Aceasta acoperă codul propriu, componentele terțe, identitățile, datele, interfețele, configurația, implementarea și comportamentul la rulare pentru aplicații web, mobile, desktop, servicii și embedded. Este o responsabilitate continuă de inginerie și guvernanță, nu un test final.
Un program util traduce riscul organizațional în cerințe de aplicație și practici repetabile, atribuie decizii unor proprietari responsabili și aduce constatările din producție înapoi în proiectare și dezvoltare. Profunzimea muncii trebuie să reflecte datele, privilegiile, expunerea, dependențele și consecințele potențiale ale eșecului aplicației.
Puncte esențiale
Proiectare și guvernanțăMențineți un inventar de aplicații, definiți cerințe de securitate și confidențialitate, modelați amenințările și frontierele de încredere, alegeți arhitecturi mai sigure și înregistrați riscurile și excepțiile acceptate.
Construcție și lanț de aprovizionareAplicați practici de codare sigură, revizuiți modificările, protejați sistemele de dezvoltare și lansare, guvernați dependențele, securizați configurația și produceți artefacte trasabile.
Verificare și operareCombinați revizuirea codului, analiza statică, dinamică și de compoziție cu testare manuală focalizată, monitorizare la rulare, tratarea vulnerabilităților, răspuns la incidente și remediere verificată.
Limitare importantăNiciun instrument, test, cadru, scor de maturitate sau poartă de lansare nu poate dovedi că o aplicație este sigură. Acoperirea se schimbă odată cu arhitectura, mediul, comportamentul atacatorului și evoluția aplicației.