Negli affari, sei bravo solo quanto le cose su cui hai il controllo. E le uniche cose su cui puoi avere il controllo sono le cose che misuri e gestisci in modo proattivo. Se la sicurezza delle applicazioni è una parte importante del tuo programma di sicurezza generale e della tua attività (dovrebbe esserlo!), allora devi adottare le misure appropriate per tenere le cose sotto controllo. Ma non è sufficiente passare semplicemente attraverso i movimenti con ciò che hai fatto con l'applicazione delle policy, lo sviluppo dei requisiti e simili. È stato dimostrato che le " migliori pratiche " svogliate non funzionano. È necessario esaminare più a fondo gli sforzi per la sicurezza delle applicazioni e scoprire cosa funziona effettivamente e cosa no.
Sentiamo continuamente quanto sia importante integrare la sicurezza nel ciclo di vita dello sviluppo del software. È fantastico in teoria. Tuttavia, in realtà, parlare costa poco e la sicurezza spesso non è integrata nel ciclo di vita come dovrebbe essere. Questo è l'ostacolo principale alla sicurezza delle applicazioni, ma c'è di più nella storia. Sulla base di ciò che vedo nel mio lavoro, ci sono altre cose che le persone fanno, o non fanno, che portano a problemi di sicurezza delle applicazioni e, in definitiva, a fallimenti. Ecco i migliori che ho incontrato:
- Lo sviluppo e l'assicurazione della qualità (QA) sono spesso funzioni autonome che non sono ben integrate con iniziative di sicurezza delle informazioni o obiettivi aziendali.
- Le stesse persone che stanno sviluppando e testando il software spesso non sono al tavolo quando si discutono le funzionalità di sicurezza, la modellazione delle minacce e i requisiti di conformità. Il personale addetto alla sicurezza e altro personale aziendale presume che tutte le esigenze e i requisiti saranno soddisfatti ma, in molti casi, le persone parlano tra loro e si perdono le cose importanti.
- Gli sviluppatori e il personale addetto al controllo qualità sono raramente incoraggiati a seguire corsi, partecipare a conferenze o cercare contenuti online sulla sicurezza delle applicazioni. Tuttavia, molti di questi professionisti faticano ancora a comprendere le vulnerabilità comuni che creano la maggior parte dei rischi per la sicurezza delle applicazioni.
- C'è un focus sulla conformità e sulla gestione del rischio, ma raramente si concentra sull'affrontare le basi della sicurezza delle applicazioni e altre vulnerabilità comuni come quelle descritte nella OWASP Top 10.
- I leader aziendali spesso guardano dall'altra parte e non riescono a capire cosa c'è in gioco quando la sicurezza delle applicazioni non riceve la giusta attenzione. Il presupposto è che lo staff tecnico abbia tutto sotto controllo.
Chiaramente, essere in grado di superare ostacoli come questi è essenziale per migliorare sia la sicurezza delle applicazioni che la resilienza complessiva dell'IT. È complicato, ma c'è qualcosa di proattivo che puoi fare per migliorare i tuoi sforzi. Devi semplicemente sederti con i membri del tuo team e altre parti interessate per esaminare ciascuna delle aree/funzioni del tuo sviluppo software e degli sforzi per la sicurezza delle applicazioni come test, formazione e modellazione delle minacce e determinare ciò di cui hai bisogno per:
- Fai di più
- Fare di meno
- Iniziare a fare
- Smetti di farlo
All'inizio, questo potrebbe sembrare un approccio elementare per apportare miglioramenti alla sicurezza, ma non lo è. Questo esercizio è stato utilizzato per aiutare a risanare intere aziende che stavano fallendo e può funzionare anche per la sicurezza delle applicazioni. Se ti siedi e sei brutalmente onesto con te stesso in termini di cose che funzionano bene e non così bene, dovresti essere in grado di trovare diversi elementi utilizzabili per ciascuna di queste quattro aree. Una volta fatto, puoi dare la priorità a ciascun elemento e quindi impostare obiettivi specifici per raggiungerli.
Si dice che se continui a fare ciò che hai sempre fatto, continuerai a ottenere ciò che hai sempre ottenuto. Con la sicurezza, c'è sempre di più. C'è sempre spazio per migliorare. Fare grandi miglioramenti non richiederà sforzi enormi. Adottare un approccio semplice e rivedere ciò che stai facendo in modo da poter determinare le tue aree focali è tutto ciò che ti serve per iniziare. Un esercizio relativamente semplice di una o due ore come questo potrebbe essere tutto ciò di cui hai bisogno per raggiungere il livello successivo di sicurezza delle applicazioni e stare fuori dai guai.