Kartlegging av Application Security Terreng - Part One

Antall og type vernetiltak for disse programmene er økende. Valg av en riktig program sikkerhetsrisiko løsning bør ta hensyn til virksomhetens ulike krav og faktorer. Det er ingen enkel løsning som vil passe enhver bedrifts behov.

De som er ansvarlige for sikkerheten til sine miljøer trenger å forstå hva risikoen er til stede i sine søknader, som hver sårbarhet har en tilhørende kritikalitet som er basert på ulike faktorer . Bevæpnet med denne kunnskapen, kan en passende risikostyringsstrategi utvikles med prioritert tiltak for å redusere disse truslene.

ASTECH Consulting har over 10 års erfaring vurdere internett-applikasjoner ved bruk av manuelle og automatiserte metoder for både 'hvite boksen' og 'black box' vurderinger. Vi har utviklet en rekke servicenivåer som benytter disse metodene for å matche våre kunders behov og krav til sikkerhet.

Så hva er det nødvendige nivået av applikasjonssikkerhet vurdering?

Som enterprise applikasjon sikkerhetskrav er vurdert, er det nyttig å sette dem i samme sammenheng som diverse annen programvare attributter som vi vanligvis håndtere:

Funksjonalitet
Usability ytelse
Pålitelighet
Security

Men vi kan ikke forholde seg til hva som kjennetegner våre applikasjoner i isolasjon; vi vurdere dem i sammenheng med forretningsmessige krav og virkelige verden forretnings faktorer, inkludert gjennomførbarhet, finansiering, avkastning på investeringen, og alternativkostnaden.

Mens bedre er alltid ønskelig, kan vi ikke vurdere hva som er bedre uten å forstå status quo. Vi må svare på "bedre enn hva?" spørsmål. Dette krever tilstrekkelig analyse /vurdering for å identifisere en komparativ baseline

For eksempel:. Nyhetsbrev registreringsside web-vendt Et selskaps er funnet å ha en cross-site scripting sårbarhet. Adressering denne risikoen kan kreve $ 20.000 i utbyggingskostnader. Er dette den beste bruken av midler til dette firmaet?

I teoretiske termer vil vi absolutt sikkerhet. I praksis vil vi en "rimelig eller bedre" nivå av sikkerhet. Definisjonen av "rimelig" er bare meningsfylt innenfor rammen av et bestemt program og virksomhet. Definisjonen kan være basert på offentlige (f.eks DOD nivåer av klassifisering), krav industrien gruppe (Payment Card Industry), og virksomheten domene.

Helt lov å måle sikkerhet, ytelse eller pålitelighet har en tilhørende variable kostnader basert på presisjon og grundighet i analysen, ferdigheter av analytikere, etc.

En applikasjonssikkerhet vurderingsprosessen er metoden for å identifisere applikasjonen sikkerhetsproblemer slik at virksomheten kan ta informerte risikostyring beslutninger som inkluderer evaluering av de økonomiske og alternativkostnader forbundet med å dempe de identifiserte sikkerhetsrisikoer. Grundighet, dybde, og kostnaden for en applikasjon sikkerhet vurderingsprosessen bør rimelig variere med forretningsmessige krav.

Stay tuned for del to, hvor vi skal se på hva slags sikkerhetsrisiko å vurdere.
.