Az új weboldal meghatározza a szoftverbiztonság legjobb gyakorlatát

Hány biztonsági a tiszteknek ott kell lenniük minden szoftverfejlesztő számára? Kiderül, hogy a válasz minden 100-asra vonatkozik. Ez és a legjobb szoftverbiztonsági legjobb gyakorlatok most egy közös projekt részét képezik a biztonsági gyártó és a Cigital biztonsági tanácsadó cég között.

Épületbiztonság a lejáratú modellben (BSIMM) a projekt nem a "hogyan", sem az egyetlen méret nem illeszkedik minden megoldáshoz a biztonságos kódíráshoz, a Fortify szerint. A BSIMM inkább olyan szoftverbiztonsági gyakorlatokkal kapcsolatos beszélgetések eredménye, amelyeket a Fortify és a Cigital olyan vállalatokkal, mint az Adobe, az EMC, a Google, a Microsoft, a QUALCOMM, a Wells Fargo és a Depositary Trust & Clearing Corporation (DTCC) a vállalatok alapvetően ugyanazokat a dolgokat tették. Például minden megkérdezett szervezet rendelkezik intézményesített biztonsági képzési tantervvel a programozók, a minőségbiztosítási mérnökök és a projektmenedzserek számára. A kilenc vállalat mindegyike rendelkezik egy kijelölt szoftverbiztonsági személyzetcsoporttal - minden száz szoftverfejlesztőnél. Az összes megkérdezett vállalat hangsúlyozza a biztonsági oktatás, a technikai erőforrások és a mentorálás helyett a biztonsági hibák rendezését és a büntetések kiszabását.

[További olvasnivalók: Hogyan távolítsunk el rosszindulatú programokat Windows számítógépről]

Az eredmény ritka betekintést nyújt a sikeres szervezetek valóban meghozzák a biztonságukat a szoftverükbe, és a webhelyen található eszközök ingyenesen letölthetők olyan szervezetektől, amelyek csökkentik a bizonytalan alkalmazásokhoz kapcsolódó üzleti kockázatot. Például a BSIMM-ben szereplő szoftverbiztonsági keretrendszer (SSF) egy alkalmazkodó biztonsági modell, amely lehetővé teszi bármely szervezet számára, hogy felméri a szoftverfejlesztés jelenlegi állapotát, a változások fontossági sorrendjét és az előrehaladást.

A modell egy tucat kategória, hogy illusztrálja a képzést a tesztelési szoftverek között a megírt szöveg után. Az egyes kategóriákon belül található tevékenységek listája arra szolgál, hogy segítsen a vállalat szoftverének biztonságosabbá tételében. A tevékenységek megkérik a vállalatot, hogy adjon példákat a saját történelméből, hogy személyre szabja a pontokat.

Ha ez úgy hangzik, ismerős, akkor ez. Tavaly nyáron a Mozilla egy hasonló projektet jelentett be, amelyet a Window Snyder kezdeményezett, mielőtt elhagyta a céget. Ott is a legjobb biztonsági gyakorlatokat használták a Mozilla-nál, amelyet más cégek számára kellett modellezni és tanítani. A Mozilla Metrics projektet jelenleg a Rich Mogull futtatja.