SecDevOps-modellapplikation – informationssäkerhetslösning för organisationer

Den 29 november 2024 delade MISA-representanter med sig av praktiska erfarenheter av att bygga en SecDevOps-kultur för att förbättra informationssäkerheten för organisationer vid workshopen "Lär dig mer om DevSecOps - Teknologi och säkerhetskontrolllösningar" som anordnades av BIDV Insurance - BIC.

Workshopen besöktes av ledande experter inom området informationsteknik och informationssäkerhet. Från MISA :s sida deltog Nguyen Quang Hoang, chef för informationssäkerhet, och Bui Duc Truong, chef för informationssäkerhetsavdelningen.

Inom ramen för workshopen introducerade Bui Duc Truong, chef för MISA:s informationssäkerhetsavdelning, SecDevOps-modellen och delade därmed med sig av erfarenheter av att tillämpa SecDevOps på produkter för att stödja organisationer i att öka medvetenheten om informationssäkerhet och trygghet.

MISA-representanten delade med sig av informationen på workshopen.

Enligt Paloalto Networks Common Vulnerabilities and Exposures (CVE) Allocation Catalog från november 2022 till januari 2023 uppstår ofta sårbarheter i applikationer på grund av osäker programmering. Därför behöver organisationer integrera säkerhet i hela produktutvecklingsprocessen för mjukvara. Mer specifikt, genom att tillämpa SecDevOps-modellen på mjukvara för att påskynda produktutvecklingsprocessen, minimera 40-50% av sårbarheterna i källkoden, enligt James Rutt - CIO Insight.

Lista över sårbarhetsallokeringar för CVE:er från november 2022 till januari 2023.

SecDevOps är en utvecklingsmodell som kombinerar säkerhet, utveckling och drift, liknande DevSecOps. Den viktigaste skillnaden är dock att SecDevOps sätter säkerhet i främsta rummet i varje individs tankesätt och i varje steg av mjukvaruutvecklingsprocessen. Dessutom betonar denna modell arbetsprocessen och kulturen "ett team" som hjälper individer att arbeta nära varandra för att säkerställa att säkerhet prioriteras genomgående.

Organisationer behöver tillämpa SecDevOps noggrant mellan tre faktorer: människor - processer - teknik.

För att effektivt tillämpa SecDevOps-modellen måste organisationer strikt tillämpa tre faktorer: människor, processer och teknik. När det gäller människor måste organisationer förbättra informationssäkerhetsteamets kompetens, koppla samman Sec-teamet med DevOps-teamet och tillhandahålla programmeringsutbildning och säker distribution. När det gäller processen kan organisationer tillämpa produktlivscykelmodellen Secure – Software Development Life Cycle (SSDLC) för att utveckla säker programvara. När det gäller teknik kan organisationer använda följande säkerhetsmetoder och verktyg för att upptäcka och hantera säkerhetsproblem: Statisk analys (SAST); Dynamisk analys (DAST); Interaktiv analys (IAST); Programvarukompositionsanalys (SCA).

Enligt Truong behöver programmerare utbildas i säkerhetsmedvetenhet och säker programmering, i syfte att förhindra att sårbarheter uppstår i senare steg av mjukvaruutvecklingsprocessen.

Som ett ledande teknikföretag som tillhandahåller programvara som en tjänst i Vietnam och initiativtagare till CYSEEX-alliansen, har MISA åtagit sig att stödja organisationer i att distribuera avancerade säkerhetslösningar och skydda data- och informationssystem från cyberattacker.

Källa: https://www.misa.vn/149771/secdevops-model-application-information-security-solution-for-organizations/