Situs Baru Mendefinisikan Praktik Terbaik Untuk Keamanan Perangkat Lunak

Berapa banyak keamanan petugas harus ada untuk setiap pengembang perangkat lunak? Ternyata jawabannya adalah satu untuk setiap 100. Ini dan praktik terbaik keamanan perangkat lunak terbaik lainnya kini menjadi bagian dari proyek bersama antara vendor keamanan Fortify dan perusahaan konsultan keamanan Cigital.

Berjudul Building Security In Maturity Model (BSIMM), proyek tidak dimaksudkan untuk menjadi "bagaimana" atau bahkan satu ukuran cocok untuk semua solusi untuk menulis kode aman, menurut Fortify. Sebaliknya, BSIMM adalah hasil dari percakapan seputar praktik keamanan perangkat lunak yang dibuktikan oleh Fortify dan Cigital dengan perusahaan seperti Adobe, EMC, Google, Microsoft, QUALCOMM, Wells Fargo, dan Depository Trust & Clearing Corporation (DTCC).

Dalam banyak kasus perusahaan-perusahaan itu melakukan, pada prinsipnya, beberapa hal yang sama. Sebagai contoh, semua organisasi yang diwawancarai memiliki kurikulum pelatihan keamanan yang dilembagakan untuk para programmer, insinyur QA, dan manajer proyek. Masing-masing dari sembilan perusahaan memiliki sekelompok personel keamanan perangkat lunak yang ditunjuk - satu per setiap seratus pengembang perangkat lunak. Dan semua perusahaan yang diwawancara menekankan pendidikan keamanan, sumber daya teknis, dan bimbingan daripada pemolisian untuk kesalahan keamanan dan membagi-bagikan hukuman.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

Hasilnya adalah wawasan langka tentang apa organisasi yang sukses benar-benar melakukan untuk membangun keamanan ke dalam perangkat lunak mereka, dan alat-alat di situs dapat diunduh secara gratis oleh organisasi yang berusaha untuk mengurangi risiko bisnis yang terkait dengan aplikasi yang tidak aman. Sebagai contoh, Kerangka Kerja Keamanan Perangkat Lunak (SSF), termasuk dalam BSIMM, adalah model keamanan yang dapat disesuaikan yang memungkinkan setiap organisasi untuk menilai perkembangan perangkat lunak mereka saat ini, untuk memprioritaskan perubahan, dan untuk mencatat kemajuan.

Model menggunakan lusin kategori untuk mengilustrasikan semua langkah antara pelatihan ke perangkat lunak pengujian setelah ada tertulis. Ada daftar kegiatan dalam setiap kategori yang dirancang untuk membantu membuat perangkat lunak perusahaan lebih aman. Kegiatan meminta perusahaan untuk memberikan contoh dari sejarahnya sendiri untuk mempersonalisasi poin.

Jika ini terdengar akrab, itu adalah. Musim panas lalu Mozilla mengumumkan proyek serupa yang diprakarsai oleh Window Snyder sebelum dia meninggalkan perusahaan. Di sana juga, praktik keamanan terbaik yang digunakan di Mozilla harus dimodelkan dan diajarkan kepada perusahaan lain. Proyek Mozilla Metrics saat ini sedang dijalankan oleh Rich Mogull.