Новый сайт определяет лучшие практики для обеспечения безопасности программного обеспечения

Сколько безопасности Должны ли офицеры быть для каждого разработчика программного обеспечения? Оказывается, ответ один на каждые 100. Эта и другие лучшие лучшие практики обеспечения безопасности программного обеспечения теперь являются частью совместного проекта между поставщиком безопасности Fortify и фирмой Cigital по безопасности.

В названии Building Security In Maturity Model (BSIMM) по словам Fortify, проект не предназначен для «как», ни даже одного размера для решения всех проблем, связанных с написанием защищенного кода. Скорее, BSIMM является результатом разговоров о методах обеспечения безопасности программного обеспечения, которые Fortify и Cigital имели с такими компаниями, как Adobe, EMC, Google, Microsoft, QUALCOMM, Wells Fargo и Trustory Trust & Clearing Corporation (DTCC).

Во многих случаях компании занимались, в основном, одними и теми же вещами. Например, во всех опрошенных организациях имеется учебная программа по обучению в области безопасности для программистов, инженеров по качеству и руководителей проектов. Каждое из девяти предприятий имеет определенную группу сотрудников по обеспечению безопасности программного обеспечения - по одному на каждые сотни разработчиков программного обеспечения. И все опрошенные компании подчеркивают, что обучение в области безопасности, технические ресурсы и наставничество, а не контроль за ошибками в области безопасности и вынесение наказаний.

[Подробнее читайте: Как удалить вредоносное ПО с вашего ПК с Windows]

Результат - это редкое понимание того, что успешные организации действительно делают для обеспечения безопасности в своем программном обеспечении, а инструменты на сайте могут бесплатно загружаться организациями, стремящимися снизить деловой риск, связанный с небезопасными приложениями. Например, система безопасности программного обеспечения (SSF), входящая в состав BSIMM, представляет собой адаптивную модель безопасности, которая позволяет любой организации оценивать текущее состояние разработки программного обеспечения, определять приоритеты изменений и оценивать прогресс.

В модели используется десятки категорий, чтобы проиллюстрировать все шаги между обучением тестированию программного обеспечения после его написания. В каждой категории есть список мероприятий, призванных помочь сделать программное обеспечение компании более безопасным. Действия просят компанию представить примеры из своей истории, чтобы персонализировать точки.

Если это звучит знакомо, это так. Прошлым летом Mozilla анонсировала аналогичный проект, инициированный Window Snyder, прежде чем покинуть компанию. Там также лучшие методы безопасности, используемые в Mozilla, должны были быть смоделированы и преподаваться другим компаниям. Проект Mozilla Metrics в настоящее время работает Rich Mogull.