secure sdlc

Secure SDLC, eller Secure Software Development Lifecycle, er en struktureret tilgang til sikker softwareudvikling. Sikkerhed integreres i hele udviklingsprocessen, fra kravspecifikation og design til kodning, test, release, drift, vedligeholdelse og udfasning.

Formålet er at identificere og håndtere sikkerhedsrisici så tidligt som muligt. Det reducerer risikoen for sårbarheder, driftsforstyrrelser og dyre ændringer sent i udviklingsforløbet. Samtidig skaber processen dokumentation for de sikkerhedsaktiviteter, virksomheden har gennemført.

Et Secure SDLC omfatter normalt følgende faser:

• Planlægning og sikkerhedskrav
• Arkitektur og trusselsmodellering
• Sikker kodning og kodegennemgang
• Sikkerhedstest og håndtering af sårbarheder
• Godkendelse og sikker release
• Overvågning, opdatering og vedligeholdelse
• Sikker udfasning af produktet eller systemet

De konkrete aktiviteter bør tilpasses produktets risici, virksomhedens udviklingsmetode og relevante krav fra kunder, standarder og lovgivning.

Security by Design betyder, at sikkerhed indarbejdes i produktets krav, arkitektur og design fra begyndelsen. Sikkerhed behandles dermed som en del af løsningen og ikke kun som en afsluttende testaktivitet.

Det kan blandt andet omfatte trusselsmodellering, risikovurdering af arkitekturvalg, adgangsstyring, sikker datahåndtering, beskyttelse af grænseflader og krav til tredjepartskomponenter.

Security by Default betyder, at software og digitale produkter leveres med sikre standardindstillinger. Brugeren skal ikke selv aktivere grundlæggende sikkerhedsforanstaltninger for at opnå et forsvarligt sikkerhedsniveau.

Det kan eksempelvis indebære begrænsede standardrettigheder, deaktivering af unødvendige funktioner, sikker konfiguration af adgang, relevant logning og beskyttelse af kommunikation. Indstillingerne skal tilpasses produktets anvendelse og risici.

Secure SDLC er den overordnede proces for sikkerhed gennem hele softwareudviklingens livscyklus. DevSecOps er en arbejdsform, der integrerer sikkerhedsaktiviteter i DevOps-processer, ofte gennem automatisering og løbende kontrol i CI/CD-pipelinen.

DevSecOps kan derfor være en måde at gennemføre dele af et Secure SDLC på. Secure SDLC omfatter imidlertid også områder som ledelsesansvar, sikkerhedskrav, arkitektur, leverandørstyring, dokumentation, vedligeholdelse og udfasning.

Ja. Secure SDLC kan integreres i eksisterende Agile- og DevOps-processer uden at etablere en separat udviklingsmodel.

Sikkerhedsaktiviteter kan blandt andet indarbejdes som sikkerhedskrav og acceptkriterier i backloggen, trusselsmodellering ved væsentlige designændringer, automatiserede sikkerhedstest i CI/CD-pipelinen og klare kriterier for godkendelse før release. Det afgørende er, at ansvar, kontrolpunkter og dokumentationskrav er tydeligt defineret.

Relevante sikkerhedstest kan omfatte:

• Statisk applikationssikkerhedstest, SAST
• Dynamisk applikationssikkerhedstest, DAST
• Software Composition Analysis, SCA
• Secret scanning
• Sikkerhedskodegennemgang
• Sårbarhedsscanning
• Penetrationstest
• Test af adgangsstyring og sikkerhedskonfiguration

Valget af test bør baseres på applikationens arkitektur, data, eksponering, anvendelse og risikovurdering. Automatiserede scanninger kan ikke altid erstatte manuel kodegennemgang eller penetrationstest.

Secure SDLC kan understøtte producenter og/eller leverandører af produkter med digitale elementer i arbejdet med Cyber Resilience Act. CRA omfatter blandt andet krav til cybersikkerhed gennem produktets livscyklus, sikker produktudvikling, håndtering af sårbarheder og sikkerhedsopdateringer.

Secure SDLC giver en struktur for at omsætte disse krav til aktiviteter, ansvar og dokumentation. Omfanget afhænger blandt andet af produktets funktion, risikoklasse og virksomhedens rolle i værdikæden. Implementering af Secure SDLC er derfor et vigtigt bidrag, men dokumenterer ikke alene fuld CRA-compliance.

NIS2 omfatter sikkerhed ved anskaffelse, udvikling og vedligeholdelse af net- og informationssystemer for organisationer, der er omfattet af reglerne. Secure SDLC kan understøtte arbejdet med disse sikkerhedsforanstaltninger.

ISO/IEC 27001 indeholder relevante kontroller for sikker udvikling, herunder sikker udviklingslivscyklus, sikker kodning, test og adskillelse af udviklings-, test- og produktionsmiljøer. Secure SDLC kan dermed indgå i organisationens ledelsessystem for informationssikkerhed og understøtte arbejdet frem mod en ISO 27001-certificering.

Dokumentationen skal kunne påvise, hvilke sikkerhedskrav, vurderinger, test og beslutninger der er gennemført gennem udviklingsprocessen.

Cela peut notamment inclure :

• Sikkerhedskrav og acceptkriterier
• Risikovurderinger og trusselsmodeller
• Arkitekturbeslutninger
• Retningslinjer for sikker kodning
• Resultater fra scanninger og sikkerhedstest
• Kodegennemgange og godkendelser
• Registrering og håndtering af sårbarheder
• Release-godkendelser
• Dokumentation for opdatering og vedligeholdelse

Dokumentationen bør tilpasses produktets risici og virksomhedens regulatoriske og kontraktuelle krav.

Første skridt er at kortlægge den eksisterende udviklingsproces og identificere, hvor sikkerhedsansvar, aktiviteter og dokumentation mangler.

En praktisk implementering kan begynde med:

1. Fastlæggelse af roller og ansvar.
2. Sikkerhedskrav i backlog og kravspecifikationer.
3. Trusselsmodellering ved nye løsninger og væsentlige ændringer.
4. Retningslinjer og træning i sikker kodning.
5. Automatiserede sikkerhedstest i CI/CD-pipelinen.
6. Kriterier for håndtering af fund og godkendelse før release.
7. Dokumentation af test, beslutninger og afvigelser.

Implementeringen kan gennemføres trinvist med udgangspunkt i de væsentligste risici.

Prisen afhænger blandt andet af virksomhedens størrelse, antallet af udviklingsteams, produktporteføljen, den eksisterende modenhed og kravene til værktøjer, træning, test og dokumentation.

En indledende modenhedsvurdering eller foranalyse kan bruges til at afgrænse indsatsen og prioritere de vigtigste tiltag. Det giver et mere retvisende grundlag for et budget end en generel standardpris.