Куда я попал?
AppSec Table Top: методология безопасной разработки от Positive Technologies
Framework
Периодический анализ и тестирование
Для проведения оценки соответствия по документу войдите в систему.
Список требований
-
Инициатива: Аудиты
Описание:
Аудит — это формализованный процесс проверки соответствия приложения установленным требованиям и стандартам. Он помогает оценить уровень безопасности, соответствие регуляторным требованиям, а также выявляет слабые места и риски.
Внутренний аудит позволяет провести глубокий анализ, так как аудиторы хорошо знают приложение и могут проверить не только соответствие внешним регуляторам, но и внутренним политикам и регламентам (ОРД).
Для стандартизации и ускорения процесса аудита рекомендуется разработать собственную методику проверки. Необходимо установить оптимальную периодичность аудитов для обеспечения регулярной оценки безопасности приложения. Аудит должен проводиться обязательно для всех приложений, входящих в границы тиражирования [SSDL4], чтобы обеспечить необходимый уровень безопасности для всех критических систем.
Шаги реализации:- Установить цели аудита (соответствие регуляторам, поиск уязвимостей) и определить область проверки (отдельные приложения, вся организация).
- Определить методику аудита (шаги проверки, инструменты, методы анализа).
- Сформировать группу аудиторов.
- Собрать необходимую документацию по области проверки.
- Провести аудит согласно установленной методике.
- Сформировать отчет о результатах аудита, включающий выявленные уязвимости, несоответствия требованиям и рекомендации.
- Внести необходимые изменения в приложение или процессы для устранения выявленных проблем.
- Установить частоту проведения аудитов.
- Разработать (или дополнить) специфичную методику аудита для ускорения и стандартизации процесса.
- Сделать аудит обязательным для всех приложений, входящих в границы тиражирования.
Зона ответственности: ИБ
Инструмент: -
Артефакт: Результаты аудита, Методика аудита -
Инициатива: Внутренние пентесты
Описание:
Пентесты (Penetration Testing) — это метод тестирования на проникновение, имитирующий атаки злоумышленника и позволяющий оценить защищенность приложения путем поиска и эксплуатации уязвимостей.
Цель пентеста — обнаружить в системе слабые места, которые могут привести к недопустимым событиям (несанкционированный доступ к данным, отказ в обслуживании, утечка конфиденциальной информации).
Проведение пентестов внутренними силами организации позволяет провести более глубокий анализ. Следует определить периодичность пентестов и сделать их обязательными для всех приложений, входящих в границы тиражирования [SSDL4]).
Шаги реализации:- Определить цели пентестов (оценка уровня безопасности, выявление уязвимостей, проверка эффективности мер безопасности) и обозначить область проверки.
- Создать методику проведения пентестов — шаги проверки, инструменты, методы анализа.
- Сформировать группу пентестеров.
- Провести пентесты согласно установленной методике.
- Сформировать отчет о результатах пентестов, включающий выявленные уязвимости, рекомендации по их устранению, а также оценку уровня безопасности приложения.
- Установить частоту проведения пентестов.
- Сделать пентест обязательным для всех приложений, входящих в границы тиражирования.
Зона ответственности: AppSec
Инструмент: Инструменты пентеста
Артефакт: Результаты пентеста -
Инициатива: Внешние аудиты
Описание:
Проведение внешнего аудита может качественно дополнить внутренние проверки безопасности [ISA2]. Привлечение независимых экспертов позволит сэкономить человеческие ресурсы и время, а также получить новый и непредвзятый взгляд на состояние защищенности приложения. Внешние специалисты зачастую обладают большей экспертизой в области аудита безопасности и могут использовать отличные от использующихся в компании методы/инструменты для проведения проверок, что повышает шансы на обнаружение скрытых уязвимостей.
Шаги реализации:- Установить цели аудита (соответствие регуляторам, поиск уязвимостей) и определить область проверки (отдельные приложения, вся организация).
- Выбрать подрядчика.
- Предоставить необходимую документацию об области проверки.
- Организовать аудит.
- Получить отчет о результатах аудита, включая выявленные уязвимости, несоответствия требованиям и рекомендации.
- Внести необходимые изменения в приложение или процессы для устранения выявленных проблем.
Зона ответственности: Организация
Инструмент: -
Артефакт: Результаты аудита -
Инициатива: Внешние пентесты
Описание:
Рекомендуется периодически проводить внешние пентесты с привлечением независимых специалистов в дополнение к внутренним исследованиям [ISA3]. Это позволит получить непредвзятый взгляд на безопасность приложения и использовать новые инструменты/методики для более глубокого анализа.
Шаги реализации:- Определить цели пентестов (оценка уровня безопасности, выявление уязвимостей, проверка эффективности мер безопасности) и обозначить область проверки.
- Найти подрядчика.
- Провести пентесты согласно методике.
- Получить отчет о результатах пентестов, включающий выявленные уязвимости, рекомендации по их устранению, а также оценку уровня безопасности приложения.
- Регулярно проводить такие пенстесты (особенно для наиболее критичных приложений).
Зона ответственности: ИБ/Организация
Инструмент: -
Артефакт: Результаты пентеста
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.