Применение модели SecDevOps – решение по обеспечению информационной безопасности для организаций

29 ноября 2024 года представители MISA поделились практическим опытом построения культуры SecDevOps для повышения информационной безопасности организаций на семинаре «Узнайте больше о DevSecOps — технологиях и решениях по контролю безопасности», организованном BIDV Insurance - BIC.

В семинаре приняли участие ведущие специалисты в области информационных технологий и информационной безопасности. Со стороны MISA в мероприятии приняли участие г-н Нгуен Куанг Хоанг - директор по информационной безопасности, г-н Буй Дук Труонг - руководитель департамента информационной безопасности.

В рамках семинара г-н Буй Дук Труонг, руководитель отдела информационной безопасности MISA, представил модель SecDevOps, поделившись опытом применения SecDevOps к продуктам для поддержки организаций в повышении осведомленности об информационной безопасности.

Представитель MISA выступил на семинаре.

По данным Каталога распределения распространенных уязвимостей и рисков (CVE) компании Paloalto Network за период с ноября 2022 года по январь 2023 года, уязвимости часто появляются в приложениях из-за небезопасного программирования. Поэтому организациям необходимо интегрировать безопасность во весь процесс разработки программного продукта. В частности, по словам Джеймса Ратта из CIO Insight, применение модели SecDevOps к программному обеспечению позволяет ускорить процесс разработки продукта, сократив 40–50% уязвимостей в исходном коде.

Список распределения уязвимостей для CVE с ноября 2022 года по январь 2023 года.

SecDevOps — это модель разработки, которая объединяет безопасность, разработку и эксплуатацию, похожая на DevSecOps. Однако ключевое отличие заключается в том, что SecDevOps ставит безопасность во главу угла мышления каждого человека и на каждом этапе процесса разработки программного обеспечения. Кроме того, эта модель способствует формированию рабочего процесса и культуры «Единой команды», помогая людям тесно взаимодействовать друг с другом, обеспечивая приоритет безопасности на всех этапах.

Организациям необходимо применять SecDevOps, тесно взаимодействуя с тремя факторами: люди — процессы — технологии.

Чтобы эффективно применять модель SecDevOps, организациям необходимо тесно учитывать три фактора: людей, процессы и технологии. Что касается персонала, организациям необходимо повышать квалификацию своих команд по информационной безопасности, координировать команды по безопасности с командами DevOps, а также обеспечивать обучение программированию и безопасное развертывание. С точки зрения процесса организации могут применять модель «Безопасный жизненный цикл разработки программного обеспечения» (SSDLC) для разработки безопасного программного обеспечения. С точки зрения технологий организации могут использовать следующие методы и инструменты безопасности для обнаружения и устранения уязвимостей безопасности: статический анализ (SAST); Динамический анализ (DAST); Интерактивный анализ (IAST); Анализ состава программного обеспечения (SCA).

По словам г-на Труонга, программисты должны проходить обучение по вопросам безопасности и безопасного программирования, чтобы предотвратить появление уязвимостей на более поздних этапах процесса разработки программного обеспечения.

Являясь ведущим технологическим предприятием, предоставляющим программное обеспечение как услугу во Вьетнаме, и инициатором альянса CYSEEX, MISA стремится сопровождать организации во внедрении передовых решений безопасности, защищая данные и информационные системы от кибератак.

Источник: https://www.misa.vn/149771/secdevops-model-application-information-security-solution-for-organizations/