Postur keamanan adalah kemampuan organisasi untuk mendeteksi, merespons, dan memulihkan ancaman. Hal ini mencakup kesiapan orang, hardware, software, kebijakan, dan proses organisasi di seluruh siklus proses software.
Ada sejumlah framework dan alat yang dapat Anda gunakan untuk menilai postur keamanan dan mengidentifikasi cara memitigasi ancaman.
Praktik pengiriman software
Postur keamanan yang kuat memerlukan fondasi yang kuat dalam praktik terbaik pengiriman software, dan praktik ini lebih dari sekadar menerapkan alat dan kontrol teknis. Misalnya, jika proses persetujuan perubahan tidak jelas, perubahan yang tidak diinginkan akan lebih mudah masuk ke supply chain software Anda. Jika tim tidak didorong untuk mengajukan masalah, mereka mungkin ragu untuk melaporkan masalah keamanan.
DevOps Research and Assessment (DORA) melakukan riset independen tentang praktik dan kemampuan tim teknologi berperforma tinggi. Untuk menilai performa tim dan mempelajari cara meningkatkannya, gunakan resource DORA berikut:
- Lakukan Pemeriksaan Cepat DevOps DORA untuk mendapatkan masukan cepat tentang perbandingan organisasi Anda dengan organisasi lain.
- Baca tentang kemampuan DevOps teknis, proses, pengukuran, dan budaya yang diidentifikasi oleh DORA.
Framework untuk postur keamanan
NIST Secure Software Development Framework (SSDF) dan Cybersecurity Assessment Framework (CAF) adalah framework yang dikembangkan oleh pemerintah untuk membantu organisasi menilai postur keamanan dan memitigasi ancaman supply chain. Framework ini mempertimbangkan siklus proses pengembangan software serta aspek lain yang terkait dengan keamanan software seperti rencana respons insiden. Kompleksitas dan cakupan framework ini dapat memerlukan investasi waktu dan resource yang besar.
Supply-chain Levels for Software Artifacts (SLSA) adalah framework yang bertujuan untuk membuat penilaian dan implementasi mitigasi lebih mudah didekati dan bertahap. Framework ini menjelaskan ancaman supply chain dan mitigasi terkait serta memberikan contoh alat untuk menerapkan mitigasi. Framework ini juga mengelompokkan persyaratan untuk memperkuat postur keamanan Anda ke dalam beberapa tingkat, sehingga Anda dapat memprioritaskan dan menerapkan perubahan secara bertahap. SLSA terutama berfokus pada pipeline pengiriman software, sehingga Anda harus menggunakannya bersama dengan alat penilaian lain seperti SSDF dan CAF.
SLSA terinspirasi oleh Otorisasi Biner internal Google untuk Borg pemeriksaan penerapan wajib untuk semua workload produksi Google.
Google Cloud menyediakan serangkaian kemampuan dan alat modular yang menggabungkan praktik terbaik di SLSA. Anda dapat melihat insight tentang postur keamanan, termasuk tingkat SLSA build Anda.
Pengelolaan artefak dan dependensi
Visibilitas ke dalam kerentanan dalam software memungkinkan Anda merespons dan memulihkan potensi ancaman secara proaktif sebelum merilis aplikasi kepada pelanggan. Anda dapat menggunakan alat berikut untuk mendapatkan visibilitas yang lebih baik ke dalam kerentanan.
- Pemindaian kerentanan
- Layanan pemindaian kerentanan seperti Analisis Artefak membantu Anda mengidentifikasi kerentanan yang diketahui dalam software.
- Pengelolaan dependensi
Open Source Insights adalah sumber terpusat untuk informasi tentang diagram dependensi, kerentanan yang diketahui, dan lisensi yang terkait dengan software open source. Gunakan situs ini untuk mempelajari dependensi Anda.
Project Open Source Insights juga menyediakan data ini sebagai Google Cloud Set Data. Anda dapat menggunakan BigQuery untuk menjelajahi dan menganalisis data.
- Kebijakan kontrol sumber
Scorecards adalah alat otomatis yang mengidentifikasi praktik supply chain software berisiko dalam project GitHub Anda.
Allstar adalah Aplikasi GitHub yang terus memantau organisasi atau repositori GitHub untuk memastikan kepatuhan terhadap kebijakan yang dikonfigurasi. Misalnya, Anda dapat menerapkan kebijakan ke organisasi GitHub Anda yang memeriksa kolaborator di luar organisasi yang memiliki akses administrator atau akses push.
Untuk mempelajari lebih lanjut cara mengelola dependensi, lihat Pengelolaan dependensi
Kesadaran tim tentang pengamanan cyber
Jika tim Anda memahami ancaman dan praktik terbaik supply chain software, mereka dapat mendesain dan mengembangkan aplikasi yang lebih aman.
Dalam State of Cybersecurity 2021, Part 2, survei profesional keamanan informasi, responden survei melaporkan bahwa program pelatihan dan kesadaran pengamanan cyber memiliki dampak positif (46%) atau dampak positif yang kuat (32%) terhadap kesadaran karyawan.
Resource berikut dapat membantu Anda mempelajari lebih lanjut keamanan supply chain dan keamanan di Google Cloud:
- Google Cloud cetak biru fondasi perusahaan menjelaskan cara menyiapkan struktur organisasi, autentikasi dan otorisasi, hierarki resource, jaringan, logging, kontrol detektif, dan lainnya. Panduan ini adalah salah satu panduan di Google Cloud pusat praktik terbaik keamanan.
- Developing Secure Software mengajarkan praktik pengembangan software dasar dalam konteks keamanan supply chain software. Kursus ini berfokus pada praktik terbaik untuk mendesain, mengembangkan, dan menguji kode, tetapi juga mencakup topik seperti penanganan pengungkapan kerentanan, kasus jaminan, dan pertimbangan untuk distribusi dan deployment software. Open Source Security Foundation (OpenSSF) membuat pelatihan ini.
Mempersiapkan perubahan
Setelah mengidentifikasi perubahan yang ingin dilakukan, Anda harus merencanakan perubahan tersebut.
- Identifikasi praktik terbaik dan mitigasi untuk meningkatkan keandalan dan keamanan supply chain Anda.
Kembangkan panduan dan kebijakan untuk memastikan tim menerapkan perubahan dan mengukur kepatuhan secara konsisten. Misalnya, kebijakan perusahaan Anda mungkin menyertakan kriteria untuk deployment yang Anda terapkan dengan Otorisasi Biner. Resource berikut dapat membantu Anda:
- Minimum Viable Secure Product, checklist keamanan kontrol untuk menetapkan postur keamanan dasar untuk suatu produk. Anda dapat menggunakan checklist ini untuk menetapkan persyaratan kontrol keamanan minimum dan mengevaluasi software dari vendor pihak ketiga.
- Publikasi NIST Security and Privacy Controls for Information Systems and Organizations (SP 800-53).
Rencanakan perubahan bertahap untuk mengurangi ukuran, kompleksitas, dan dampak setiap perubahan. Hal ini juga membantu orang-orang di tim Anda menyesuaikan diri dengan setiap perubahan, memberikan masukan, dan menerapkan pelajaran yang telah Anda pelajari ke perubahan di masa mendatang.
Resource berikut dapat membantu Anda merencanakan dan menerapkan perubahan.
ROI of DevOps Transformation adalah laporan resmi yang menjelaskan cara memperkirakan nilai dan membenarkan investasi dalam transformasi DevOps.
Google Cloud Application Modernization Program menyediakan penilaian holistik, terpandu, mengukur hasil utama (kecepatan dan stabilitas serta kelelahan) dan mengidentifikasi kemampuan teknis, proses, dan budaya yang meningkatkan hasil tersebut untuk organisasi Anda. Lihat postingan blog pengumuman CAMP untuk mengetahui informasi selengkapnya tentang program ini.
How to transform memberikan panduan untuk membantu Anda merencanakan dan menerapkan perubahan. Membangun budaya yang mendukung perubahan bertahap dan berkelanjutan akan menghasilkan hasil perubahan yang lebih sukses.
NIST Secure Software Delivery Framework menjelaskan praktik keamanan software berdasarkan praktik yang ditetapkan dari organisasi seperti The Software Alliance, Open Web Application Security Project, dan SAFECode. Framework ini mencakup serangkaian praktik untuk mempersiapkan organisasi Anda serta praktik untuk menerapkan perubahan dan merespons kerentanan.
Langkah berikutnya
- Pelajari tentang praktik terbaik untuk melindungi supply chain software Anda.
- Pelajari tentang keamanan supply chain software serta Google Cloudproduk dan fitur yang membantu Anda melindungi supply chain software.