SecDevOps modelinin uygulanması – Kuruluşlar için bilgi güvenliği çözümü

29 Kasım 2024 tarihinde, MISA temsilcileri, BIDV Sigorta - BIC tarafından düzenlenen "DevSecOps Hakkında Bilgi Edinin - Teknoloji ve Güvenlik Kontrol Çözümleri" Çalıştayında, kuruluşlar için bilgi güvenliğini sağlama yeteneğini geliştirmek amacıyla bir SecDevOps kültürü oluşturma konusunda pratik deneyimlerini paylaştılar.

Çalıştaya, bilgi teknolojileri ve bilgi güvenliği alanında önde gelen uzmanlar katıldı. MISA tarafında ise Bilgi Güvenliği Direktörü Sayın Nguyen Quang Hoang ve Bilgi Güvenliği Departmanı Başkanı Sayın Bui Duc Truong yer aldı.

Çalıştay kapsamında MISA Bilgi Güvenliği Departmanı Başkanı Sayın Bui Duc Truong, SecDevOps modelini tanıtarak, SecDevOps'un ürünlere uygulanması konusunda deneyimlerini paylaşarak, kuruluşların bilgi güvenliği ve emniyeti konusunda farkındalık yaratmalarına destek oldu.

MISA temsilcisi Çalıştay'da paylaşımda bulundu.

Paloalto Network'ün Kasım 2022-Ocak 2023 Ortak Güvenlik Açıkları ve Maruziyetler (CVE) Tahsis Kataloğu'na göre, uygulamalarda güvenlik açıkları genellikle güvenli olmayan programlama nedeniyle ortaya çıkıyor. Bu nedenle, kuruluşların güvenliği tüm yazılım geliştirme sürecine entegre etmeleri gerekiyor. CIO Insight'tan James Rutt'a göre, özellikle SecDevOps modelini yazılıma uygulayarak ürün geliştirme sürecini hızlandırmak ve kaynak kodundaki güvenlik açıklarının %40-50'sini en aza indirmek gerekiyor.

Kasım 2022'den Ocak 2023'e kadar CVE'ler için zafiyet dağılım listesi.

SecDevOps, DevSecOps'a benzer şekilde güvenlik, geliştirme ve operasyonları birleştiren bir geliştirme modelidir. Ancak, SecDevOps'un en önemli farkı, güvenliği her bireyin zihniyetinin ve yazılım geliştirme sürecinin her aşamasının ön saflarına yerleştirmesidir. Ayrıca, bu model, bireylerin güvenliğin her aşamada önceliklendirilmesini sağlamak için yakın bir şekilde birlikte çalışmalarına yardımcı olan "Tek Takım" çalışma sürecini ve kültürünü vurgular.

Kuruluşların SecDevOps'u 3 faktör arasında sıkı bir şekilde uygulaması gerekiyor: insan - süreç - teknoloji.

SecDevOps modelini etkili bir şekilde uygulamak için kuruluşların 3 faktörü sıkı bir şekilde uygulaması gerekir: insanlar, süreç ve teknoloji. İnsanlar söz konusu olduğunda, kuruluşların bilgi güvenliği ekibinin becerilerini geliştirmeleri, Sec ekibini DevOps ekibiyle bağlantılandırmaları, programlama eğitimi ve güvenli dağıtım sağlamaları gerekir. Süreç açısından, kuruluşlar güvenli yazılım geliştirmek için Güvenli Ürün Yaşam Döngüsü modelini - Yazılım Geliştirme Yaşam Döngüsü'nü (SSDLC) uygulayabilirler. Teknoloji açısından ise, kuruluşlar güvenlik açıklarını tespit etmek ve yönetmek için aşağıdaki güvenlik yöntemlerini ve araçlarını kullanabilirler: Statik Analiz (SAST); Dinamik Analiz (DAST); Etkileşimli Analiz (IAST); Yazılım Bileşim Analizi (SCA).

Truong, yazılım geliştirme sürecinin sonraki adımlarında güvenlik açıklarının ortaya çıkmasını önlemek amacıyla programcıların güvenlik bilinci ve güvenli programlama konusunda eğitilmesi gerektiğini söyledi.

Vietnam'da hizmet olarak yazılım sağlayan lider bir teknoloji kuruluşu ve aynı zamanda CYSEEX İttifakı'nın kurulmasının öncüsü olan MISA, gelişmiş güvenlik çözümlerinin dağıtımında kuruluşlara eşlik etmeyi, verileri ve bilgi sistemlerini siber saldırılardan korumayı taahhüt ediyor.

Kaynak: https://www.misa.vn/149771/secdevops-information-security-solution-for-organizations/