym, że SecDevOps priorytetowo traktuje bezpieczeństwo w kontekście każdego pracownika i na każdym etapie procesu tworzenia oprogramowania. Ponadto model ten kładzie nacisk na proces i kulturę pracy „jednego zespołu”, promując ścisłą współpracę, aby zapewnić, że bezpieczeństwo pozostanie najwyższym priorytetem w każdym aspekcie.

Organizacje muszą skutecznie wdrożyć SecDevOps w trzech kluczowych obszarach: ludziach, procesach i technologii.

Aby skutecznie wdrożyć model SecDevOps, organizacje muszą ściśle przestrzegać trzech kluczowych elementów: ludzi, procesów i technologii. W odniesieniu do ludzi, organizacje muszą rozwijać umiejętności swoich zespołów ds. bezpieczeństwa informacji, integrować zespół ds. bezpieczeństwa z zespołem DevOps oraz zapewniać szkolenia z zakresu bezpiecznego programowania i wdrażania. W odniesieniu do procesów, organizacje mogą stosować model bezpiecznego cyklu życia oprogramowania (SSDLC) w celu tworzenia bezpiecznego oprogramowania. W odniesieniu do technologii, organizacje mogą wykorzystywać następujące metody i narzędzia bezpieczeństwa do wykrywania i usuwania luk w zabezpieczeniach: analiza statyczna (SAST); analiza dynamiczna (DAST); analiza interaktywna (IAST); oraz analiza kompozycji oprogramowania (SCA).

Według pana Truonga programiści muszą zostać przeszkoleni w zakresie świadomości bezpieczeństwa i bezpiecznego programowania, aby zapobiec ujawnianiu się luk w zabezpieczeniach na późniejszych etapach procesu tworzenia oprogramowania.

Jako wiodąca firma technologiczna w zakresie oprogramowania jako usługi (SAS) w Wietnamie i inicjator sojuszu CYSEEX Alliance, MISA zobowiązuje się do współpracy z organizacjami wdrażającymi zaawansowane rozwiązania bezpieczeństwa w celu ochrony danych i systemów informatycznych przed cyberatakami.

Source: https://www.misa.vn/149771/ung-dung-mo-hinh-secdevops-giai-phap-an-toan-thong-tin-cho-cac-to-chuc/