Wiele organizacji opiera się na normie ISO 27001 w celu tworzenia i utrzymywania bezpiecznych praktyk rozwoju oprogramowania. Załącznik A standard przedstawia szczegółowe kontrole mające na celu wzmocnienie cyklu życia oprogramowania (SDLC). Niniejszy dokument pokazuje, jak Xygeni pomaga organizacjom stosować te mechanizmy kontroli i demonstrować zgodność z perspektywą bezpieczeństwa aplikacji (AppSec). Zawiera on również mapowanie typowych dowodów audytowych na możliwości Xygeni, wskazując, gdzie mogą być potrzebne dodatkowe narzędzia lub procesy.
Przegląd elementów sterujących załącznika A normy ISO27001 dla AppSec
Załącznik A do normy ISO27001 definiuje szczegółowe mechanizmy kontroli rozwoju oprogramowania i bezpieczeństwa aplikacji. Mechanizmy te wymagają od organizacji integracji środków bezpieczeństwa w całym cyklu rozwoju oprogramowania, aby chronić systemy przed lukami w zabezpieczeniach i zagrożeniami. Poniżej znajduje się podsumowanie mechanizmów kontroli z Załącznika A, które są najbardziej istotne dla bezpieczeństwa aplikacji:
- A.8.25 Bezpieczny cykl życia rozwoju (SDLC): Dbamy o to, aby na każdym etapie tworzenia oprogramowania, od projektu początkowego do wydania, przestrzegane były praktyki bezpieczeństwa.
- A.8.26 Wymagania bezpieczeństwa aplikacji: Jasno zdefiniuj i uwzględnij wymagania bezpieczeństwa w procesach tworzenia oprogramowania.
- A.8.27 Bezpieczna architektura i inżynieria systemu: Wdrażanie zasad bezpieczeństwa w projektowaniu architektury i inżynierii systemów.
- A.8.28 Bezpieczne kodowanie: Wdrażanie wytycznych dotyczących bezpiecznego kodowania oraz systematyczne identyfikowanie i łagodzenie niebezpiecznych praktyk kodowania.
- A.8.29 Testowanie i akceptacja zabezpieczeń: Przeprowadzaj testy bezpieczeństwa na każdym etapie rozwoju oprogramowania i przed jego udostępnieniem, aby jak najszybciej wykryć i naprawić luki w zabezpieczeniach.
- A.8.30 Rozwój zlecony na zewnątrz: Nadzoruj i kontroluj zagrożenia bezpieczeństwa podczas współpracy z zespołami zewnętrznymi lub zewnętrznymi programistami.
- A.8.31 Rozdzielenie rozwoju, testów i produkcji: Wyizoluj różne SDLC środowiska w celu ochrony integralności systemu.
- A.8.32 Wytyczne dotyczące bezpiecznego kodowania: Opracuj bezpieczne kodowanie standardi zapewnić, że zespoły programistyczne stosują je konsekwentnie.
- A.8.33 Bezpieczeństwo w łańcuchu dostaw oprogramowania: Zarządzaj ryzykiem bezpieczeństwa dla komponentów oprogramowania innych firm i zależności.
- A.8.34 Kontrola dostępu do kodu źródłowego: Zastosuj „najmniejsze uprawnienia”, aby ograniczyć nieautoryzowane zmiany lub wycieki.
- A.8.35 Bezpieczne udostępnianie oprogramowania: Do produkcji trafiają wyłącznie przetestowane i bezpieczne wersje oprogramowania.
- A.8.36 Bezpieczeństwo informacji podczas testowania: Ochrona poufnych danych podczas testowania oprogramowania.
Mapowanie kontroli ISO27001 na możliwości Xygeni
| ISO27001 Załącznik A Kontrola | OPIS | Wsparcie Xygeni dla AppSec |
|---|---|---|
| A.8.25 Bezpieczny cykl życia rozwoju (SDLC) | Wdrażaj ustrukturyzowany SDLC, zapewniając bezpieczeństwo na każdym etapie. | ✅ Pełne pokrycie: SAST, SCAWykrywanie sekretów, wykrywanie anomalii, IaC Security zintegrowane w poprzek SDLC. |
| A.8.26 Wymagania dotyczące bezpieczeństwa aplikacji | Zdefiniuj i wbuduj wymagania bezpieczeństwa w aplikacje. | ✅ Obsługiwane: SAST oraz IaC security skanowanie weryfikuje wymagania bezpieczeństwa; SBOM zapewnia zgodność z wymogami stron trzecich. |
| A.8.27 Bezpieczna architektura i inżynieria systemu | Stosować zasady bezpieczeństwa w projektowaniu i inżynierii systemów. | ✅ Obsługiwane: Wytyczne dotyczące bezpiecznego kodu SAST, IaC wykrywanie błędnej konfiguracji i wykrywanie anomalii w celu walidacji projektu. |
| A.8.28 Bezpieczne kodowanie | Wdrażaj bezpieczne praktyki kodowania i sprawdzaj jakość kodu. | ✅ Obsługiwane: SAST wykrywa niebezpieczne praktyki kodowania i luki w zabezpieczeniach na wczesnym etapie; automatyczne usuwanie błędów przy użyciu sztucznej inteligencji przyspiesza bezpieczne poprawki kodu. |
| A.8.29 Testowanie i akceptacja zabezpieczeń | Przeprowadzanie testów bezpieczeństwa na etapie rozwoju i akceptacji. | ✅ Obsługiwane: Zintegrowany SAST, SCA, Skanowanie sekretów, wykrywanie złośliwego oprogramowania i wykrywanie anomalii CI/CD pipelines. |
| A.8.30 Rozwój outsourcingowy | Zadbaj o bezpieczeństwo w outsourcingu usług programistycznych i umowach z podmiotami zewnętrznymi. | ✅ Częściowo: SCA weryfikuje komponenty firm trzecich; SBOM a VDR obsługuje widoczność ryzyka stron trzecich, ale nie zarządzanie umowami. |
| A.8.31 Rozdzielenie działu Dev, Test i Pro | Oddzielne środowiska programistyczne, testowe i produkcyjne w celu ograniczenia ryzyka. | ❌ Nie bezpośrednio: Separacja środowisk jest odpowiedzialnością procesu/infrastruktury wykraczającą poza narzędzia AppSec. |
| A.8.32 Wytyczne dotyczące bezpiecznego kodowania | Określ i wdróż wytyczne dotyczące bezpiecznego kodowania dla zespołów programistycznych. | ✅ Obsługiwane: SAST zasady i egzekwowanie polityki; Secrets Detection integruje najlepsze praktyki. |
| A.8.33 Bezpieczeństwo w łańcuchu dostaw oprogramowania | Chroń łańcuchy dostaw oprogramowania przed lukami w zabezpieczeniach i złośliwym kodem. | ✅ Pełne pokrycie: SCAWczesne wykrywanie złośliwego oprogramowania, SBOM generacji, Dependency Firewall i Anomaly Detection. |
| A.8.34 Kontrola dostępu do kodu źródłowego | Kontroluj i ograniczaj dostęp do repozytoriów kodu źródłowego. | ✅ Częściowo: Funkcja wykrywania anomalii monitoruje anomalie dostępu do repozytorium, ale pełna kontrola dostępu nie leży w zakresie jej działania. |
| A.8.35 Bezpieczne udostępnianie oprogramowania | Upewnij się, że udostępniane jest wyłącznie bezpiecznie opracowane i przetestowane oprogramowanie. | ✅ Obsługiwane: Zbuduj integralność dzięki guardrails egzekwowanie zgodności z polityką; automatyczne blokowanie luk w zabezpieczeniach i funkcje przerywania kompilacji zapobiegają niebezpiecznym wydaniom. |
| A.8.36 Bezpieczeństwo informacji podczas testowania | Chroń poufne dane podczas działań testowych. | ❌ Nie bezpośrednio: Maskowanie poufnych danych podczas testów nie jest objęte funkcjami Xygeni AppSec. |
Typowe dowody audytu a dowody wspierane przez Xygeni w zakresie bezpieczeństwa aplikacji
| ISO27001 Załącznik A Kontrola | Typowe dowody audytu | Dowody poparte Xygeni |
|---|---|---|
| A.8.25 Bezpieczny cykl życia rozwoju (SDLC) |
|
|
| A.8.26 Wymagania dotyczące bezpieczeństwa aplikacji |
|
|
| A.8.27 Bezpieczna architektura i inżynieria systemu |
|
|
| A.8.28 Bezpieczne kodowanie |
|
|
| A.8.29 Testowanie i akceptacja zabezpieczeń |
|
|
| A.8.30 Rozwój outsourcingowy |
|
|
| A.8.31 Rozdzielenie działu Dev, Test i Pro |
| ❌ Nieobsługiwane: Wymaga zewnętrznej infrastruktury i dowodów procesowych. |
| A.8.32 Wytyczne dotyczące bezpiecznego kodowania |
|
|
| A.8.33 Bezpieczeństwo w łańcuchu dostaw oprogramowania |
|
|
| A.8.34 Kontrola dostępu do kodu źródłowego |
|
|
| A.8.35 Bezpieczne udostępnianie oprogramowania |
|
|
| A.8.36 Bezpieczeństwo informacji podczas testowania |
| Częściowe wsparcie: Ochrona przed wyciekiem poufnych informacji w kodzie aplikacji i konfiguracji. Detektory można dostosować do innych informacji. |
Szczegółowe wyjaśnienie możliwości Xygeni
Platforma Xygeni integruje kompleksowy zestaw możliwości bezpieczeństwa aplikacji, które są ściśle zgodne z kontrolą ISO27001 w celu zapewnienia bezpieczeństwa SDLC wdrożenie, zapewniające pełną zgodność i spokój ducha.
- Testowanie bezpieczeństwa aplikacji statycznych (SAST): Xygeni osadza SAST w przepływy pracy programistycznej, aby wcześnie wykrywać luki w zabezpieczeniach na poziomie kodu. To proaktywne podejście zapewnia programistom kontrolę i pozwala im reagować na niebezpieczne praktyki kodowania, zanim staną się poważnymi problemami.
- Analiza składu oprogramowania (SCA): Ciągły monitoring komponentów typu open source zapewnia wykrywanie i ograniczanie luk w zabezpieczeniach i ryzyka związanego z licencjami, co wspiera SBOM generowanie i przestrzeganie wymagań bezpieczeństwa łańcucha dostaw.
- Wykrywanie sekretów: Xygeni automatycznie skanuje repozytoria i pipelinema na celu zapobieganie wyciekom różnych typów poufnych informacji, takich jak klucze API i dane uwierzytelniające.
- Infrastruktura jako kod (IaC) Bezpieczeństwo: Znajdź i napraw błędne konfiguracje na wczesnym etapie IaC szablony takie jak Terraform, Kubernetes i CloudFormation, które wzmacniają infrastrukturę od samego początku.
- Wykrywanie anomalii: Monitorowanie CI/CD pipelinei repozytoriów w czasie rzeczywistym w celu wykrywania podejrzanych działań lub nieautoryzowanych zmian, zapewniając zespołom lepszą widoczność i ochronę kodu źródłowego.
- Egzekwowanie polityki i Guardrails: Zastosuj zasady bezpieczeństwa bezpośrednio w pipeline aby automatycznie blokować lub oznaczać flagą kompilacje, które nie spełniają wymogów bezpieczeństwa standards, zapewniając bezpieczeństwo wydań.
- Wczesne wykrywanie złośliwego oprogramowania: Aby zapobiec naruszeniu zależności, skanuj komponenty open source w poszukiwaniu złośliwego oprogramowania natychmiast po ich dodaniu do projektu.
- SBOM i generowanie VDR: Automatyczne generowanie zestawienia materiałów oprogramowania (SBOMs) oraz raporty o ujawnieniu luk w zabezpieczeniach (VDR) w celu zachowania przejrzystości i zarządzania ryzykiem stron trzecich.
- Lejki priorytetyzacji: Sortuj i ustalaj priorytety problemów bezpieczeństwa na podstawie ich dostępności i podatności na wykorzystanie, pomagając zespołom skupić się na zagrożeniach, które mają największe znaczenie.
Te możliwości zintegrowane z CI/CD pipelinei przepływy pracy w zakresie rozwoju dostarczają organizacjom dowodów i gwarancji, których potrzebują, aby spełnić wymagania ISO27001 AppSec.
Wnioski i dalsze kroki
Xygeni pomaga organizacjom spełniać wymagania normy ISO27001 poprzez wzmacnianie bezpieczeństwa na każdym etapie cyklu rozwoju oprogramowania (SDLC) etapie. Dzięki Xygeni zespoły mogą identyfikować, priorytetyzować i naprawiać zagrożenia bezpieczeństwa aplikacji, zanim się nasilą.
Główne korzyści Xygeni dla zgodności z normą ISO27001:
- Usprawnione testowanie zabezpieczeń i zarządzanie lukami w zabezpieczeniach przez SAST, SCAi wykrywanie sekretów.
- Wczesne wykrywanie ryzyka w zależnościach typu open source ze skanowaniem w poszukiwaniu złośliwego oprogramowania i SBOM generacja.
- Automatyczne egzekwowanie zasad w celu blokowania niezgodnych kompilacji i zapewnienia bezpieczeństwa procesów wydań.
- Ciągłe monitorowanie CI/CD środowiska wykrywanie anomalii i reagowanie na nie.
- Lepsza widoczność i możliwość śledzenia poprzez szczegółowe dzienniki audytu i raporty bezpieczeństwa.
- Integracja z istniejącymi przepływami pracy programistycznej minimalizuje zakłócenia i promuje bezpieczne praktyki programistyczne.
Zalecenia dotyczące zainicjowania lub rozszerzenia programu zgodności AppSec z Xygeni:
- Oceń obecną dojrzałość: Oceń swoje bezpieczeństwo SDLC praktyki i zidentyfikować luki w odniesieniu do kontroli określonych w załączniku A normy ISO 27001.
- Wdrażanie Xygeni w całym SDLC: Zintegruj platformę Xygeni na wczesnym etapie cyklu rozwoju, aby zmaksymalizować poziom bezpieczeństwa i możliwość audytu.
- Zdefiniuj zasady bezpieczeństwa: Ustanowić jasne zasady bezpieczeństwa zgodne z kontrolą ISO27001 i egzekwować je za pomocą Xygeni guardrails.
- Monitoruj i przeglądaj: Możliwości monitorowania w czasie rzeczywistym i wykrywania anomalii firmy Xygeni pozwalają na ciągłą ocenę poziomu bezpieczeństwa.
- Ustal priorytety i rozwiąż problemy: Lejki priorytetyzacji Xygeni pozwalają skupić działania naprawcze na najistotniejszych zagrożeniach.
- Przygotuj się do audytów: Prowadzenie i regularne przeglądanie śladów audytu, SBOMoraz raporty bezpieczeństwa wygenerowane przez Xygeni w celu wykazania ciągłej zgodności.
