Garantire la sicurezza e la resilienza delle applicazioni è in gran parte uno sforzo tecnico. Dallo sviluppo del codice sorgente ai test di vulnerabilità e penetrazione e a tutte le variabili nel mezzo, ci sono molte parti in movimento sul lato tecnico. È importante, tuttavia, ricordare il lato "soft" della sicurezza delle applicazioni, soprattutto in relazione all'area di immagine più ampia dell'impostazione e del raggiungimento dei tuoi obiettivi.
L'impostazione degli obiettivi è molto semplice, ma solo l'otto per cento delle persone raggiunge effettivamente i propri obiettivi. Se si desidera migliorare il programma di sicurezza delle applicazioni e distinguersi nell'organizzazione e superare il rumore del mondo, ecco cosa è necessario fare per iniziare il percorso di miglioramento:
- Determina cosa vuoi realizzare e scrivilo al tempo presente. Questo ti permetterà di essere specifico su ciò che stai cercando di fare e programma la tua mente subconscia per credere che l'obiettivo sia già stato raggiunto.
- Delinea i passaggi da eseguire per raggiungere l'obiettivo. Ciò contribuirà a stabilire le aspettative e a creare una roadmap da seguire. Può anche essere utile scrivere eventuali blocchi stradali che potresti anticipare per ogni obiettivo.
- Imposta una scadenza specifica. Questo rende l'obiettivo più tangibile e aiuta a ritenerti responsabile.
Ti verrà voglia di dare la priorità a ciascuno dei tuoi obiettivi, in modo da sapere su quale concentrarti prima, secondo e così via. È anche importante rivisitare i tuoi obiettivi, idealmente ogni giorno, ma al minimo ogni settimana. Questo li tiene in cima alla tua mente in modo che tu li pensi su base periodica e coerente.
I tipi di obiettivi che potresti impostare per il miglioramento della sicurezza delle applicazioni sono infiniti. Naturalmente, dipende dai rischi e dai requisiti specifici, ma potrebbe includere aree come:
- Test di vulnerabilità e penetrazione
- Miglioramenti che coinvolgono standard di sicurezza specifici come owasp Top 10
- Implementazione di alcuni controlli tecnici come l'autenticazione a più fattori o un firewall dell'applicazione Web
- La creazione di un comitato di supervisione della sicurezza
Seguendo i passaggi precedenti e utilizzando come esempio i test di vulnerabilità e penetrazione, di seguito è riportato un obiettivo di sicurezza dell'applicazione di esempio:
Scannerizziamo e testiamo le nostre applicazioni web alla ricerca di vulnerabilità su base periodica e coerente.
Passaggi necessari:
- Utilizziamo uno scanner di vulnerabilità web per eseguire una scansione completa di tutte le applicazioni di produzione il primo venerdì di ogni mese.
- Alternamo la scansione con e senza autenticazione dell'utente.
- Per le scansioni autenticate, eseguiamo la scansione con un ruolo utente diverso ogni mese.
- Ci impegniamo con terze parti per eseguire una valutazione completa - scansione delle vulnerabilità e test di penetrazione - una volta all'anno.
Ostacoli potenziali:
- Modificare le finestre o i cicli di rilascio che impediscono l'esecuzione delle scansioni
- Disponibilità del personale
- bilancio
- Dispositivi di rete come firewall di applicazioni Web e sistemi di prevenzione delle intrusioni che bloccano le scansioni
- Gli account utente potrebbero essere bloccati durante l'analisi autenticata
scadenza:
- Ogni 30 giorni per le scansioni
- Ogni anno per una valutazione completa e indipendente
Questa è l'essenza per stabilire obiettivi e impostare te stesso e il tuo programma di sicurezza delle applicazioni per il successo. Non c'è più niente.
Per molti professionisti tecnici, la prospettiva di fissare obiettivi e gestione potrebbe non sembrare terribilmente eccitante, ma può pagare enormi dividendi a lungo termine. Ho scoperto che coloro che approfondisci il lato aziendale della sicurezza delle applicazioni tendono a sperimentare maggiori ricompense anche nella loro carriera.
C'è un detto che dice che se non hai obiettivi per te stesso, sei condannato per sempre a raggiungere gli obiettivi di qualcun altro. Avere una serie di obiettivi di sicurezza delle applicazioni a cui stai lavorando non sarà la pallottola d'argento per mantenere le cose protette. Ci vuole del lavoro per determinare ciò che vuoi e quindi prendere i passaggi adeguati per farlo. Anche con tutto lo sforzo necessario, avere obiettivi documentati può aiutare enormemente con la supervisione e la responsabilità e dare a te e al tuo team qualcosa a cui mirare. Adottare questo approccio alla sicurezza delle applicazioni farà molta strada e aiuterà i tuoi sforzi a distinguersi in molti modi positivi, soprattutto considerando che così tante persone e organizzazioni hanno zero obiettivi in questo senso.
Non è necessario dedicare un sacco di tempo all'impostazione e alla gestione degli obiettivi. Potresti facilmente scrivere alcuni gol su una tazza di caffè o pranzo un giorno. Nel peggiore dei casi, ti riunisi con i tuoi colleghi e trascorri un'ora o due alla lavagna. L'importante è iniziare. Non devi avere la perfezione. Devi solo volerlo abbastanza male e avere la disciplina per vederlo fino in fondo. Se lavori su ogni obiettivo ogni giorno, anche se è solo in un piccolo modo, puoi realizzare più di quanto tu abbia mai creduto di poter fare.