V1.1.7 Secure Software Development Lifecycle

Requirement:

Verify availability of a secure coding checklist, security requirements, guideline, or policy to all developers and testers.

Explanation:

Требование определяет необходимость наличия:

• Secure coding checklist
• Security requirements
• Guidelines or Policies

1. Secure Coding Checklist:

Документированный набор лучших практик, стандартов написания кода и рекомендаций по безопасности, которым разработчики должны следовать в процессе разработки. В нем содержатся конкретные рекомендации по написанию кода для предотвращения таких распространенных уязвимостей, как SQL-injection, cross-site scripting (XSS) и проблемы аутентификации.

2. Security Requirements:

Требования безопасности указывают на конкретные функции безопасности, элементы контроля и рекомендации, которым должно соответствовать приложение. Эти требования определяются на основе оценки рисков, отраслевых стандартов, нормативных требований и политики безопасности организации.

3. Guidelines, or Policies:

Рекомендации или политики безопасности содержат высокоуровневые указания о том, как безопасность должна быть интегрирована в процесс разработки ПО. В этих документах рассматривается широкий ряд вопросов безопасности, включая защиту данных, контроль доступа, шифрование, аутентификацию и т.д.

Разработчикам и тестировщикам очень важно использовать в работе инструменты написания безопасного кода. Как минимум по следующим причинам:

• Consistency. Это способствует согласованности методов обеспечения безопасности в команде разработчиков, снижая риск возникновения уязвимостей из-за их непоследовательного применения.
• Education and Awareness. Разработчики и тестировщики могут обращаться к этим ресурсам, чтобы постоянно знакомиться с передовыми методами обеспечения безопасности и быть в курсе требований безопасности.
• Efficiency. Доступ к контрольному списку написания безопасного кода ускоряет процесс разработки, поскольку позволяет быстро найти информацию с рекомендациями по безопасной разработке.
• Compliance. Помогает обеспечить соответствие политикам безопасности организации, отраслевым стандартам и нормативным требованиям.

Remediation:

Чтобы выполнить это требование и сделать secure coding checklist, security requirements, guidelines, policies доступными для разработчиков и тестировщиков, необходимо выполнять следующие действия:

1. Document Security Resources:

Создать или собрать в единый комплект secure coding checklist, security requirements, guidelines, policies, относящиеся к вашей среде разработки и технологиям.

2. Centralized Repository:

Создайте единый и доступный репозиторий или платформу для документирования (например, wiki, knowledge base или веб-сайт документации), где будут храниться эти ресурсы.

3. Access Permissions:

Убедитесь, что все разработчики и тестировщики имеют соответствующие разрешения на доступ к репозиторию или платформе.

4. Integration into SDLC:

Интегрируйте ссылки на эти ресурсы в документацию, процессы и рабочие процессы SDLC вашей организации. Сделайте ссылки на эти ресурсы частью практики разработки и тестирования.

5. Training and Awareness:

Проводите обучение разработчиков и тестировщиков по использованию этих ресурсов.

6. Regular Updates:

Регулярно обновляйте secure coding checklist, security requirements, guidelines, policies, отражающие последние угрозы безопасности и лучшие практики.

7. Communication:

Проинформируйте разработчиков и тестировщиков о наличие этих ресурсов.

Additional: