Pokrývá vlastní kód, komponenty třetích stran, identity, data, rozhraní, konfiguraci, nasazení a chování za běhu napříč webovými, mobilními, desktopovými, servisními a vestavěnými aplikacemi. Je to pokračující inženýrská a řídící odpovědnost, nikoli závěrečný test.
Užitečný program překládá organizační riziko do aplikačních požadavků a opakovatelných praxí, přiřazuje rozhodnutí odpovědným vlastníkům a vrací produkční nálezy zpět do návrhu a vývoje. Hloubka práce by měla odrážet data, privilegia, expozici, závislosti a potenciální důsledky selhání aplikace.
Klíčové body
Návrh a řízeníUdržujte inventář aplikací, definujte požadavky na zabezpečení a soukromí, modelujte hrozby a hranice důvěry, volte bezpečnější architektury a zaznamenávejte přijatá rizika a výjimky.
Build a dodavatelský řetězecUplatňujte praktiky bezpečného kódování, přezkoumávejte změny, chraňte vývojové a vydávací systémy, řiďte závislosti, zabezpečujte konfiguraci a produkujte dohledatelné artefakty.
Ověřování a provozKombinujte přezkum kódu, statickou, dynamickou a kompoziční analýzu s cíleným manuálním testováním, monitorováním runtime, řešením zranitelností, reakcí na incidenty a ověřenou nápravou.
Důležité omezeníŽádný nástroj, test, framework, skóre vyspělosti či brána vydání nedokáže prokázat, že aplikace je bezpečná. Pokrytí se mění s architekturou, prostředím, chováním útočníků a vývojem aplikace.