search

OS-IS / ai201-belobrov

0 stars 0 forks source link

CW4 #12

Closed GrEFeRFeeD closed 1 day ago

GrEFeRFeeD commented 3 days ago

Логічні зв'язки між завданнями функцій "Управління" та "Верифікація" в SAMM

У SAMM (Software Assurance Maturity Model) модель визначає п'ять основних бізнес-функцій, кожна з яких містить набори практик для підвищення безпеки програмного забезпечення. Якщо ми розглядаємо управління (Governance) та верифікацію (Verification), то логічні зв'язки між завданнями цих двох функцій можуть проявлятися у вигляді взаємного посилення та забезпечення цілісності безпекових підходів.

Практики безпеки для Governance:

  1. Стратегії безпеки (Strategy & Metrics)
    • Формулювання стратегій безпеки на основі бізнес-цілей і ризиків.
    • Визначення ключових метрик для оцінки ефективності заходів безпеки.
  2. Політики безпеки (Policy & Compliance)
    • Розробка політик, які регулюють діяльність з безпеки та забезпечують відповідність нормативам.
  3. Освіта та інформованість (Education & Guidance)
    • Навчання працівників принципам безпеки та підвищення їх обізнаності про ризики.

Практики безпеки для Verification:

  1. Огляд дизайну (Architecture Review)
    • Оцінка архітектури програмного забезпечення для виявлення потенційних вразливостей.
  2. Тестування безпеки (Security Testing)
    • Проведення тестів (наприклад, статичного аналізу, динамічного тестування) для перевірки безпечності коду.
  3. Аудит (Penetration Testing)
    • Виконання аудитів і тестів на проникнення для моделювання реальних атак.

Можливі логічні зв'язки:

  1. Стратегії безпеки ↔ Огляд дизайну

    • Завдання з розробки стратегії безпеки мають враховувати рекомендації з оцінки архітектури, щоб зменшити ризики вже на етапі планування. Відповідно, результати архітектурного огляду можуть бути використані для корекції стратегій.

  2. Політики безпеки ↔ Тестування безпеки

    • Політики безпеки регламентують мінімальні вимоги до проведення тестів безпеки. З іншого боку, результати тестування можуть підкреслювати необхідність уточнення чи доповнення політик.

  3. Освіта та інформованість ↔ Аудит

    • Навчання співробітників допомагає їм краще розуміти результати тестів і аудитів. Водночас, аудити можуть ідентифікувати прогалини в знаннях, які потрібно усунути через додаткові навчальні програми.

  4. Стратегії безпеки ↔ Тестування безпеки

    • Метрики, сформовані у рамках стратегій, можуть бути застосовані для оцінки ефективності тестування. У свою чергу, тестування забезпечує дані для коригування стратегій.

  5. Політики безпеки ↔ Аудит

    • Аудит перевіряє відповідність існуючих процесів визначеним політикам. Недоліки, виявлені під час аудитів, можуть сигналізувати про необхідність оновлення політик.

  6. Освіта та інформованість ↔ Огляд дизайну

    • Результати архітектурних оглядів можуть бути використані для створення кейсів у навчальних матеріалах. Освічений персонал зможе краще аналізувати архітектурні ризики.
oleksandrblazhko commented 1 day ago

2