DevSecOps ve Yazılım Tedarik Zinciri
Güvenli Yazılım Geliştirme Yaşam Döngüsü (SSDLC)
Tasarımdan yayına kadar her aşamanın güvenlik gereksinimlerini, sorumlularını ve geçiş koşullarını belirliyoruz. Güvenlik, ekiplerinizin mevcut işleyişine entegre edilir.
Nedir?
Güvenli yazılım geliştirme yaşam döngüsü (SSDLC), güvenliği yayından önceki son teste bırakmaz. Her aşamaya ne yapılacağını, kimin yapacağını ve bir sonraki aşamaya hangi koşulla geçileceğini ekler. Mevcut durum, OWASP SAMM veya NIST SSDF (SP 800-218) gibi bir çerçeveyle ölçülür. Böylece eksikler ve iyileştirme sırası netleşir.
Kapsam
- OWASP SAMM veya NIST SSDF ile mevcut durum ve boşluk analizi
- Gereksinim, tasarım, geliştirme, test ve yayın aşamalarının güvenlik faaliyetleri
- Uygulama türüne göre OWASP ASVS'ten seçilen güvenlik gereksinimleri
- Yayın için güvenlik geçiş koşulları ve istisna onay süreci
- Dış kaynakla geliştirilen yazılım için sözleşme ve teslim şartları
- Sürecin işlediğini gösteren ölçütler
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Dış kaynakla geliştirilen yazılımlar için güvenlik şartlarını ve teslim koşullarını belirlemeniz gerektiğinde.
- ISO/IEC 27001 veya PCI DSS denetiminde, güvenli geliştirme sürecinizin belgelendiğini ve uygulandığını göstermeniz gerektiğinde.
- Her ekip güvenliği farklı yorumladığında ve aynı zafiyetler farklı ürünlerde tekrar ettiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Mevcut durum
Ekiplerinizle görüşür, bugünkü uygulamaları seçilen çerçeveye göre puanlarız.
-
Hedef
Ürünlerinizin risk düzeyine göre ulaşılacak hedefi ve önceliği sizinle belirleriz.
-
Süreç tasarımı
Her aşamanın faaliyetlerini, sorumlularını ve geçiş koşullarını yazılı hâle getiririz.
-
Uygulama
Süreci önce bir pilot ekipte uygular, sonuçlara göre diğer ekiplere yayarız.
Sonuç
Çalışmanın sonunda elinizde olan
Her aşamada ne yapılacağı, kimin onaylayacağı ve bir sürümün hangi koşulla yayına çıkacağı yazılıdır. Mevcut durumunuz ve hedefiniz aynı çerçeveyle ölçülmüş olarak elinizdedir.
Sık sorulan sorular
SSDLC geliştirmeyi yavaşlatır mı?
Kontroller ekiplerin kullandığı araçlara ve doğru aşamaya yerleştirilir. Kapsamlı kontroller yalnızca yüksek riskli değişikliklerde devreye girer.
OWASP SAMM mi, NIST SSDF mi kullanmalıyız?
SAMM, olgunluğu ölçmek ve yol haritası çıkarmak için uygundur. SSDF ise uygulamaları müşteri ve denetçiye anlatılabilir bir dille tanımlar. İkisi birlikte de kullanılabilir.
Çevik (agile) ekiplerle uyumlu mu?
Evet. Güvenlik faaliyetleri sprint ve sürüm döngülerine bağlanır. Örneğin tehdit modellemesi yeni bir özellik başlarken, kod incelemesi her birleştirme isteğinde yapılır.
DevSecOps ve Yazılım Tedarik Zinciri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın