Лучшие практики по жизненному циклу безопасности ПО от PCI

PCI Software Security Framework (SSF) это набор стандартов и сопутствующих им дополнительных материалов. В данный момент набор включает в себя 2 параллельно работающих стандарта, имеющих общую основу, а также свои особенности:

·        Secure Software Standard – требования к функциям и возможностям безопасности ПО

·        Secure SLC Standard – требования к процессам разработки безопасного ПО

Последний стандарт обновился совсем недавно, поэтому давайте взглянем на него поподробнее:

·        как и во многих других лучших практиках, декларируется объективный риск-ориентированный подход при выборе мер защиты и частоты их выполнения

·        требования разделены на 4 большие группы:

o   управление безопасностью

o   безопасная разработка ПО

o   управление ПО и данными

o   безопасность взаимодействия

·        каждое требование включает следующие компоненты:

o   задачи (Control Objectives) – результаты которые должны быть достигнуты

o   оценка (Test Requirements) – способы которые используются для оценки выполнения требований (Exemine, Observe, Interview)

o   рекомендации (Guidance) – дополнительная информация по реализации и лучшие практики

·        пример требования

·        пример листа самооценки/оценки

А давайте сопоставим PCI Secure SLC Standard с главным стандартом по разработке безопасного ПО в РФ ГОСТ Р 56939-2016 ( обзор на который я делал ранее ).

Вывод: как видно во многих пунктах стандарты совпадают, так что вполне можно совмещать лучшее и учитывать дополнительные лучшие практики при построении процессов разработки ПО.

PS: Интересно ли кому-то сопоставление данных стандартов с требованиями к разработке ПО из ГОСТ 57580?

PPS: Чтобы не пропустить другие лучшие практики ИБ подписывайтесь в вашем любимом канале