Tapak Baru Menetapkan Amalan Terbaik Untuk Keamanan Perisian

Berapa banyak keselamatan pegawai harus ada untuk setiap pemaju perisian? Ternyata jawapannya adalah satu untuk setiap 100. Amalan terbaik keselamatan perisian dan lain-lain yang terbaik kini merupakan sebahagian daripada projek bersama antara penjual keselamatan Fortify dan firma perunding keselamatan Cigital.

Keamanan Bangunan yang Dimiliki Dalam Model Matang (BSIMM), yang Projek tidak dimaksudkan untuk menjadi "cara" atau satu saiz yang sesuai dengan semua penyelesaian untuk menulis kod selamat, menurut Fortify. Sebaliknya, BSIMM adalah hasil perbualan di sekitar amalan keselamatan perisian yang Fortify dan Cigital mempunyai syarikat seperti Adobe, EMC, Google, Microsoft, QUALCOMM, Wells Fargo, dan Depository Trust & Clearing Corporation (DTCC).

Dalam banyak kes syarikat-syarikat sedang melakukan, di pokok, beberapa perkara yang sama. Sebagai contoh, semua organisasi yang ditemuramah mempunyai kurikulum latihan keselamatan yang diinstitusikan untuk pengaturcara, jurutera QA, dan pengurus projek. Setiap daripada sembilan perusahaan mempunyai sekumpulan personel keselamatan perisian yang ditetapkan-satu daripada setiap 100 pemaju perisian. Dan semua syarikat yang ditemuramah menekankan pendidikan keselamatan, sumber-sumber teknikal, dan mentoring daripada kepolisian untuk kesalahan keselamatan dan menyerahkan hukuman.

[Bacaan lanjut: Cara menghapus malware dari PC Windows Anda]

Hasilnya adalah wawasan yang jarang berlaku tentang apa organisasi yang berjaya benar-benar lakukan untuk membina keselamatan ke dalam perisian mereka, dan alat-alat di laman web ini boleh dimuat turun dengan percuma oleh organisasi yang berusaha untuk mengurangkan risiko perniagaan yang berkaitan dengan aplikasi tidak selamat. Sebagai contoh, Rangka Kerja Keselamatan Perisian (SSF), termasuk dalam BSIMM, adalah satu model keselamatan yang boleh disesuaikan yang membenarkan mana-mana organisasi menilai keadaan semasa mereka dalam pembangunan perisian, untuk mengutamakan perubahan, dan mencatat kemajuan.

Model menggunakan sedozen kategori untuk menggambarkan semua langkah antara latihan untuk menguji perisian selepas ia ditulis. Terdapat senarai aktiviti dalam setiap kategori yang direka untuk membantu membuat perisian syarikat lebih terjamin. Aktiviti tersebut meminta syarikat itu memberikan contoh dari sejarahnya sendiri untuk memperibadikan mata.

Jika ini terdengar biasa, ia adalah. Musim panas lalu Mozilla mengumumkan projek serupa yang dimulakan oleh Window Snyder sebelum dia meninggalkan syarikat itu. Terdapat juga amalan keselamatan terbaik yang digunakan di Mozilla untuk dimodelkan dan diajar kepada syarikat lain. Projek Mozilla Metrics sedang dijalankan oleh Rich Mogull.