Ders 4.55: Bir güvenlik şampiyonları programını yürütmek

Beş kişilik bir güvenlik ekibi iki yüz mühendisin işini inceleyemez. Bir şampiyonlar programı her geliştirme ekibine güvenliği önemseyen, ne zaman yardım isteyeceğini bilen ve ilk incelemeyi yapan bir kişi verir. Programlar sessizce başarısız olur: şampiyonu olmayan ekipler, zamanı olmayan şampiyonlar, lansmandan sonra sönen etkinlik. Laboratuvarda Northwind'in programını kendi verisinden ölçüyorsun: kapsama, şampiyon başına etkinlik, aşırı yüklenmiş şampiyonlar ve tüzüğün eksik teşvikleri; sonra gelecek yılın planını yazıyorsun.

16 dk

Bu derste öğreneceklerin

Güvenlik şampiyonlarının ne yaptığını ve ne yapmadığını açıklamak
Kapsamayı ekiplerle değil mühendislerle ölçmek
Etkin olmayan ve aşırı yüklenmiş şampiyonları bulmak
Tüzükte eksik zaman ve takdiri fark etmek
Veriden bir program planı yazmak

Temel terimler

Güvenlik şampiyonu: Ekibinde güvenliği savunan ve onu güvenlik ekibine bağlayan bir ekip üyesi.
Kapsama: Şampiyonu olan mühendislerin (ya da kodun) payı.
Tehdit modeli: Bir tasarımda neyin ters gidebileceğine yapılandırılmış bir bakış (Giriş 201).
OWASP SAMM: Yazılım Güvencesi Olgunluk Modeli; bu tür programlar için eğitim ve rehberlik uygulamaları içerir.
Program tüzüğü: Bir programın amacını, rollerini, zamanını ve ödüllerini tanımlayan belge.

← Olay bildirim süreleri · Tüm dersler · Suçlamasız olay sonrası incelemeler →