Menetapkan disiplin Keamanan Pengembangan

Artikel ini membantu tim keamanan dan teknologi membangun dan memodernisasi disiplin Keamanan Pengembangan. Disiplin ini membantu tim keamanan, teknik, dan teknologi memastikan bahwa perangkat lunak dirancang, dibangun, terintegrasi, dan disebarkan dengan aman—tanpa memperlambat inovasi.

Disiplin keamanan adalah pengelompokan pekerjaan keamanan terkait yang membantu organisasi secara konsisten memberikan hasil keamanan di seluruh kawasan teknologi. Dalam model adopsi keamanan, disiplin ilmu membantu menyediakan jembatan antara skenario bisnis dan implementasi teknis, memastikan bahwa investasi keamanan diterjemahkan ke dalam hasil terukur nyata sebagai bagian dari model adopsi keamanan.

Mengapa disiplin ini?

Perangkat lunak sangat terhubung dengan identitas, data, infrastruktur, dan proses bisnis. Ketika keamanan pengembangan lemah atau tidak konsisten, setiap rilis perangkat lunak dapat memperkenalkan kerentanan baru yang dieksploitasi penyerang untuk mendapatkan akses ke aset organisasi yang lebih luas.

Tanpa disiplin Keamanan Pengembangan yang efektif, organisasi biasanya mengalami:

  • Peningkatan risiko dari kerentanan perangkat lunak yang diperkenalkan selama pengembangan.
  • Kompromi pada aplikasi yang memungkinkan pergerakan lateral lintas identitas dan data.
  • Gangguan operasi dan pendapatan bisnis.
  • Pengungkapan atau penyalahgunaan data pelanggan dan data yang diatur oleh regulasi.
  • Akumulasi utang teknis yang meningkatkan risiko jangka panjang dan biaya remediasi.

Disiplin keamanan pengembangan yang kuat memastikan bahwa setiap rilis mengurangi risiko, daripada memperparahnya.

Misi dan hasil

Disiplin Keamanan Pengembangan mengurangi risiko organisasi dengan memastikan bahwa semua perangkat lunak, baik yang dikembangkan secara internal atau oleh mitra, dirancang, dibangun, diintegrasikan, dan disebarkan sesuai dengan standar keamanan, tanpa memperlambat pengiriman atau inovasi.

Organisasi yang mematangkan disiplin ini mencapai:

  • Keamanan diintegrasikan ke dalam proses pengembangan, bukan ditambahkan belakangan.
  • Identifikasi dan remediasi desain dan kelemahan implementasi sebelumnya.
  • Siklus rilis yang lebih dapat diprediksi dan aman.
  • Mengurangi pengerjaan ulang, perbaikan darurat, dan gangguan operasional.
  • Akumulasi utang teknis dan keamanan yang lebih rendah dari waktu ke waktu.

Keamanan Pengembangan memastikan bahwa postur keamanan terus meningkat pada setiap rilis, alih-alih diatur ulang secara berkala.

Perubahan dalam pekerjaan tim

Penting bagi disiplin Keamanan Pengembangan untuk menjangkau pengembang dan tim produk sesuai dengan cara kerja mereka, dengan berfokus pada pengintegrasian keamanan ke dalam alur kerja pengembangan yang sudah ada, alih-alih memperkenalkan kontrol di tahap akhir, proses peninjauan yang menimbulkan banyak hambatan, atau bahkan mengabaikan keamanan dalam proses pengembangan.

Pendekatan ini sering digambarkan sebagai pergeseran ke kiri, memperkenalkan pemikiran keamanan sebelumnya dalam ideasi, desain, dan implementasi, ketika masalah lebih mudah dan lebih murah untuk diperbaiki. Menggeser ke kiri tidak berarti mengatakan tidak lebih awal dalam proses. Sebaliknya, ini memperkenalkan diskusi yang diinformasikan keamanan lebih awal untuk meningkatkan keputusan produk dan memastikan solusi memenuhi persyaratan keamanan dan bisnis.

Prinsip utama meliputi:

  • Integrasi awal: Pertimbangkan keamanan selama ideasi dan desain, bukan hanya pengujian
  • Penyelarasan developer: Hadir di tempat tim pengembangan dan produk sudah bekerja
  • Perubahan kecil dan bertahap: Lebih suka automasi dan peningkatan gesekan rendah
  • Peningkatan berkelanjutan: Perlakukan keamanan sebagai disiplin yang sedang berlangsung, bukan tonggak pencapaian

Seiring waktu, integrasi yang konsisten mengurangi latihan kebakaran dan mempercepat pengiriman daripada memperlambatnya.

Cara menerapkan disiplin ini

Untuk menerapkan disiplin Keamanan Pengembangan secara efektif, fokus pada pembentukan pendekatan yang konsisten untuk membangun dan memelihara aplikasi dan layanan yang aman di seluruh organisasi:

  1. Menentukan strategi pengembangan yang aman yang selaras dengan risiko bisnis
    Tetapkan pendekatan yang jelas tentang bagaimana aplikasi dan layanan dirancang, dibangun, dan dikelola untuk mengurangi risiko kompromi dan melindungi fungsionalitas bisnis penting.
  2. Menyematkan keamanan ke dalam proses pengembangan dan rekayasa
    Pastikan praktik keamanan diintegrasikan dalam kegiatan perencanaan, desain, pengembangan, dan penerapan, alih-alih baru diterapkan belakangan.
  3. Menetapkan praktik pengembangan aman standar
    Berikan panduan yang jelas untuk memastikan bahwa praktik pengkodan, pengujian, dan rilis yang aman diterapkan secara konsisten di seluruh tim dan proyek.
  4. Menyelaraskan keamanan pengembangan dengan aset penting dan skenario bisnis
    Prioritaskan perlindungan untuk aplikasi dan layanan yang mendukung aset bernilai tinggi dan operasi bisnis utama.
  5. Terus meningkatkan berdasarkan risiko, kerentanan, dan umpan balik
    Gunakan wawasan dari kerentanan, insiden, dan hasil pengujian untuk memperkuat praktik pengembangan dan mengurangi risiko dari waktu ke waktu.

Kelola perubahan

Keamanan pengembangan modern biasanya diterapkan melalui pendekatan DevSecOps yang menggabungkan pengiriman yang tangkas dengan tata kelola penting dan praktik kualitas sebelum rilis.

Daripada memilih antara kecepatan dan keamanan, DevSecOps berfokus pada pengamanan aspek utama siklus hidup pengembangan untuk mengurangi risiko mendesak sambil tidak menghambat siklus rilis cepat:

Amankan desain - Gunakan pola desain keamanan yang terbukti dan validasi desain melalui pemodelan ancaman. Amankan kode - Ikuti praktik pengodean yang aman dan validasi perangkat lunak dan dependensi. Amankan alur - Validasi proses alur dan lindungi sistem CI/CD dari kompromi dan perubahan yang tidak sah. Pastikan keterlacakan perubahan pada pipeline dan perangkat lunak yang melalui pipeline tersebut. Operasi yang aman - Pastikan beban kerja yang disebarkan mengikuti konfigurasi, patching, dan praktik terbaik operasional.

Teams dapat meningkatkan hasil dengan terus menyempurnakan kolaborasi antara pengembangan, keamanan, dan operasi, menyeimbangkan tujuan pengiriman fungsional dengan keandalan dan pengurangan risiko.

Strategi DevSecOps yang menggabungkan praktik pengembangan tradisional dengan teknik Agile.

Peningkatan inkremental berkelanjutan ini harus diterapkan pada produksi kerja (kode perangkat lunak yang diproduksi dalam siklus hidup) serta pematangan siklus hidup pengembangan itu sendiri.

Menentukan proses DevSecOps

Keamanan Pengembangan umumnya diimplementasikan melalui model operasi DevSecOps yang berkembang dari waktu ke waktu daripada muncul sepenuhnya terbentuk. DevSecOps menyatukan pengembangan, keamanan, dan operasi untuk mencapai hasil yang lebih baik melalui peningkatan berkelanjutan.

Sebagian besar organisasi maju melalui tahapan ini:

Pengembangan (Dev) – Rilis produksi pertama berfokus pada pengiriman produk yang layak minimal (MVP) yang memenuhi persyaratan bisnis inti. DevOps – Setelah rilis awal, tim fokus pada iterasi cepat, stabilitas operasional, dan tata kelola melalui pengiriman berkelanjutan. DevSecOps – Saat kolaborasi matang, pengembangan, keamanan, dan operasi bekerja sama untuk terus menyempurnakan proses dan menyeimbangkan kecepatan, risiko, dan keandalan.

Strategi DevSecOps yang menggabungkan kontrol kualitas tradisional dan pengembangan yang tangkas.

Perkembangan ini memungkinkan organisasi untuk meningkatkan hasil keamanan tanpa mengorbankan kelincahan atau inovasi.

Tetapkan dasar MVP yang aman

Langkah utama dalam model ini adalah menentukan apa yang merupakan produk layak minimum (MVP) dari perspektif pengembangan, keamanan, dan operasi. Menetapkan garis besar bersama ini menciptakan kejelasan di seluruh tim dan memungkinkan peningkatan yang konsisten dari waktu ke waktu.

Komponen Rincian
Dev(elopment) Pastikan perangkat lunak memenuhi persyaratan bisnis dan fungsi minimum.
Sec(urity) Pastikan perangkat lunak memenuhi persyaratan keamanan dan kepatuhan minimum.
Op(eration)s Pastikan perangkat lunak memenuhi persyaratan kualitas, keandalan, dan kesiapan operasional minimum.

Persyaratan MVP bervariasi menurut organisasi dan industri dan dipengaruhi oleh selera risiko, paparan peraturan, dan kekritisan bisnis. Persyaratan ini sering berkembang saat organisasi, lanskap ancaman, dan model pengiriman berubah.

Peningkatan perangkat lunak berkelanjutan

Setelah rilis produksi awal, beban kerja berpindah ke siklus peningkatan berkelanjutan. Dalam fase ini, pengembangan, keamanan, dan operasi menyempurnakan perangkat lunak dan proses pengiriman. Upaya keamanan berfokus pada:

  • Mengintegrasikan keamanan secara asli ke dalam alur kerja pengembangan, menggunakan alat dan model prioritas yang sama dengan pekerjaan rekayasa lainnya
  • Identifikasi, prioritaskan, dan perbaiki bug keamanan dengan cepat sebagai bagian dari siklus rilis standar.

Pendekatan ini selaras dengan pembelajaran Microsoft Secure Future Initiative (SFI) seperti prPaved Paths, di mana praktik aman dibangun ke dalam platform dan proses daripada diberlakukan secara eksternal.

Seiring waktu, pembelajaran berkelanjutan ini membantu tim menyempurnakan persyaratan, menyederhanakan kolaborasi, dan menyeimbangkan kecepatan pengiriman, keamanan, dan keandalan yang lebih baik.

Peran dan kolaborator dalam disiplin

Disiplin Dev Security biasanya dijalankan oleh tim yang melakukan pengembangan aplikasi dan produk.

Peran utama dalam disiplin ini biasanya meliputi:

  • Pengiriman teknologi dan manajer produk
  • Pengembang perangkat lunak (termasuk pengembangan AI)
  • Insinyur keamanan perangkat lunak
  • DevOps dan insinyur platform
  • Peran pengujian dan rekayasa kualitas
  • Peran keamanan rantai pasokan dan dependensi

Kolaborator utama meliputi:

  • Kepemimpinan bisnis dan teknis – Memberikan sponsor dan prioritas
  • Peran arsitektur – Memandu keputusan desain dan integrasi yang aman
  • Peran disiplin Strategi Keamanan, Integrasi, dan Tata Kelola– Menyediakan kebijakan, pendidikan, dan pengawasan
  • Tim infrastruktur dan platform – Mengaktifkan lingkungan pengembangan yang aman
  • Operasi Keamanan (SecOps) – Memantau dan merespons saat aplikasi diserang

Penyelarasan dengan disiplin ilmu lainnya

Keamanan Pengembangan terintegrasi erat dengan disiplin SAF lainnya:

  • Akses dan Identitas – Melindungi pengembang, beban kerja, dan identitas layanan.
  • Keamanan Infrastruktur – Mengamankan platform yang menjalankan aplikasi dan alur.
  • Keamanan Data – Memastikan data sensitif dilindungi di seluruh siklus hidup perangkat lunak.
  • SecOps– Mendeteksi dan merespons serangan tingkat aplikasi.
  • Strategi Keamanan, Integrasi, dan Tata Kelola – Menyelaraskan praktik pengembangan dengan prioritas risiko perusahaan.

Bersama-sama, disiplin ini memastikan keamanan perangkat lunak mendukung hasil bisnis dan keamanan yang lebih luas.

Penyelarasan dengan pilar teknologi

Menjalankan strategi untuk disiplin keamanan pengembangan memerlukan kontrol keamanan di beberapa pilar teknologi.

Keamanan Pengembangan - pemetaan ke pilar teknologi.

Penyelarasan dengan pilar teknologi meliputi:

  • Identitas: Melindungi identitas dan kredensial pengembang dan beban kerja.
  • Titik akhir: Mengamankan stasiun kerja pengembang dan sistem build.
  • Infrastruktur: Melindungi kode hosting platform, alur, dan beban kerja.
  • Aplikasi: Menyediakan fokus utama untuk praktik keamanan pengembangan.
  • Data: Melindungi data yang digunakan, dihasilkan, dan disimpan oleh aplikasi.
  • Jaringan: Merancang perangkat lunak untuk beroperasi dengan aman pada jaringan yang tidak tepercaya.
  • AI: Mengamankan komponen dan model AI yang digunakan dalam aplikasi modern.

Cakupan yang luas ini memastikan bahwa disiplin ini menangani jalur serangan di dunia nyata.

Apa selanjutnya?

Panduan strategi keamanan pengembangan tambahan ada dalam strategi keamanan Pengembangan.

Ikuti lokakarya

Microsoft Unified menawarkan lokakarya yang dipimpin ahli untuk membantu organisasi memodernisasi disiplin keamanan Dev mereka. Lokakarya ini meliputi:

  • Lokakarya arsitektur dan strategi - Kerangka Kerja Adopsi Keamanan (SAF) - Sesi Desain Arsitektur: Lokakarya Keamanan Infrastruktur dan Pengembangan berfokus pada percepatan modernisasi dan integrasi keamanan pengembangan dengan keamanan infrastruktur. Lokakarya ini tersedia sebagai diskusi kurang dari empat jam yang berfokus pada pembelajaran utama dan praktik terbaik.
  • Lokakarya adopsi teknologi: Microsoft Unified menyediakan lokakarya untuk membantu organisasi mempelajari, merencanakan, menerapkan, dan mengoptimalkan penggunaan teknologi keamanan pengembangan Microsoft seperti yang diilustrasikan dalam diagram ini.

Lokakarya Adopsi Teknologi Pengembangan

Tinjau ulang Microsoft Security Development Lifecycle

Siklus Hidup Pengembangan Keamanan Berkelanjutan Microsoft menyediakan metodologi untuk mengembangkan perangkat lunak dengan aman. Security Development Lifecycle (SDL) adalah pendekatan yang Microsoft gunakan untuk mengintegrasikan keamanan ke dalam proses DevOps (terkadang disebut pendekatan DevSecOps). Panduan keamanan pengembangan SAF membantu Anda menyesuaikan pendekatan dan praktik SDL dengan organisasi Anda.

Anda dapat menerapkan praktik yang dijelaskan dalam pendekatan SDL untuk semua jenis pengembangan perangkat lunak dan semua platform, dari air terjun klasik hingga pendekatan DevOps modern. Pendekatan keamanan perangkat lunak yang berlaku secara umum ini berfungsi di semua jenis perangkat lunak dan platform.

Untuk informasi selengkapnya, lihat Microsoft Security Development Lifecycle (SDL).

Keamanan pengembangan yang efektif memerlukan mengikuti siklus hidup pengembangan keamanan (SDL) seperti Microsoft Security Development Lifecycle (SDL)

Langkah berikutnya

Pelajari tentang pergeseran dari DevOps ke DevSecOps.

  • Last updated on