Nyt websted definerer bedste praksis for software-sikkerhed

Hvor mange sikkerhed officerer bør der være for hver software udvikler? Det viser sig, at svaret er en for hver 100. Denne og anden bedste software sikkerhed bedste praksis er nu en del af et fælles projekt mellem sikkerhedsleverandøren Fortify og sikkerhedskonsulentfirmaet Cigital.

Rettighedsbyggende sikkerhed i modenhed (BSIMM) Projektet er ikke beregnet til at være en "how to" eller endda en en størrelse passer til alle løsninger til at skrive sikker kode, ifølge Fortify. I stedet er BSIMM resultatet af samtaler omkring software sikkerhedspraksis, som Fortify og Cigital havde med virksomheder som Adobe, EMC, Google, Microsoft, QUALCOMM, Wells Fargo og Depository Trust & Clearing Corporation (DTCC).

I mange tilfælde Virksomhederne gjorde i princippet nogle af de samme ting. For eksempel har alle de interviewede organisationer en institutionaliseret sikkerhedstræningsprogram for programmerere, QA-ingeniører og projektledere. Hver af de ni virksomheder har en udpeget gruppe af software sikkerhedspersonale-en pr. Hundred hundrede softwareudviklere. Og alle de interviewede virksomheder lægger vægt på sikkerhedsuddannelse, tekniske ressourcer og vejledning i stedet for at politiere for sikkerhedsfejl og uddele straf.

[Yderligere læsning: Sådan fjerner du malware fra din Windows-pc]

Resultatet er sjældent indblik i hvad vellykkede organisationer gør faktisk for at opbygge sikkerhed i deres software, og værktøjerne på webstedet kan downloades gratis af organisationer, der søger at afbøde forretningsrisikoen forbundet med usikre applikationer. For eksempel er Software Security Framework (SSF), der er indeholdt i BSIMM, en tilpasningsdyktig sikkerhedsmodel, der gør det muligt for enhver organisation at vurdere deres nuværende tilstand af softwareudvikling, prioritere ændringer og at kortlægge fremskridt.

Modellen bruger en dusin kategorier for at illustrere alle trin mellem træning til testsoftware, efter at den er skrevet. Der er en liste over aktiviteter inden for hver kategori, der er designet til at gøre virksomhedens software mere sikker. Aktiviteterne beder virksomheden om at give eksempler fra sin egen historie for at tilpasse punkterne.

Hvis det lyder bekendt, er det. I sidste sommer annoncerede Mozilla et lignende projekt, der blev indledt af Window Snyder, inden hun forlod virksomheden. Også den bedste sikkerhedspraksis, der blev brugt på Mozilla, skulle modelleres og undervises til andre virksomheder. Mozilla Metrics-projektet ledes for tiden af ​​Rich Mogull.