BlogBeveiliging
Waarom ontwikkelaars en securityspecialisten moeten samenwerken
Samenwerking maakt securitybevindingen bruikbaar voor softwareteams.
Securitybevindingen zijn het nuttigst wanneer de mensen die risico’s begrijpen en de mensen die software bouwen ze samen kunnen bespreken. Gedeelde context helpt om het probleem te begrijpen, een passende oplossing te kiezen en te controleren of de applicatie blijft doen wat nodig is.
Geef de bevinding context
Een rapport kan een onverwachte handeling en mogelijke impact beschrijven. Ontwikkelaars kennen de betrokken code, ontwerpkeuzes, afhankelijkheden en het normale gebruik. Securityspecialisten kunnen de onderbouwing, testvoorwaarden en onzekerheid uitleggen. Die perspectieven vullen elkaar aan.
Stel dat in een fictieve applicatie de verkeerde rol een accountinstelling kan wijzigen. Voor de code wordt aangepast, moet het team bepalen welke rollen dat mogen en waar die regel moet worden afgedwongen. Mogelijk moet de applicatie-eigenaar de bedoelde toegangsregel verduidelijken.
Ontwerp en controleer samen
Een afgebakende wijziging kan de afgesproken regel afdwingen, maar moet worden gecontroleerd tegen zowel de oorspronkelijke bevinding als normaal gebruik. Neem relevante toegangspunten, tests en de uitrolconfiguratie mee. Leg vast wat is gecontroleerd en wat onbekend blijft; verificatie van één scenario garandeert niet dat andere routes veilig zijn.
Bespreek security tijdens ontwerp, review en onderhoud in plaats van alle vragen tot het einde van een project te bewaren. Het NIST-framework voor veilige ontwikkeling beschrijft werkwijzen die in een bestaande ontwikkelcyclus passen.
Zorg voor een bruikbare overdracht
Leg uit waarom de wijziging is gedaan, wat die betekent voor normaal gebruik en hoe het team de controles opnieuw kan uitvoeren. Spreek af wie resterend werk oppakt. We onderzoeken regelmatig hoe securitytests en verificatie nuttiger kunnen worden voor de mensen die software onderhouden.
Bij herstel van kwetsbaarheden brengen we implementatie en securityvragen samen binnen een afgesproken scope.
