安全性和应用程序开发过程

1 2 Page 2
第2页,共2页

建立应用程序安全计划需要IT部门确定部署的应用程序和访问它们的用户所带来的风险因素。 IT管​​理人员应制定业务应用程序配置文件(BAP)和用户应用程序配置文件(UAP),以识别所有企业应用程序的安全风险。然后,IT管理人员应解决这些应用程序提出的每个安全风险因素,并制定针对安全的行动计划以解决每个风险领域。同样,开发团队应了解安全计划并在其实践中执行该计划。此外,该计划还应经常由外部小组进行审核,以验证其合规性。

尽管可以假定应用程序开发人员具有内在动力来做出自己的最佳工作,但这有助于使其成为评估标准的明确组成部分,以增强所需的行为。这类似于企业决定鼓励重用时遇到的人力资源问题,尽管开发可重用组件的成本很难证明不直接获得回报的项目经理是合理的。同样,构建安全系统的成本和精力也必须纳入开发计划中,并分布在整个组织中,这将带来收益,而收益在项目级别上很少可见。必须有一个涵盖企业的安全基线,并分摊给所有人。可以并且应该根据需要向相应的业务线(LOB)收取更高级别的安全性。

因此,至关重要的是将开发团队的薪酬与实现已定义的安全目标明确联系在一起的长期观点。在人员流动率高的IT环境中,这很困难,因此,替代方法是通过产品指标(例如,通用准则)间接建立链接,该指标充当安全代码的代理(即,满足获得奖金的指标)。此外,开发人员必须接受适当的安全培训,其他安全人员应在整个生命周期中参与开发项目。适当的人员配备对于安全至关重要,这不仅对于开发安全计划,而且对于任何企业都是如此。

产品和服务

安全性的产品维度包括提供项目管理支持的流程管理工具,测试工具和其他应用程序开发工具。其中包括企业开发套件以及项目管理解决方案。开发套件应包含用于创建安全机制或访问标准安全组件的安全控件。此外,还提供漏洞评估服务和工具。

一些供应商为开发人员提供安全帮助。例如,微软公司虽然经常发布有关其产品安全漏洞的新闻,但它还是托管了Microsoft安全开发人员中心。该站点包含各种在开发过程中查找安全代码缺陷的方法。 Microsoft Press还出版了一本书,主题是Michael Howard和David LeBlanc撰写的第二版安全代码。

IBM Corp.在其developerWorks“安全性”部分维护有关安全编码的信息,包括文章,培训,事件和项目信息。该资料的最新阅读显示了与使用CGI,密码学,Java,Linux,宏,Web服务,Wi-Fi和XML进行的应用程序开发相关的大量安全性文章。国防分析研究所的戴维·惠勒在IBM网站上的定期专栏“安全程序员:开发安全程序”中撰写了第一篇文章,介绍了“如何编写安全应用程序的基本思想并讨论了如何确定安全要求”。针对您的特定应用。”这些资源可以帮助开发人员开始考虑编码的安全性,并为解决知识挑战提供基线指导。

诸如Cigital,Inc.,Guardent,Inc.,HBGary,LLC和SecureSoftware,Inc.之类的公司提供相关服务,范围从应用程序审查到具有灾难恢复功能的托管安全服务。这样的组织在解决各种企业中的软件安全挑战方面具有丰富的经验,并且通常会带来经过测试的方法和方法来构建安全软件,包括软件体系结构审查和源代码审核。 Cigital和SoftwareSecurity专家撰写了《构建安全软件:如何以正确的方式避免安全问题》一书,并在其中断言软件是所有常见安全问题的根源。

总之,编写安全代码是改善总体技术安全状况的重要组成部分。但是,开发过程中可以采取的预防措施被部署后执行的反应性措施所掩盖。这种思维方式需要改变,从事软件开发的企业应该尽早且经常在软件开发生命周期中满足安全要求。

RFG认为 编写安全的应用程序代码是整个企业安全体系结构的组成部分。除非预先确定了应用程序要求,否则开发过程很难实现所需的安全级别。在开发过程中缺乏应用程序安全性要求以及相关的较差的安全性关注会削弱业务应用程序的安全性,从而导致大量的收入损失,甚至可能受到受到此监督影响的任何人的责任索赔。 IT管​​理人员应审查应用程序开发流程并指导开发团队建立安全性,而不是在应用程序部署后考虑安全性。

RFG分析师Ron Exler撰写了此说明。有兴趣的读者应联系客户服务,以安排进一步的讨论或与Exler先生的访谈。

版权 © 2004 IDG通讯 ,Inc.

1 2 Page 2
第2页,共2页