SecDevOps modelinin uygulanması – Kuruluşlar için bir bilgi güvenliği çözümü.

29 Kasım 2024 tarihinde, BIDV Insurance – BIC tarafından düzenlenen "DevSecOps'u Anlamak – Güvenlik Kontrolü için Teknoloji ve Çözümler" çalıştayında, MISA temsilcileri, kuruluşlar için bilgi güvenliğini artırmak amacıyla bir SecDevOps kültürü oluşturma konusunda pratik deneyimlerini paylaştılar.

Çalıştaya, bilgi teknolojisi ve bilgi güvenliği alanlarında önde gelen uzmanlar katıldı. MISA'yı temsilen Bilgi Güvenliği Direktörü Sayın Nguyen Quang Hoang ve Bilgi Güvenliği Başkanı Sayın Bui Duc Truong hazır bulundu.

Çalıştay kapsamında, MISA Bilgi Güvenliği Başkanı Sayın Bui Duc Truong, SecDevOps modelini tanıttı ve kuruluşların bilgi güvenliği ve emniyeti konusundaki farkındalıklarını artırmalarına destek olmak amacıyla SecDevOps'u ürünlere uygulama konusundaki deneyimlerini paylaştı.

MISA'dan bir temsilci bu bilgiyi çalıştayda paylaştı.

Palo Alto Network'ün Kasım 2022 ile Ocak 2023 arasındaki Ortak Güvenlik Açıkları ve Maruz Kalmalar (CVE) endeksine göre, güvenlik açıkları genellikle güvensiz programlama nedeniyle uygulamalarda ortaya çıkmaktadır. Bu nedenle, kuruluşların güvenliği tüm yazılım geliştirme süreçlerine entegre etmeleri gerekmektedir. Özellikle, Insight'ın CIO'su James Rutt'a göre, yazılım geliştirmeye SecDevOps modelini uygulamak süreci hızlandırabilir ve kaynak kod güvenlik açıklarını %40-50 oranında azaltabilir.

Kasım 2022 ile Ocak 2023 arasındaki CVE'ler için güvenlik açığı tahsis listesi.

SecDevOps, DevSecOps'a benzer şekilde güvenlik, geliştirme ve operasyonları birleştiren bir geliştirme modelidir. Ancak temel fark, SecDevOps'un her bireyin zihniyetinde ve yazılım geliştirme sürecinin her adımında güvenliğe öncelik vermesidir. Ek olarak, bu model "Tek Takım" çalışma sürecini ve kültürünü vurgulayarak, güvenliğin her aşamada en yüksek öncelik olarak kalmasını sağlamak için yakın işbirliğini teşvik eder.

Kuruluşların SecDevOps'u üç temel unsurda etkili bir şekilde uygulamaları gerekiyor: insanlar, süreçler ve teknoloji.

SecDevOps modelini etkili bir şekilde uygulamak için kuruluşların üç temel unsura yakından bağlı kalması gerekir: insanlar, süreçler ve teknoloji. İnsanlar açısından, kuruluşların bilgi güvenliği ekiplerinin becerilerini geliştirmesi, güvenlik ekibini DevOps ekibiyle entegre etmesi ve güvenli programlama ve dağıtım konusunda eğitim vermesi gerekir. Süreçler açısından, kuruluşlar güvenli yazılım geliştirmek için Güvenli Yazılım Geliştirme Yaşam Döngüsü (SSDLC) modelini uygulayabilir. Teknoloji açısından, kuruluşlar güvenlik açıklarını tespit etmek ve gidermek için aşağıdaki güvenlik yöntemlerini ve araçlarını kullanabilir: Statik Analiz (SAST); Dinamik Analiz (DAST); Etkileşimli Analiz (IAST); ve Yazılım Bileşimi Analizi (SCA).

Bay Truong'a göre, yazılım geliştirme sürecinin sonraki aşamalarında güvenlik açıklarının ortaya çıkmasını önlemek amacıyla programcıların güvenlik bilinci ve güvenli programlama konusunda eğitilmesi gerekiyor.

Vietnam'ın önde gelen yazılım hizmeti (SAS) teknoloji şirketlerinden biri ve CYSEEX İttifakı'nın kurucusu olan MISA, veri ve bilgi sistemlerini siber saldırılardan korumak için gelişmiş güvenlik çözümlerinin uygulanmasında kuruluşlarla ortaklık kurmaya kendini adamıştır.

Kaynak: https://www.misa.vn/149771/ung-dung-mo-hinh-secdevops-giai-phap-an-toan-thong-tin-cho-cac-to-chuc/