Implementando Segurança em desenvolvimento com a verdadeira ISO

Implementando Segurança em
desenvolvimento com a
verdadeira ISO
31 de Agosto de 2012 - Rio de Janeiro

Monday, September 3, 2012

Esta é a ISO para Segurança em
Desenvolvimento que você conhece?

Segurança em Desenvolvimento como Diferencial Competitivo


Por que não é a adequada?

Foco em controles, no estado de segurança
da aplicação, mas não apresenta nenhuma
abordagem para o processo de
desenvolvimento de software



O que é um Software Security
Assurance (SSA)
Processo que implementa práticas que irão
aumentar o nível de segurança dos
softwares desenvolvidos

Práticas



Práticas de um Software Security
Assurance (SSA) - Governança
Práticas que ajudam a organizar, gerenciar
e medir a iniciativa em segurança de
software. Desenvolvimento da equipe é
uma prática central de governança
Governança



Assurance (SSA) - Construção
Práticas que resultam numa coleção de
conhecimento corporativo usado para
realizar as atividades de segurança de
software pela organização
Construção



Assurance (SSA) - Veriﬁcação
Atividades de análise e testes de segurança
de software que irão validar se a aplicação
atende os requisitos de segurança
estabelecidos
Veriﬁcação



Assurance (SSA) - Implementação
Práticas que integram o processo de
desenvolvimento e áreas de segurança de
rede e manutenção de software

Implementação



Papéis e Responsabilidades de um
Software Security Assurance (SSA)

Papéis Responsabilidades

Responsável pela operação do Processo
Gestores de Segurança em Desenvolvimento de
Software

Entender os Requisitos de Segurança e
Desenvolvedores
implementar os controles

Veriﬁcar se os controles atendem os perﬁs
Auditores
de riscos aceitáveis pela organização



O que é uma ISO

Desenvolvida por vários comitês
espalhados pelo mundo. Busca atender as
expectativas de todas as partes:
‣ Gerentes
‣ Times de Operações e Projetos
‣ Auditores
‣ Usuários



Sistema de Gestão para Segurança de
Aplicações com a ISO/IEC 27034:2011

‣Padrão separado em 6 partes para
organizações integrarem segurança em
desenvolvimento de aplicações

‣Deﬁne que segurança de aplicações não é
um estado mas sim um processo que
busca endereçar controles de segurança a
todas as fases do desenvolvimento



Um pouco sobre a Parte 1 lançada
em Novembro de 2011

‣Apresenta princípios, conceitos e
processos envolvidos em segurança de
aplicações

‣Desenvolvida para ser adotada junto com
outros padrões da Série 27000



Um pouco sobre a Parte 1 lançada
em Novembro de 2011
Atende a todas perspectivas de quem
consome software:
‣ Desenvolvimento in-house
‣ Outsource de Desenvolvimento
‣ Quem Adquire Software de Terceiros



Princípios de Segurança de
Aplicações segundo a ISO

‣ Segurança é um Requisito
‣Que deve ser analisado e deﬁnido para
cada cenário

‣ Depende do Contexto
‣Qual a infraestrura envolvida? Quais
padrões e requisitos deve atender?



Princípios de Segurança de
Aplicações segundo a ISO

‣ Investimento Apropriado
‣Você deve investir em segurança de
acordo com o perﬁl de risco necessário

‣ Apresentar os Benefícios da Adoção
‣Evidências do processo devem ser
geradas e apresentadas



Conceitos

‣ Application Target Level of Trust
(LoT): Nível de Risco Aceitável para cada
aplicação

‣ Application Security Control (ASC):
Controles implementados para manter a
aplicação dentro dos níveis aceitáveis pela
organização



Application Security Management
Process (ASMP)

LoT Normativos e Orientação LoT = Application
Desejado Prescritiva de Suporte Target Level of Trust

Analisar os Riscos da
Operação da Aplicação
Aplicação

Identiﬁcar os Requisitos
da Aplicação e Ambiente
Veriﬁcar a Seguranção
da Aplicação
LoT ✓
Atingido



O que vem por aí

‣Part 2: Organization normative framework
‣Part 3: Application security management process
‣Part 4: Application security validation
‣Part 5: Protocols and application security controls datastructure
‣Part 6: Security guidance for speciﬁc applications (if needed)



Part 2: Organization normative
framework
Descreve como implementar o Application Security
Management Process (ASMP)

Draft



Part 3: Application security
management process
Descreve a inter-dependencia e as características de um
processo de segurança em desenvolvimento

Em proposição



Part 4: Application security
validation
Irá apresentar um framework para avaliação e certiﬁcação do
processo de segurança em desenvolvimento de software

Em proposição



Part 5: Protocols and application
security controls datastructure
Irá deﬁnir um padrão estruturado (XML) para os Application
Security Control (ASC)

Em proposição



Part 6: Security guidance for speciﬁc
applications (if needed)
Irá apresentar Controles de Segurança para Requisitos
especíﬁcos de acordo com o modelo de aplicação

Draft



A ISO e o OpenSAMM para avaliar o
nível de maturidade



Agora você já sabe qual é a ISO certa



Obrigado
welias@conviso.com.br
@welias


Referências

‣ ISO: http://www.iso.org
‣ OpenSAMM: http://www.opensamm.org
‣ BSIMM: http://bsimm.com



Implementando Segurança em desenvolvimento com a verdadeira ISO

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (19)

Andere mochten auch

Andere mochten auch (20)

Ähnlich wie Implementando Segurança em desenvolvimento com a verdadeira ISO

Ähnlich wie Implementando Segurança em desenvolvimento com a verdadeira ISO (20)

Mehr von Conviso Application Security

Mehr von Conviso Application Security (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (6)

Implementando Segurança em desenvolvimento com a verdadeira ISO