ብዙ ድርጅቶች ደህንነቱ የተጠበቀ የሶፍትዌር ልማት ልምዶችን ለመገንባት እና ለማቆየት በ ISO27001 ላይ ይተማመናሉ። standard የሶፍትዌር ልማት የህይወት ዑደትን ለማጠናከር የተነደፉ የተወሰኑ መቆጣጠሪያዎችን ይዘረዝራል (SDLC) ይህ ሰነድ Xygeni ድርጅቶች እነዚህን መቆጣጠሪያዎች እንዴት ተግባራዊ እንዲያደርጉ እና ከመተግበሪያ ደህንነት (AppSec) እይታ አንጻር ተገዢነትን እንዲያሳዩ እንዴት እንደሚረዳ ያሳያል። እንዲሁም ተጨማሪ መሳሪያዎች ወይም ሂደቶች የት እንደሚያስፈልጉ በመጥቀስ የተለመዱ የኦዲት ማስረጃዎችን ከXygeni ችሎታዎች ጋር ያዛምዳል።
የ ISO27001 አባሪ ኤ መቆጣጠሪያዎች አጠቃላይ እይታ ለ AppSec
ISO27001 አባሪ ሀ ለሶፍትዌር ልማት እና ለአፕሊኬሽን ደህንነት የተወሰኑ መቆጣጠሪያዎችን ይገልፃል። እነዚህ መቆጣጠሪያዎች ድርጅቶች ስርዓቶችን ከድክመቶች እና ስጋቶች ለመጠበቅ በልማት የህይወት ዑደቱ ውስጥ የደህንነት እርምጃዎችን እንዲያዋህዱ ይጠይቃሉ። ከዚህ በታች ከመተግበሪያ ደህንነት ጋር በጣም ተዛማጅነት ያላቸውን የአባሪ ሀ መቆጣጠሪያዎች ማጠቃለያ ነው፡
- A.8.25 ደህንነቱ የተጠበቀ የእድገት የህይወት ዑደት (SDLC): የሶፍትዌር ልማት ደረጃዎች በሙሉ ከመጀመሪያው ዲዛይን እስከ ልቀቱ ድረስ የደህንነት ልምዶችን ማካተትን ማረጋገጥ።
- ሀ.8.26 የማመልከቻ ደህንነት መስፈርቶች፡ የደህንነት መስፈርቶችን በግልጽ ይግለጹ እና በሶፍትዌር ልማት ሂደቶች ውስጥ ያካትቱ።
- A.8.27 ደህንነቱ የተጠበቀ የስርዓት አርክቴክቸር እና ምህንድስና፡ በሥነ ሕንፃ እና በስርዓት ምህንድስና ልምዶች ውስጥ በዲዛይን የደህንነትን ተግባራዊ ማድረግ።
- ሀ.8.28 ደህንነቱ የተጠበቀ ኮድ፡ ደህንነቱ የተጠበቀ የኮድ መመሪያዎችን መተግበር እና ደህንነቱ ያልተጠበቀ የኮድ አሠራሮችን በስርዓት መለየት እና መቀነስ።
- ሀ.8.29 የደህንነት ሙከራ እና ተቀባይነት፡ ተጋላጭነቶችን ቀደም ብለው ለማግኘት እና ለማስተካከል በልማት ጊዜ ሁሉ እና ከመልቀቂያው በፊት የደህንነት ምርመራ ያድርጉ።
- ሀ.8.30 የውጭ ምንጭ ልማት፡ ከውጭ ከሚመጡ ቡድኖች ወይም ከሶስተኛ ወገን ገንቢዎች ጋር ሲሰሩ የደህንነት ስጋቶችን መቆጣጠር እና መቆጣጠር።
- ሀ.8.31 የልማት፣ የሙከራ እና የምርት መለያየት፡ የተለያዩትን ለይ SDLC የስርዓት ታማኝነትን ለመጠበቅ አካባቢዎች።
- ሀ.8.32 ደህንነቱ የተጠበቀ የኮድ መመሪያዎች፡ ደህንነቱ የተጠበቀ ኮድ መፍጠር standardእና የልማት ቡድኖቹ በተከታታይ ተግባራዊ ማድረጋቸውን ያረጋግጡ።
- ሀ.8.33 በሶፍትዌር አቅርቦት ሰንሰለት ውስጥ ደህንነት፡ የሶስተኛ ወገን ሶፍትዌር ክፍሎች እና ጥገኞች የደህንነት አደጋዎችን ያቀናብሩ።
- A.8.34 የምንጭ ኮድ መዳረሻ ቁጥጥር፡ ያልተፈቀደ ለውጥ ወይም መፍሰስን ለመገደብ “ዝቅተኛ ፕራይቬሌጅ”ን ይጠቀሙ።
- ሀ.8.35 ደህንነቱ የተጠበቀ የሶፍትዌር ልቀት፡ የተፈተኑ እና ደህንነታቸው የተጠበቁ የሶፍትዌር ስሪቶች ብቻ ወደ ምርት ይሄዳሉ።
- ሀ.8.36 በሙከራ ወቅት የመረጃ ደህንነት፡ በሶፍትዌር ሙከራ እንቅስቃሴዎች ወቅት ሚስጥራዊ መረጃዎችን መጠበቅ።
የ ISO27001 መቆጣጠሪያዎችን ከ Xygeni አቅም ጋር ማዛመድ
| ISO27001 አባሪ ኤ መቆጣጠሪያ | መግለጫ | የXygeni ድጋፍ ለAppSec |
|---|---|---|
| A.8.25 ደህንነቱ የተጠበቀ የእድገት የህይወት ዑደት (SDLC) | የተዋቀረን ይተግብሩ SDLCሁሉም ደረጃዎች ደህንነትን እንደሚመለከቱ ማረጋገጥ። | ✅ ሙሉ ሽፋን፡ SAST, SCA, ሚስጥራዊ ምርመራ፣ ያልተለመደ ምርመራ፣ IaC Security በሁሉም ላይ የተዋሃደ SDLC. |
| A.8.26 የመተግበሪያ ደህንነት መስፈርቶች | የደህንነት መስፈርቶችን በመተግበሪያዎች ውስጥ ይግለጹ እና ያካትቱ። | ✅ የሚደገፍ፦ SAST ና IaC security ቅኝቶች የደህንነት መስፈርቶችን ያረጋግጣሉ፤ SBOM የሶስተኛ ወገን ተገዢነትን ያረጋግጣል። |
| A.8.27 ደህንነቱ የተጠበቀ የስርዓት አርክቴክቸር እና ምህንድስና | የደህንነት መርሆችን በስርዓት ዲዛይን እና ምህንድስና ውስጥ ይተግብሩ። | ✅ የሚደገፍ፦ ደህንነቱ የተጠበቀ ኮድ መመሪያዎች በ SAST, IaC የተሳሳተ የውቅር ማወቂያ እና ለዲዛይን ማረጋገጫ የአኖማሊ ማወቂያ። |
| A.8.28 ደህንነቱ የተጠበቀ ኮድ | ደህንነቱ የተጠበቀ የኮድ አሠራሮችን ተግባራዊ ማድረግ እና የኮድ ጥራትን ማረጋገጥ። | ✅ የሚደገፍ፦ SAST ደህንነቱ ያልተጠበቀ የኮድ አሠራሮችን እና ተጋላጭነቶችን ቀደም ብሎ ያገኛል፤ በAI የሚመራ ራስ-ሰር ማስተካከያ ደህንነቱ የተጠበቀ የኮድ ጥገናዎችን ያፋጥናል። |
| A.8.29 የደህንነት ሙከራ እና ተቀባይነት | በልማት እና ተቀባይነት ደረጃዎች ወቅት የደህንነት ምርመራ ያካሂዱ። | ✅ የሚደገፍ፦ የተቀናበሩ SAST, SCA, ሚስጥራዊ ቅኝት፣ የማልዌር ምርመራ እና የአኖማሊ ምርመራ ለ CI/CD pipelines. |
| A.8.30 በውጭ የተገኘ ልማት | በውጭ ሀብት ልማት እና በሶስተኛ ወገን ኮንትራቶች ውስጥ ደህንነትን ይፍቱ። | ✅ ከፊል፦ SCA የሶስተኛ ወገን ክፍሎችን ያረጋግጣል፤ SBOM እና VDR የሶስተኛ ወገን የአደጋ ታይነትን ይደግፋል ነገር ግን የውል አስተዳደርን አይደግፍም። |
| A.8.31 የዴቭ፣ የቴስት እና የፕሮ መለያየት | አደጋዎችን ለመቀነስ የልማት፣ የሙከራ እና የምርት አካባቢዎችን ለይ። | ❌ በቀጥታ አይደለም፡ የአካባቢ መለያየት ከAppSec tooling ውጭ የሂደት/ኢንፍራሬድ ኃላፊነት ነው። |
| ሀ.8.32 ደህንነቱ የተጠበቀ የኮድ መመሪያዎች | ለልማት ቡድኖች ደህንነቱ የተጠበቀ የኮድ መመሪያዎችን ይግለጹ እና ይተግብሩ። | ✅ የሚደገፍ፦ SAST ደንቦች እና የፖሊሲ አፈፃፀም፤ ሚስጥራዊነት መለየት ምርጥ ልምዶችን ያዋህዳል። |
| ሀ.8.33 በሶፍትዌር አቅርቦት ሰንሰለት ውስጥ ደህንነት | የሶፍትዌር አቅርቦት ሰንሰለቶችን ከድክመቶች እና ከተንኮል አዘል ኮድ ይጠብቁ። | ✅ ሙሉ ሽፋን፡ SCA, ቀደምት የማልዌር ምርመራ፣ SBOM ማመንጨት፣ የጥገኝነት ፋየርዎል እና የአኖማሊ ምርመራ። |
| A.8.34 የምንጭ ኮድ መዳረሻ መቆጣጠሪያ | የምንጭ ኮድ ማከማቻዎችን መቆጣጠር እና መድረሻን መገደብ። | ✅ ከፊል፦ የአኖማሊ ምርመራ የማከማቻ መዳረሻ ያልተለመዱ ነገሮችን ይቆጣጠራል፣ ነገር ግን የተሟላ የመዳረሻ መቆጣጠሪያ ከወሰን ውጭ ነው። |
| A.8.35 ደህንነቱ የተጠበቀ የሶፍትዌር ልቀት | ደህንነቱ በተጠበቀ ሁኔታ የዳበረ እና የተፈተነ ሶፍትዌር ብቻ መለቀቁን ያረጋግጡ። | ✅ የሚደገፍ፦ ታማኝነትን በ guardrails የፖሊሲ ተገዢነትን ማስፈጸም፤ በራስ-ሰር የተጋላጭነት እገዳ እና የግንባታ ሰበር ችሎታዎች ደህንነታቸው ያልተጠበቁ ልቀቶችን ይከላከላሉ። |
| ሀ.8.36 በሙከራ ወቅት የመረጃ ደህንነት | በሙከራ እንቅስቃሴዎች ወቅት ሚስጥራዊ መረጃዎችን ይጠብቁ። | ❌ በቀጥታ አይደለም፡ በሙከራ ጊዜ ሚስጥራዊ የውሂብ ጭምብል ማድረግ ከ Xygeni AppSec ባህሪያት ውጭ ነው። |
የተለመደው የኦዲት ማስረጃ ከ Xygeni-የተደገፈ የማመልከቻ ደህንነት ማስረጃ ጋር ሲነጻጸር
| ISO27001 አባሪ ኤ መቆጣጠሪያ | የተለመደው የኦዲት ማስረጃ | በኤክሲጂኒ የተደገፈ ማስረጃ |
|---|---|---|
| A.8.25 ደህንነቱ የተጠበቀ የእድገት የህይወት ዑደት (SDLC) |
|
|
| A.8.26 የመተግበሪያ ደህንነት መስፈርቶች |
|
|
| A.8.27 ደህንነቱ የተጠበቀ የስርዓት አርክቴክቸር እና ምህንድስና |
|
|
| A.8.28 ደህንነቱ የተጠበቀ ኮድ |
|
|
| A.8.29 የደህንነት ሙከራ እና ተቀባይነት |
|
|
| A.8.30 በውጭ የተገኘ ልማት |
|
|
| A.8.31 የዴቭ፣ የቴስት እና የፕሮ መለያየት |
| ❌ አይደገፍም፦ የውጭ መሠረተ ልማት እና የሂደት ማስረጃዎችን ይፈልጋል። |
| ሀ.8.32 ደህንነቱ የተጠበቀ የኮድ መመሪያዎች |
|
|
| ሀ.8.33 በሶፍትዌር አቅርቦት ሰንሰለት ውስጥ ደህንነት |
|
|
| A.8.34 የምንጭ ኮድ መዳረሻ መቆጣጠሪያ |
|
|
| A.8.35 ደህንነቱ የተጠበቀ የሶፍትዌር ልቀት |
|
|
| ሀ.8.36 በሙከራ ወቅት የመረጃ ደህንነት |
| ከፊል ድጋፍ፦ በመተግበሪያ ኮድ እና ውቅር ውስጥ ከሚስጥር መፍሰስ ጥበቃ። መመርመሪያዎች ለሌሎች መረጃዎች ሊበጁ ይችላሉ። |
የXygeni ችሎታዎች ዝርዝር ማብራሪያ
የXygeni መድረክ ከ ISO27001 መቆጣጠሪያዎች ጋር በጥብቅ የሚጣጣሙ አጠቃላይ የመተግበሪያ ደህንነት ችሎታዎችን ያዋህዳል። SDLC ተግባራዊ ማድረግ፣ ሙሉ ተገዢነትን እና የአእምሮ ሰላምን ማረጋገጥ።
- የማይንቀሳቀስ የመተግበሪያ ደህንነት ሙከራ (SAST): Xygeni ኢምቤድስ SAST የኮድ ደረጃ ተጋላጭነቶችን ቀደም ብሎ ለመለየት ወደ ልማት የስራ ፍሰቶች ውስጥ ይግቡ። ይህ ቅድመ ጥንቃቄ የተሞላበት አካሄድ ገንቢዎች ቁጥጥር ስር መሆናቸውን ያረጋግጣል፣ አስተማማኝ ያልሆኑ የኮድ አሠራሮችን ዋና ዋና ችግሮች ከመሆናቸው በፊት ያስተካክላል።
- የሶፍትዌር ቅንብር ትንተና (SCA): የክፍት ምንጭ ክፍሎችን ቀጣይነት ያለው ክትትል ተጋላጭነቶች እና የፈቃድ አደጋዎች መገኘታቸውን እና መቀነሳቸውን ያረጋግጣል፣ ይህም ይደግፋል SBOM የአቅርቦት ሰንሰለት ደህንነት መስፈርቶችን ማመንጨት እና ማክበር።
- የምስጢር ምርመራ፡ Xygeni በራስ-ሰር ማከማቻዎችን ይቃኛል እና pipelineእንደ ኤፒአይ ቁልፎች እና ምስክርነቶች ያሉ በርካታ ሚስጥራዊ መረጃዎች እንዳይፈሱ ለመከላከል።
- መሠረተ ልማት እንደ ኮድ (IaC) ደህንነት፡ የተሳሳቱ ውቅሮችን መጀመሪያ ላይ ይፈልጉ እና ያስተካክሉ IaC እንደ Terraform፣ Kubernetes እና CloudFormation ያሉ አብነቶች መሠረተ ልማቱን ከጅምሩ ለማጠናከር።
- ያልተለመደ ማወቂያ፡ ተቆጣጠር CI/CD pipelineአጠራጣሪ እንቅስቃሴን ወይም ያልተፈቀዱ ለውጦችን ለመለየት፣ ለቡድኖች የተሻለ ታይነት እና የምንጭ ኮድን ለመጠበቅ በእውነተኛ ጊዜ s እና ማከማቻዎች።
- የፖሊሲ ማስፈጸሚያ እና Guardrails: የደህንነት ፖሊሲዎችን በቀጥታ በ ውስጥ ይተግብሩ pipeline ደህንነትን የማያሟሉ ግንባታዎችን በራስ-ሰር ለማገድ ወይም ለመጠቆም standardዎች፣ የተለቀቁትን ደህንነቱ በተጠበቀ ሁኔታ መጠበቅ።
- ቀደምት የማልዌር ፈልጎ ማግኘት: የተጎዱ ጥገኝነቶችን ለመከላከል፣ ወደ ፕሮጀክቱ እንደተጨመሩ ክፍት ምንጭ ክፍሎችን ለተንኮል አዘል ዌር ይቃኙ።
- SBOM እና የVDR ትውልድ፡ የሶፍትዌር ቁሳቁሶች ሂሳብ በራስ-ሰር ያመነጩ (SBOMs) እና የተጋላጭነት ይፋ ማድረጊያ ሪፖርቶች (VDRs) ታይነትን ለመጠበቅ እና የሶስተኛ ወገን አደጋዎችን ለማስተዳደር።
- ቅድሚያ የሚሰጣቸው ፈንገሶች፡ የደህንነት ጉዳዮችን ተደራሽነት እና ብዝበዛን መሰረት በማድረግ ለይተው ቅድሚያ ይስጡ፣ ቡድኖች በጣም አስፈላጊ በሆኑ አደጋዎች ላይ እንዲያተኩሩ ያግዛሉ።
እነዚህ ችሎታዎች፣ ከሚከተሉት ጋር የተዋሃዱ ናቸው CI/CD pipelineየልማት እና የልማት የስራ ፍሰቶች፣ ድርጅቶች የ ISO27001 AppSec መስፈርቶችን ለማሟላት የሚያስፈልጉትን ማስረጃ እና ማረጋገጫ ይሰጣሉ።
መደምደሚያ እና ቀጣይ ደረጃዎች
ዚጌኒ ድርጅቶች በእያንዳንዱ የሶፍትዌር ልማት የህይወት ዑደት ውስጥ ደህንነትን በማጠናከር የ ISO27001 መስፈርቶችን እንዲያሟሉ ይረዳል (SDLC) ደረጃ። በ Xygeni፣ ቡድኖች የመተግበሪያ ደህንነት አደጋዎች ከመባባሳቸው በፊት መለየት፣ ቅድሚያ መስጠት እና ማስተካከል ይችላሉ።
የXygeni ቁልፍ ጥቅሞች ለ ISO27001 ተገዢነት፡
- የተሳለጠ የደህንነት ሙከራ እና የተጋላጭነት አስተዳደር በኩል SAST, SCAእና የምስጢር ምርመራ።
- በክፍት ምንጭ ጥገኞች ውስጥ ቀደምት የአደጋ መለየት ከማልዌር ቅኝት ጋር እና SBOM ትውልድ.
- አውቶሜትድ ፖሊሲ ማስፈጸሚያ የማይጣጣሙ ግንባታዎችን ለማገድ፣ ደህንነቱ የተጠበቀ የመልቀቂያ ሂደቶችን ለማረጋገጥ።
- ቀጣይነት ያለው ክትትል CI/CD አካባቢ ያልተለመዱ ነገሮችን ለመለየት እና ምላሽ ለመስጠት።
- የተሻሻለ ታይነት እና የመከታተል ችሎታ በዝርዝር የኦዲት ምዝግብ ማስታወሻዎች እና የደህንነት ሪፖርቶች አማካኝነት።
- ከነባር የልማት የስራ ፍሰቶች ጋር ውህደት መስተጓጎልን ይቀንሳል እና ደህንነቱ የተጠበቀ የልማት ልምዶችን ያበረታታል።
የXygeni መተግበሪያን በመጠቀም የAppSec ተገዢነት ፕሮግራምን ለመጀመር ወይም ለማሻሻል የሚረዱ ምክሮች፡
- የአሁኑን የብስለት መጠን መገምገም፦ ደህንነትዎን ይገምግሙ SDLC ከ ISO27001 አባሪ ሀ መቆጣጠሪያዎች ጋር የተያያዙ ክፍተቶችን ይለማመዳሉ እና ይለያሉ።
- Xygeniን በመላው ያሰራጩ SDLC: የደህንነት ሽፋን እና የኦዲት አቅምን ከፍ ለማድረግ የXygeniን መድረክ በልማት የህይወት ዑደት መጀመሪያ ላይ ያዋህዱ።
- የደህንነት ፖሊሲዎችን ይግለጹ፡ ከ ISO27001 መቆጣጠሪያዎች ጋር የተጣጣሙ ግልጽ የደህንነት ፖሊሲዎችን ማዘጋጀት እና የXygeni'sን በመጠቀም ማስፈጸም guardrails.
- ክትትል እና ግምገማ፡- የXygeni የእውነተኛ ጊዜ ክትትል እና ያልተለመደ የማወቅ ችሎታዎች የደህንነት አቀማመጥን ያለማቋረጥ ይገመግማሉ።
- ቅድሚያ መስጠት እና ማስተካከል፦ የXygeni ቅድሚያ የሚሰጣቸው ፈንገሶች የማረም ጥረቶችን በጣም ወሳኝ በሆኑ አደጋዎች ላይ ያተኩራሉ።
- ለኦዲት ዝግጅት ያድርጉ፦ የኦዲት መንገዶችን በየጊዜው መከታተል እና መገምገም፣ SBOMቀጣይነት ያለው ተገዢነትን ለማሳየት በXygeni የተፈጠሩ የደህንነት ሪፖርቶች እና።
