V1.1.4 Secure Software Development Lifecycle

Requirement:

Verify documentation and justification of all the application's trust boundaries, components, and significant data flows.

Explanation:

Данное требование определяет необходимость структурированного подхода к разработке безопасного приложений. Это включает в себя документирование и обоснование решений, связанных с границами доверия, компонентами и значимыми потоками данных в приложении. Такая документация не только помогает поддерживать безопасность приложения, но и помогает при проведении аудитов, оценок и на будущих этапах разработки.

Remediation:

Чтобы выполнить требование создайте Data Flow Diagram (DFD) с описанием границ доверия, компонентов и значимых потоков данных в приложении.

1. Documentation and Justification: Проанализируйте архитектуру и дизайн приложения с целью выявления границ доверия, компонентов и значимых потоков данных. Создайте исчерпывающую документацию, в которой четко описаны эти элементы. Включите в нее информацию о причинах установления определенных границ доверия, назначении каждого компонента и причинах выбора конкретных потоков данных.

2. Trust Boundaries: Необходимо указать те области приложения, в которых существуют границы доверия. Это могут быть интерфейсы, через которые приложение взаимодействует с внешними системами, API сторонних разработчиков, пользовательские данные и т.д.

3. Components: Необходимо задокументировать различные компоненты, используемые в приложении, включая библиотеки сторонних разработчиков, фреймворки, базы данных и внутренние модули. Регулярно обновляйте компоненты до последних безопасных версий.

4. Significant Data Flows: Определите значимые потоки данных в приложении, особенно те, которые связаны с конфиденциальными или критическими данными.

5. Regular Review and Update: Внедрите процесс регулярного пересмотра и обновления документации. По мере развития приложения убедитесь, что изменения в границах доверия, компонентах и потоках данных отражены в документации. Регулярно пересматривайте обоснование выбранных решений в свете новых знаний в области безопасности.

Сформированная диаграмма DFD Level-1 (Уровень процессов), подлежит верификации и согласованию c:

• Information Security Team Lead
• Infrastructure Team Lead

Additional: