Latih Pengembang dalam Konsep Keamanan Aplikasi dan Pengkodean Aman
Deskripsi
Pastikan semua personel pengembangan perangkat lunak menerima pelatihan dalam menulis kode yang aman untuk lingkungan dan tanggung jawab khusus mereka. Pelatihan dapat mencakup prinsip keamanan umum dan praktik keamanan aplikasi standar. Lakukan pelatihan setidaknya setiap tahun dan desain sedemikian rupa sehingga mendorong keamanan dalam proses pengembangan.
Daftar Periksa Implementasi
Rekomendasi Alat
Platform pelatihan kesadaran keamanan dengan simulasi phishing, modul pelatihan interaktif, dan pelaporan kepatuhan
KnowBe4 · Langganan per pengguna
Platform kesadaran keamanan adaptif dan perubahan perilaku dengan pelatihan tertarget berdasarkan data ancaman nyata
Proofpoint · Langganan per pengguna
Platform keamanan aplikasi dengan SAST, DAST, SCA, dan pelatihan pengembang untuk pengembangan perangkat lunak yang aman
Veracode · Langganan per aplikasi
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Developer Memperkenalkan Kerentanan Injection Akibat Kurangnya Pelatihan
ConfidentialityDeveloper menulis kode yang rentan terhadap SQL injection karena mereka tidak pernah dilatih tentang parameterized query atau validasi input dalam framework pengembangan spesifik mereka.
Kelemahan Deserialisasi Tidak Aman dari Developer yang Tidak Terlatih
IntegrityDeveloper mengimplementasikan deserialisasi objek dari input tidak tepercaya tanpa sanitasi karena mereka tidak memiliki pelatihan tentang serangan deserialisasi, memungkinkan eksekusi kode jarak jauh.
Kerentanan (Saat Pengamanan Tidak Ada)
Developer Tidak Memiliki Pengetahuan Pengkodean Aman
Tanpa pelatihan keamanan aplikasi, developer tidak menyadari pola kerentanan umum dalam framework dan bahasa spesifik mereka, secara sistematis memperkenalkan kelemahan keamanan yang dapat dicegah.
Tidak Ada Budaya Keamanan dalam Tim Pengembangan
Ketiadaan pelatihan developer yang berfokus keamanan berarti keamanan diperlakukan sebagai renungan daripada bagian integral dari proses pengembangan, menghasilkan kode yang tidak aman secara default.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |