SecDevOps Maturity Model
Un nuovo strumento a supporto dei processi di Secure Software Development Life Cycle
L’enorme crescita del numero dei servizi applicativi in cloud e la continua evoluzione delle tecniche di attacco induce la necessità di elevare gli standard di sicurezza del software durante tutto il ciclo di vita dello sviluppo, soprattutto nei processi di SecDevOps, che necessitano di rapidità esecutiva e stabilità.
Sviluppare un software che sia, già di per sé, orientato alla sicurezza non è solo un’attitudine che dovrebbe essere assimilata per via degli obblighi di legge, ma dovrebbe divenire la normalità tra gli sviluppatori in modo tale da fornire agli utenti delle tutele maggiori circa la protezione dei loro dati.
Il modello
Sono questi i motivi che hanno spinto Corvallis a collaborare con il Dipartimento di Matematica “Tullio Levi Civita” dell’Università di Padova allo sviluppo di un modello di maturità dello sviluppo sicuro del software che, affrontando il tema da sei punti di vista diversi ma integrati tra loro, fornisca la visione sinottica dello stato di sicurezza dei processi di sviluppo, dalla quale poi derivare una roadmap di attività di mitigazione delle eventuali vulnerabilità riscontrate.
domini
metriche
livelli
Per quanto concerne i domini, si tratta di 6 topics:
- Governance
- Architecture & Design
- Code Development & Review
- Build & Deployment
- Test & Verification
- Operations & Observability
A quali esigenze risponde?
- Valutazione della adeguatezza della organizzazione aziendale
- Valutazione delle prestazioni della gestione della sicurezza del software
- Strumento a supporto dei processi di Secure Change Management in SecDevOps
- Evoluzione della Security Posture complessiva dell’Azienda
- Conformità a requisiti di sicurezza richiesti al software (ad es. ISO 27001). Certificazione
Il modello, decisamente innovativo nel settore, costituisce un tassello fondamentale nella suite dei servizi che gli Advisory Services di Corvallis propongono al mercato delle aziende che sviluppano software sia come core business che per uso interno, per affiancarle nel percorso di evoluzione ed ottimizzazione dei propri processi di produzione del software e contribuire così ad aggiungere l’importante elemento della sicurezza quale fattore differenziante della loro proposta di mercato.
I benefici del modello si estendono comunque oltre ai processi di sviluppo, contribuendo attivamente alla definizione della “Security Posture” complessiva dell’Azienda e, di rimando, alla conformità agli standard quali ISO27001 e NIS2. Inoltre, è un valido strumento per consentire alle aziende di valutare il grado di sicurezza del software offerto loro dai vari fornitori, prima della implementazione in produzione, con indubbi vantaggi dal punto di vista di riduzione preventiva della superficie di attacco.
Aziende di riferimento
AZIENDE CHE SVILUPPANO SOFTWARE AD USO INTERNO
- Hanno team e processi interni per lo sviluppo del software.
- Gestiscono tutti gli ambienti e sistemi (sviluppo, rilascio e produzione) dell’ SDLC.
- Stabiliscono policy e linee guida per lo sviluppo del sw
- Stabiliscono policy e requisiti di sicurezza e qualità del sw
AZIENDE CHE PRODUCONO SOFTWARE
- Hanno team e processi interni per lo sviluppo del software.
- Gestiscono solo gli ambienti ed i sistemi di sviluppo e rilascio dell’SDLC.
- Devono seguire policy e linee guida del cliente per lo sviluppo del sw
- Devono garantire i requisiti di sicurezza e qualità del sw definiti dal cliente
AZIENDE CHE USANO SOFTWARE DI TERZI
- Gestiscono solo gli ambienti ed i sistemi di produzione del sw.
- Definiscono policy e linee guida per l’utilizzo del sw
- Definiscono policy e requisiti di sicurezza e qualità del sw
LA NOSTRA ATTIVITà
I Corvallis Adivsory Service supportano le aziende nell’implementazione del Maturity Model con le attività di:
- Supporto all’implementazione
- Supporto all’applicazione
SUPPORTO ALL'IMPLEMENTAZIONE
SUPPORTO ALL' APPLICAZIONE
FATTORI DIFFERENZIANTI
- Sartorialità della proposizione secondo tipologia operativa
- Capacità di fornire supporto strategico
Il modello aderisce esattamente al paradigma Antifragile che Corvallis propone al mercato” dice Filippo Romeo, Advisory Services Leader Business Line Corvallis Cyber, “e rafforza ulteriormente la nostra modalità operativa che ci vede a fianco delle Aziende per realizzare insieme ciò che deve essere fatto per crescere. Insieme”
