בואו נתכנן את הצעד הבא באבטחת הארגון
השאירו פרטים לשיחה
ייעוץ אבטחת מידע ורגולציה / ייעוץ לפיתוח מאובטח
ייעוץ לפיתוח מאובטח משלב אבטחה בהחלטות מוצר, ארכיטקטורה וקוד לאורך מחזור החיים. מזהים הנחות מסוכנות מוקדם, מגדירים דרישות שאפשר לבדוק ומקטינים חזרה של חולשות. הליווי מותאם לקצב השחרור ולכלים של הצוות, ומשלב תכנון, בדיקות וטיפול בממצאים.
מידע, תהליכים וגבולות אמון
ממפים מידע, גישה ותהליכים קריטיים. מגדירים גבולות אמון בין דפדפן, שירותים, ספקים ומאגרים. הפרדת לקוחות וזהויות נבחנת בזמן התכנון. דרישה טובה מתארת התנהגות בדיקה, כגון אכיפת בעלות על משאב בשרת. אמירה כללית שהמערכת מאובטחת אינה דרישה. המוצר והפיתוח צריכים להסכים על ההנחות כדי למנוע פער בין הכוונה ליישום.
מודל איומים ממוקד
בוחנים מה עלול להשתבש בתכנון ומה יקטין סיכון. משתמשים בתרשים ובתרחישים, ואפשר להתמקד בזרימה חדשה או פעולה רגישה. לכל תרחיש מציינים נכס, תנאי גישה, השפעה ובקרה. קובעים מי מחליט על סיכון שנותר. מעדכנים את המודל בעקבות שינוי משמעותי. התהליך מסייע לתעדף בדיקות ולהסביר מדוע דרישה נחוצה.
סקירות וכלי סריקה
סקירת קוד וסריקות מזהות סוגים שונים של בעיות. משלבים בדיקת קוד, תלויות וסודות בלי ליצור התראות שאין יכולת לטפל בהן. אין כלי יחיד שמבין את כל הלוגיקה העסקית. מגדירים מי בוחן ממצא ומתי הוא חוסם שחרור. מתחילים מכיסוי חשוב ומרחיבים לפי תוצאות. חריגים מתועדים ומוגבלים כדי שלא יהפכו לעקיפה קבועה.
תלויות ושרשרת אספקה
מתייחסים גם לרכיבים שלא נכתבו בצוות. מנהלים תלויות, מקורות חבילות ועדכונים, ומגבילים גישה לבנייה ולשחרור. צריך לדעת מה נכנס לגרסה ומה עושים כשמתפרסמת חולשה. בדיקות רגרסיה מסייעות לשמור תיקוני אבטחה. מבדק חדירה מוסיף בחינה טכנית מוסכמת, אך אינו מחליף שגרה. עומק הבדיקה מותאם לרגישות ולשינוי.
שורש הבעיה ולמידה
דפוס חוזר עשוי לדרוש מנגנון מרכזי והנחיה לצוות. תיקון במסך אחד יכול להשאיר אותה בעיה בממשק אחר. משתמשים בממצא לעדכון תכנון ולבדיקה אוטומטית. הדרכה מתחברת לטכנולוגיה ולדוגמאות בטוחות. מובילי אבטחה בפיתוח צריכים זמן וסמכות. מדידת חזרת ממצאים וזמן טיפול מועילה יותר מספירת כלים.
תוצרים ותיחום
אפשר לתחום סקירת ארכיטקטורה, מודל איומים או תהליך רחב. התוצרים יכולים לכלול דרישות, תרשים אמון, המלצות ותוכנית בדיקות. לכל המלצה מגדירים בעלים ואימות. מסגרת NIST SSDF מספקת שפה לשילוב פרקטיקות במחזור הפיתוח; אינה הבטחת חסינות. מציינים מגבלות ומעבירים ידע כדי שהצוות יוכל לתחזק את ההחלטות.
מה להכין לשיחת תיחום?
כדאי להכין תיאור של השירותים והמערכות המרכזיות, אנשי קשר, דרישות לקוחות ומועדי יעד. מסמכים וממצאים קודמים יכולים לסייע, אך אין צורך לשלוח סיסמאות, מידע לקוחות או פרטי מערכת רגישים בפנייה הראשונית. לאחר הגדרת ההיקף מסכימים על ערוצי העברה והרשאות לפי צורך. חשוב לזהות מי מאשר החלטות ומי מסוגל לבצע שינויים, כדי שתוכנית העבודה תתאים לזמינות ולמשאבים של הארגון.
מהתוצר לתוכנית שאפשר לתחזק
לכל פעולה מגדירים אחראי, תלות, מועד ותנאי סגירה. מבחינים בין מסמך שנכתב לבין שינוי שהוטמע ונבדק. אם אי אפשר להשלים פעולה בזמן, מתעדים את הסיבה ואת ההחלטה לגבי הסיכון שנותר. בישיבות מעקב בוחנים גם שינוי בפעילות, ולא רק אחוז השלמת משימות. בסיום הליווי מסדירים מקום לשמירת התוצרים, העברת ידע והמשך עדכון. המטרה היא שהארגון יוכל להשתמש בהחלטות גם לאחר סיום הפרויקט.
מקור מקצועי: NIST SP 800-218 — SSDF. תיאור זה הוא הסבר כללי ואינו מחליף את נוסח המסגרת ואת התיחום המקצועי.
תחומים משלימים
שאלות נפוצות
מתי כדאי להתחיל?
בדרישות ובתכנון. אפשר להתחיל גם במוצר קיים באמצעות מיפוי ועדיפות לשיפורים.
האם סריקת קוד מספיקה?
לא. תכנון, הרשאות, לוגיקה עסקית ובדיקות משלימות נדרשים לפי הסיכון.
מהו מודל איומים?
תהליך להבנת תרחישי כשל בתכנון והבקרות והבדיקות שיטפלו בהם.
האם כלול מבדק חדירה?
רק אם הוגדר בהיקף. מפרידים בין סקירת תכנון, קוד ובדיקה פעילה.
איך משלבים בלי לעצור שחרורים?
מגדירים כללים לפי סיכון, אחריות וחריגים מוגבלים, ומתעדפים בדיקות ותיקונים.
מה מקבלים?
דרישות, מודל איומים, המלצות או תוכנית בדיקות לפי ההיקף, עם העברת ידע ואימות.
נגדיר יחד תוכנית שמתאימה לארגון
לתמונה הרחבה עברו אל ייעוץ אבטחת מידע של ExploiX. צרו קשר לשיחת תיחום עם תיאור קצר של המטרה והפעילות.