Novo site define as melhores práticas para segurança de software

Entitled Building Security Em Maturity Model (BSIMM) O projeto não pretende ser um "como fazer" nem mesmo uma solução única para escrever código seguro, de acordo com a Fortify. Em vez disso, o BSIMM é o resultado de conversas sobre práticas de segurança de software que a Fortify e a Cigital tinham com empresas como Adobe, EMC, Google, Microsoft, QUALCOMM, Wells Fargo e Depository Trust & Clearing Corporation (969). as empresas estavam fazendo, em princípio, algumas das mesmas coisas. Por exemplo, todas as organizações entrevistadas têm um currículo de treinamento de segurança institucionalizado para programadores, engenheiros de QA e gerentes de projeto. Cada uma das nove empresas possui um grupo designado de pessoal de segurança de software - um para cada cem desenvolvedores de software. E todas as empresas entrevistadas enfatizam o ensino de segurança, recursos técnicos e orientação ao invés de policiar por erros de segurança e distribuir punições.

[Leia mais: Como remover malware do seu PC Windows]

O resultado é uma visão rara sobre o que Organizações bem-sucedidas realmente fazem para criar segurança em seus softwares, e as ferramentas no site podem ser baixadas gratuitamente por organizações que buscam mitigar os riscos de negócios associados a aplicativos inseguros. Por exemplo, o SSF (Software Security Framework), incluído no BSIMM, é um modelo de segurança adaptável que permite que qualquer organização avalie seu estado atual de desenvolvimento de software, priorize alterações e faça o gráfico do progresso.

O modelo usa um dúzias de categorias para ilustrar todas as etapas entre o treinamento e o teste de software depois que ele é gravado. Há uma lista de atividades dentro de cada categoria projetada para ajudar a tornar o software de uma empresa mais seguro. As atividades pedem à empresa que forneça exemplos de sua própria história para personalizar os pontos.

Se isso soa familiar, é. No verão passado, a Mozilla anunciou um projeto semelhante iniciado por Window Snyder antes de deixar a empresa. Lá, também, as melhores práticas de segurança usadas na Mozilla deveriam ser modeladas e ensinadas a outras empresas. O projeto Mozilla Metrics está sendo executado por Rich Mogull.