Przejdź do głównej zawartości

8.25 Bezpieczny cykl życia wytwarzania

W skrócie: bezpieczeństwo jest wpisane w każdy etap wytwarzania oprogramowania i systemów — od wymagań, przez projekt i kod, po testy i wdrożenie.

Cel: zapewnienie, że bezpieczeństwo informacji jest projektowane i wdrażane w cyklu życia wytwarzania oprogramowania i systemów.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#System_and_network_security (bezpieczeństwo systemów i sieci), #Application_security (bezpieczeństwo aplikacji)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja ustanawia zasady bezpiecznego wytwarzania oprogramowania i systemów.
  • Bezpieczny cykl wytwarzania obejmuje: rozdzielenie środowisk rozwojowego, testowego i produkcyjnego (8.31); wytyczne bezpieczeństwa w metodyce wytwarzania i dla każdego języka programowania; wymagania bezpieczeństwa w fazie specyfikacji i projektu (5.8, 8.26); punkty kontrolne bezpieczeństwa w projektach; testy systemowe i bezpieczeństwa (8.29); bezpieczne repozytoria z kontrolą dostępu do kodu i konfiguracji (8.4, 8.9); bezpieczeństwo w kontroli wersji (8.32); wymaganą wiedzę o bezpieczeństwie aplikacji; zdolność programistów do unikania, znajdowania i usuwania podatności; wymagania licencyjne i alternatywy dla rozwiązań obciążonych licencjami (5.32).
  • Gdy wytwarzanie jest zlecone na zewnątrz, organizacja uzyskuje zapewnienie, że dostawca stosuje zasady bezpiecznego wytwarzania (8.30).
  • Wytwarzanie może odbywać się także w aplikacjach, np. w makrach w pakiecie biurowym, skryptach, przeglądarkach i grach.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Ramy odniesienia: NIST SSDF (SP 800-218), OWASP SAMM, Microsoft SDL.
  • Modelowanie zagrożeń (STRIDE) na etapie projektu dla nowych funkcji i zmian architektury.
  • Bramki w potoku CI/CD: SAST, skan zależności (SCA), skan sekretów, skan obrazów kontenerów — z progami blokującymi wdrożenie.

Powiązania​