當今競爭激烈的商業(yè)環(huán)境要求企業(yè)快速行動并保持創(chuàng)新。因此，80%或更多的企業(yè)采用了敏捷開發(fā)方法。不幸的是，這種更高的開發(fā)速度為網(wǎng)絡犯罪分子帶來了幾個利用的機會，特別是在軟件生命周期過程不安全的情況下。

那么，企業(yè)如何使敏捷開發(fā)實踐更具安全性呢?以下是信息安全論壇推薦的10條原則：

定義角色和職責

負責指導敏捷項目的高級領(lǐng)導必須明確定義安全活動的角色和責任，這包括建立正式和非正式的報告渠道，以及項目管理行動，如上報協(xié)議、強制性會議和向安保團隊報告項目狀態(tài)。這將有助于將安全嵌入到靈活的應用程序開發(fā)中，同時促進承諾、責任以及業(yè)務IT和安全代表之間的建設性關(guān)系。

投資于技能和培訓

安全是一項團隊職責，每個開發(fā)人員都需要在確保代碼沒有安全漏洞方面發(fā)揮自己的作用。開發(fā)人員通常缺乏對安全問題的知識和理解，他們傾向于將軟件交付置于安全問題之上。為了增強開發(fā)人員的能力，企業(yè)必須在指導和提高技能方面投入資源，這包括安全培訓和認知課程、高級開發(fā)人員的指導、專門的敏捷安全培訓活動，以及訪問免費可用的資源，如OWASP、CWE、BSIMM(構(gòu)建成熟模型中的安全)、SAFECode和CERT。

應用信息風險管理流程

從一開始就確保安全措施成本更低，效率更高，而不是事后事項。領(lǐng)導層必須建立有助于在整個開發(fā)生命周期中管理信息風險的流程。

這包括從安全角度商定高級別應用程序架構(gòu)、確定“安全關(guān)鍵”應用程序和功能的列表、執(zhí)行業(yè)務影響評估、在早期階段進行信息風險和脆弱性評估，以及報告新確定的風險的流程。領(lǐng)導層應該就誰擁有信息風險提供指導，定義審查風險的流程，并確定如何做出風險管理決策。

使用開發(fā)人員的格式指定安全要求

使用開發(fā)人員的格式(用戶故事、軟件需求規(guī)范、故事映射、線框、角色和用例)來闡明安全需求，以便開發(fā)人員能夠更好地理解、定義和實現(xiàn)安全規(guī)范。

這使得安全需求可以被視為產(chǎn)品待辦事項中的功能需求，并將其轉(zhuǎn)換為任務(也稱為分解)，將它們合并到需求管理工具中，并將它們包括在項目的生產(chǎn)力度量中。

進行威脅建模

定期進行威脅建模練習，以了解應用程序的安全環(huán)境，發(fā)現(xiàn)設計中不安全的方面，識別、分析威脅并確定威脅的優(yōu)先順序，發(fā)現(xiàn)用于攻擊應用程序的最常見技術(shù)和方法(欺騙、篡改、拒絕服務、權(quán)限提升)，確定哪些威脅需要額外的安全測試，最重要的是，制定策略和解決方案以主動緩解每個威脅。

采用安全編程技術(shù)

要求開發(fā)人員利用已建立的安全編程技術(shù)，例如重構(gòu)、持續(xù)改進/持續(xù)開發(fā)(CI/CD)、同行評審、安全迭代和測試驅(qū)動開發(fā)。

這改進了應用程序代碼的非功能質(zhì)量，并有助于消除允許利用安全漏洞的編程缺陷。安全編程技術(shù)還有助于指導在安全方法方面缺乏經(jīng)驗的開發(fā)人員，使用AI或低代碼/無代碼等新技術(shù)，開發(fā)復雜應用程序的一個方面，集成第三方應用程序，或滿足合規(guī)性要求。

執(zhí)行獨立的安全審查

讓獨立的審查者執(zhí)行靜態(tài)代碼分析(審閱源代碼，以分析應用程序代碼中的錯誤、錯誤和漏洞)和動態(tài)分析(檢查執(zhí)行期間的應用程序行為，以確定異常或意外行為)。這為利益相關(guān)者提供了應用程序滿足安全要求且不包含任何安全漏洞的保證。

自動執(zhí)行安全測試

對于安全團隊來說，手動測試和評估每個敏捷迭代通常是不可行的，這就是有必要采用某種類型的自動化來持續(xù)檢查應用程序代碼的安全性以發(fā)現(xiàn)缺陷和漏洞的原因，確保安全相關(guān)任務一致且有條不紊地完成，分析安全事件，并減輕安全團隊和開發(fā)人員的負擔。然而，一切都不可能是自動化的，自動化也不能完全取代人工測試，例如，一個人需要手動檢查以確定邏輯缺陷。

在驗收標準中包括安全性

創(chuàng)建、溝通和維護一套標準的安全驗收標準，以確認已經(jīng)執(zhí)行了對應用程序代碼的獨立審查，已經(jīng)完成了安全測試，合并到應用程序中的代碼部分是可維護的、可跟蹤的，并且來自經(jīng)過驗證的、信譽良好的來源，已經(jīng)成功地滿足了迭代積壓的要求，已經(jīng)解決了所有缺陷，包括安全漏洞，并且已經(jīng)識別和批準了任何可能影響安全性的設計變更。

這有助于減少技術(shù)債務，向利益相關(guān)者提供保證，并在應用程序代碼交付之前驗證安全驗收標準已完全滿足。

評估安全性能

敏捷項目通常包括有限的安全性能評估，這使得企業(yè)很難確定其應用程序的安全性是否符合業(yè)務要求。因此，企業(yè)必須根據(jù)一組商定的KPI來監(jiān)控和評估適當?shù)陌踩笜恕?/p>

安全指標可以包括安全漏洞的類型、數(shù)量和嚴重程度、獨立測試的結(jié)果、已批準和未批準的安全策略偏差的數(shù)量、未違反安全措施的時間長度以及其他缺陷消除指標。

如果你的開發(fā)是敏捷的，那么信息安全就必須效仿，這就是建議所有企業(yè)遵循上述安全原則和最佳做法的原因。安全的成功取決于各方(開發(fā)人員、項目經(jīng)理、執(zhí)行團隊等)之間的協(xié)作和承諾程度。如果安全流程可以像編碼一樣進行快速迭代和改進，那么只有這樣才能在當?shù)靥峁└玫膽贸绦虬踩院陀行У母摹?/p>