DevSecOps ve Yazılım Tedarik Zinciri
Security Champions Programı
Her geliştirme ekibinde güvenlikten sorumlu bir geliştirici belirliyor, rolünü ve çalışma düzenini oluşturuyoruz. Güvenlik bilgisi, kodu yazan ekiplerin içinde birikir.
Nedir?
Merkezi bir güvenlik ekibi, her ekibin tüm değişikliklerini izleyemez. Security champion, kendi ekibinde güvenlik sorularının ilk muhatabı olan geliştiricidir. Tasarım toplantılarında riskleri gündeme getirir, bulguları önceliklendirir ve güvenlik ekibiyle bağlantı kurar. Program, bu kişilere ayrılan zamanı, eğitimi ve sorumluluk sınırlarını yazılı hâle getirir.
Kapsam
- Rol tanımı, sorumluluk sınırları ve ayrılacak zaman
- Ekip ve ürün riskine göre champion seçimi
- Kullanılan dil ve framework'lere özgü güvenli kodlama eğitimi
- Tehdit modellemesi ve bulgu önceliklendirme uygulamaları
- Champion'lar ile güvenlik ekibi arasında düzenli buluşma ve iletişim kanalı
- Programın etkisini gösteren ölçütler
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Geliştirme ekipleri güvenlik ekibinden çok daha hızlı büyüdüğünde.
- PCI DSS, özel yazılım geliştiren personelin en az on iki ayda bir güvenli yazılım eğitimi almasını istediğinde.
- Aynı türden bulgular farklı ekiplerde tekrar ettiğinde ve eğitimlerin koda yansımadığı görüldüğünde.
Yöntem
Nasıl çalışıyoruz?
-
Tasarım
Rolü, ayrılacak zamanı ve beklentileri yöneticilerinizle birlikte belirleriz.
-
Başlangıç
İlk champion grubunu seçer, ekiplerinizin kendi kodundan örneklerle eğitim veririz.
-
Uygulama
İlk aylarda tehdit modellemesini ve bulgu önceliklendirmesini champion'larla birlikte yürütürüz.
-
Devir
Düzenli buluşmaları, iletişim kanalını ve programın ölçütlerini kurumunuza devrederiz.
Sonuç
Çalışmanın sonunda elinizde olan
Her ekipte, güvenlik sorularının ilk muhatabı olan ve rolü ile zamanı tanımlı bir geliştirici bulunur. Programın ekiplerdeki etkisi ölçütlerle izlenir.
Sık sorulan sorular
Champion'lar güvenlik ekibinin yerini alır mı?
Almaz. Champion, ekibindeki ilk muhatap ve bağlantı noktasıdır. Uzmanlık gerektiren kararlar ve doğrulama güvenlik ekibinde kalır.
Bir champion'a ne kadar zaman ayrılmalı?
Bu, ekibin büyüklüğüne ve ürünün riskine göre değişir. Önemli olan, zamanın yazılı olarak ayrılması ve sprint planlamasında görünmesidir.
Eğitimler hangi dilde ve nasıl verilir?
Eğitimler Türkçe veya İngilizce verilebilir. Örnekler, ekiplerinizin kullandığı dil ve framework'lerden, mümkünse kendi kodunuzdan seçilir.
DevSecOps ve Yazılım Tedarik Zinciri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın