Introduksjon

Det overordnede innholdet og temaene som diskuteres på disse sidene er også støttende for prosjektledere, rådgivere og andre som skal følge opp sikkerhet i prosjekter.

Bouvet er sertifisert under ISO27001, som også stiller krav til sikkerhet i leveranser. Sjekklista vil gi deg et godt utgangspunkt for tiltak som dekker vanlige sikkerhetshull og hjelper til å sikre kvalitet i leveransen. Hvert av punktene i sjekklista dekkes av mer utfyllende informasjon slik at det skal være lett å komme igang uten forkunnskaper om et tema.

Målet er ikke at sikkerhet.bouvet.no skal dekke absolutt alt, men du skal sitte igjen med forslag til tiltak og et vokabular som hjelper deg videre. Alle tema som presenteres skal også peke videre på eksterne ressurser som kan gi enda mer informasjon.

For mange prosjekter kan en grundigere gjennomgang være nødvendig. Da vil vi anbefale OWASP ASVS.

Hva er en SSDLC?

SSDLC – Secure Software Development Lifecycle – er en utviklingslivssyklus der sikkerhet hører hjemme i hver fase, ikke som en kontroll til slutt. Fasene er de samme som i et hvilket som helst prosjekt: en planlegger, designer, utvikler, deployer og forvalter. Forskjellen er at hver fase også har sikkerhetsoppgaver knyttet til seg.

Grunnen til at det lønner seg er at de færreste alvorlige sikkerhetsproblemer oppstår i koden – de oppstår i beslutningene. En penetrasjonstest to uker før lansering finner symptomene på et designvalg som ble tatt lenge før, og da er det både dyrt og vanskelig å rette opp.

Kapitlene på disse sidene følger fasene, og hvert kapittel har sin egen introduksjon:

• Planlegg – Avklar ansvar, klassifiser data og sett krav til tilgjengelighet og gjenoppretting før arbeidet starter.
• Design – Gjør kravene om til arkitektur: trusselmodell, nettverk, segregering av miljø og tilgangsstyring.
• Utvikle – Skriv koden med OWASP Top 10 i bakhodet, håndter hemmeligheter forsvarlig og valider data som kommer utenfra.
• Deploye – Bygg et artefakt som kan verifiseres, og test løsningen før den settes i drift.
• Forvalte – Logg og monitorer, følg med på svakheter i avhengighetene, og vit hvem som gjør hva når noe skjer.

En SSDLC er ikke en port en passerer én gang. Fasene gjentas for hver endring av betydning, og et designvalg som var riktig ved oppstart kan være feil to år senere.

Omfanget bør stå i forhold til risikoen. Et internt verktøy uten personopplysninger trenger ikke den samme innsatsen som en løsning som behandler sensitive data for mange brukere – men begge bør ha vært gjennom en vurdering, slik at omfanget er et valg og ikke en forglemmelse.

Vil dere ha et mer formelt rammeverk å måle dere mot, er OWASP SAMM, NIST SSDF og Microsoft SDL gode steder å se.

Hvordan bruke sikkerhet.bouvet.no?

Du kan enten klikke deg inn å lese om et enkelt emne du er usikker på, eller ønsker tips rundt.
Eventuelt kan du og ditt team kan gå systematisk gjennom hvert kapittel og notere hva som er i orden og hva som bør utbedres i deres prosjekt.

Sjekklisten for sikkerhet kan brukes som et startpunkt for å vurdere prosjektets sikkerhet. Hvert punkt refererer videre til mer utfyllende informasjon. Den kan også lastes ned og implementeres som en del av kildekoden i ditt prosjektet.