OPSWAT Secure Çerçevesi: Dayanıklılık ve Derinlemesine Güvenlik Taahhüdü

Kötü niyetli aktörler kar veya kesinti için sistemleri hedef alarak kurumlar için maliyetlere, iş risklerine ve itibar kaybına yol açmaktadır. 

Yakın zamanda yapılan bir araştırmaya göre, bir güvenlik hatasını düzeltmenin maliyeti, analiz ve gereksinim aşamasına kıyasla üretimde keşfedildiğinde 30 kat daha yüksektir.

OPSWAT Secure Çerçevesi, güvenli yazılım geliştirmeye yön veren yapılandırılmış metodolojileri ve güvenlik ilkelerini tanımlar. 

OPSWAT , Çevik Software Yaşam Döngüsü’nü (Agile Software Lifecycle) OPSWAT . Müşterilerimizin gereksinimlerine tam olarak uyum sağlamak amacıyla, yasal gerekliliklere ve uluslararası standartlara uygun Secure Çerçevesi’ni benimsedik. Bu yaklaşım, sürekli gelişen siber güvenlik ortamında sürekli iyileştirme ve dayanıklılık konusundaki kararlılığımızı pekiştirmektedir.

OPSWAT Secure Çerçevesi, NIST SP 800-218 SSDF (Secure Software Çerçevesi) üzerine kurulmuştur ve yazılım geliştirme sürecinin tüm aşamalarında güvenliğin yapılandırılmış, ölçülebilir ve tutarlı bir şekilde uygulanmasını sağlar.  

OPSWAT , SSDF'nin en iyi uygulamalarını entegre ederek, planlama ve tasarımdan uygulama, doğrulama ve sürekli izlemeye kadar yazılım geliştirmenin her aşamasına güvenliği yerleştirerek proaktif bir güvenlik duruşu sağlar. 

Münferit ürünlerin uygunluğunun tasdiki, ABD Federal Hükümeti müşterilerimize talep üzerine sağlanmaktadır. Aşağıdaki iletişim bilgilerine bakınız.

Siber güvenlik düzenlemeleri gelişmeye devam ederken, OPSWAT , Secure Çerçevesi’ni, öncelikle AB Siber Dayanıklılık Yasası ve NIS2 Direktifi olmak üzere küresel düzenleyici gerekliliklerle uyumlu hale getirmeye OPSWAT . OPSWAT , ortaya çıkan standartlara proaktif bir şekilde uyum sağlayarak, giderek karmaşıklaşan düzenleyici ortamda Secure kapsamlı, uyumlu ve dayanıklı kalmasını OPSWAT .

Güçlü bir bilgi güvenliğinin sağlanması, hem operasyonel bütünlük hem de mevzuata uygunluk açısından hayati önem taşımaktadır. OPSWAT Secure Çerçevesi, ISO 27001 ISMS (Bilgi Güvenliği Yönetim Sistemi) ilkelerini bünyesinde barındırarak güvenlik kontrollerinin, risk yönetimi stratejilerinin ve uyum önlemlerinin bulut ürünlerimizin işleyişine sorunsuz bir şekilde entegre edilmesini sağlar. 

Güvenlik çözümlerimizin hem sağlayıcısı hem de tüketicisi olan OPSWAT , şirket içi güvenlik politikalarını uygulayarak sertifikalı ürünlerimizin dağıtımdan önce kurumsal düzeyde güvenlik beklentilerine uymasını sağlar.  

Uyumluluk ve Sertifikalar hakkında daha fazla ayrıntıya bakın.

En yüksek yazılım kalitesi standartlarını sağlamak amacıyla, OPSWAT Secure Çerçevesi, ISO 9001 Kalite Yönetim Sistemi’ne (QMS) entegre edilmiştir. Kalite Yönetim Sistemi, yönetişim, değişiklik yönetimi ve işlevler arası süreçler için denetlenmiş kalite kontrolleri oluşturarak, ürün ve destek hizmetlerinin tanımlanmasını, tasarımını, geliştirilmesini, üretimini ve bakımını destekler; bu kapsam, Ar-Ge’nin ötesine geçerek satış, müşteri desteği, bilgi teknolojisi ve insan kaynakları gibi alanlara da uzanır.  

Bu yaklaşım, kalite yönetimine yönelik yapılandırılmış, risk temelli bir yaklaşıma olan bağlılığımızı pekiştirmekte ve uygulama güvenliğinin tüm iş fonksiyonlarında ayrılmaz bir husus olarak kalmasını sağlamaktadır.

Uyumluluk ve Sertifikalar hakkında daha fazla ayrıntıya bakın.

OWASP Software Güvencesi Olgunluk Modeli (SAMM ), kuruluşların mevcut SDLC'leri içinde etkili yazılım güvenliği stratejilerini değerlendirmelerine, formüle etmelerine ve uygulamalarına yardımcı olmak için tasarlanmış kapsamlı bir çerçevedir.

Açık kaynaklı bir çerçeve olan SAMM, küresel katkılardan yararlanarak uygulama güvenliğine yönelik işbirliğine dayalı, sürekli gelişen bir yaklaşım sağlar. Yapılandırılmış metodolojisi, kuruluşlara geliştirme yaşam döngülerini analiz etmek ve iyileştirmek için etkili ve ölçülebilir bir yol sağlar. SAMM tüm geliştirme yaşam döngüsünü destekler. SAMM teknoloji ve süreçten bağımsızdır. SAMM evrimsel ve risk odaklıdır. Ekipler SAMM'den yararlanarak güvenlik açıkları hakkında eyleme geçirilebilir içgörüler elde eder ve geliştirme yaşam döngüsü boyunca güvenlik duruşlarını sistematik olarak geliştirebilirler.

OWASP Uygulama Güvenliği Doğrulama Standardı (ASVS), web uygulama güvenliği için yapılandırılmış, ölçülebilir ve uygulanabilir bir yaklaşım oluşturmak üzere tasarlanmış, dünya çapında tanınan bir çerçevedir. Geliştiricilere ve güvenlik ekiplerine, uygulamaların sektördeki en iyi uygulamaları karşılamasını sağlamak için kapsamlı bir dizi güvenlik gereksinimi ve doğrulama yönergesi sağlar. 

Açık kaynaklı bir çerçeve olan ASVS, küresel güvenlik topluluğunun geniş katkılarından yararlanarak, ortaya çıkan tehditler ve gelişen güvenlik standartları ile güncel kalmasını sağlar.

OPSWAT Secure Programı, Secure Çerçevesi’ni yapılandırılmış bir yönetişim sistemine dönüştürerek güvenlik gereksinimlerinin belgelenmesini, sürdürülmesini, ölçülmesini ve sürekli olarak iyileştirilmesini sağlarken, aynı zamanda tüm ilgili tarafların yeterli eğitimi almasını da garanti eder. Bu program, geliştirme, test ve üretim ortamları ile iş akışı güvenliği için roller, sorumluluklar ve güvenlik önlemlerini belirler; Secure Ortamı’nı tanımlar ve Secure Süreci kapsamında güvenlik politikalarının uygulanmasını zorunlu kılar.

Üst Düzey Yönetim - Baş Ürün Sorumlusu (CPO)

Ürün Direktörü (CPO), tüm ürün ekiplerinde Secure Programı’nın yanı sıra Kalite Güvencesi (QA) Programı ve Kullanıcı Deneyimi (UX) Programı gibi diğer Araştırma ve Geliştirme (Ar-Ge) programlarının stratejik denetiminden ve uygulanmasından sorumludur; böylece güvenli, yüksek kaliteli ve kullanıcı odaklı yazılım geliştirmeye yönelik tutarlı bir yaklaşımın sağlanmasını garanti eder.

Tüm ürünler ve Ar-Ge süreçlerinin birincil risk sorumlusu olarak CPO, Ar-Ge Operasyonları birimine Secure Programı’nın sorumluluğunu verir ve ürün liderlerinin Secure Programı’nın uygulanmasını sağladığından ve Secure Süreci’ni ürün ekiplerinde etkin bir şekilde hayata geçirdiğinden emin olur. Bu rolü kapsamında CPO, Secure Programı’nda yapılacak değişiklikleri ve Secure Süreci’nden sapmaları onaylar.

CPO ayrıca, ürünlerin sağlam bir güvenlik duruşunu sürdürmek amacıyla Secure Programı’nın sonuçlarını izler; güvenlik olgunluğu, güvenlik açıkları, uyumluluk ve geliştirme faaliyetlerini takip eder.

Buna ek olarak, CPO, Ar-Ge güvenlik bütçesinin tahsisi ve onaylanmasından sorumludur ve Secure Programı’na yeterli kaynak ayrılmasını sağlar.

Stratejik Öncelikler

OPSWAT'ın uygulama güvenliğine yönelik stratejik planı, her bir ürünün olgunluk seviyesi ve güvenlik tehditlerine maruz kalma durumu göz önünde bulundurularak iş öncelikleri ve risk iştahı ile uyumlu hale getirilmiştir. Öncelikli odak noktası, yüksek riskli ürünlerin, özellikle de geniş bir müşteri tabanına, halka açık dağıtımlara veya kritik altyapıya entegrasyona sahip olanların korunmasıdır.

Secure Programı kapsamında, şirketin genel güvenlik farkındalık eğitimlerine ek olarak, güvenli yazılım geliştirme sürecine dahil olan tüm personel için göreve özel güvenlik eğitimi zorunlu kılınmaktadır. Tüm eğitimler, şirketin eğitim araçları aracılığıyla takip edilmektedir. Eğitim ve farkındalık programları, yeni güvenlik trendlerini içerecek ve güvenlik standartlarına sürekli uyumu sağlayacak şekilde periyodik olarak gözden geçirilmektedir.

OPSWAT , sürekli güvenlik etkinliğini sağlamak amacıyla yapılandırılmış performans ölçümleri, olgunluk değerlendirmeleri ve düzenli güncellemeler yoluyla Secure Programını sürekli olarak geliştirmeye OPSWAT .  

Güçlü bir güvenlik duruşunu korumak için OPSWAT , güvenlik performansını izlemek ve iyileştirmek için sistematik bir yaklaşım kullanır. Bu, üç ayda bir yapılan ürün güvenliği olgunluk değerlendirmelerini, en iyi uygulamalara bağlılığı doğrulamak için dahili güvenlik incelemelerini ve üç ayda bir ölçülen yıllık Temel Performans Göstergelerinin (KPI'lar) tanımlanmasını içerir.  

Uygulama güvenlik durumunu etkin bir şekilde ölçmek için OPSWAT , ekipleri yapılandırılmış metrikler kullanarak OPSWAT . Ürün güvenlik olgunluğu, SAMM çerçevesine dayalı olarak ekip bazında değerlendirilir ve bu sayede güvenlik alanındaki ilerlemenin nicel olarak ölçülebilir bir göstergesi sağlanır. Ayrıca, güvenlik doğrulama gerekliliklerine uyulduğundan emin olmak için ürünler bir ASVS uyumluluk değerlendirmesinden geçirilir. Secure Süreci’ne uyum yakından izlenir ve değerlendirilir; KPI hedeflerine ulaşılması kanıta dayalıdır. Bu sayede, hem güvenlik durumu hem de güvenlik iyileştirmelerinin ölçülebilir ve eyleme geçirilebilir olması sağlanır. Tüm ürün ekiplerinin, yıllık performans değerlendirmelerinin bir parçası olarak güvenlik olgunluk hedeflerini karşılamaları zorunludur. 

Sürekli iyileştirme çabalarının bir parçası olarak OPSWAT , olgunluk seviyelerini artırmak ve uygulama güvenliğini güçlendirmek için periyodik olarak yeni ürün güvenlik girişimleri başlatmaktadır. Bu girişimler, ortaya çıkan tehditleri ele almak için güvenlik politikalarının güncellenmesini, gelişmiş tespit ve önleme için yeni güvenlik araçlarının entegre edilmesini ve sürekli ilerlemeyi sağlamak için KPI hedeflerinin genişletilmesini içerir. 

Güvenlik yönetişimini daha da güçlendirmek amacıyla OPSWAT , Secure çerçevesini yıllık olarak gözden OPSWAT ; bu süreçte geçmiş güvenlik olaylarının kök neden analizlerinden elde edilen bulguları, güvenlik açığı eğilimlerine ilişkin değerlendirmeleri ve mevcut süreçler ile politikalarda yapılan iyileştirmeleri dikkate alır.  

Sürekli iyileştirmeye yönelik bu yapılandırılmış yaklaşım, OPSWAT 'in proaktif ve dirençli bir ürün güvenliği duruşunu sürdürmesini, hem düzenleyici hem de operasyonel güvenlik hedeflerini karşılarken gelişen siber güvenlik zorluklarına etkili bir şekilde uyum sağlamasını sağlar.

Secure Süreci, her geliştirme aşamasında otomatik güvenlik kontrolleri ve doğrulama mekanizmaları gibi belirli faaliyetler de dahil olmak üzere, ekiplerin uyması gereken güvenlik kontrollerini tanımlayarak Secure Programını daha da işlevsel hale getirir. Bu süreç, Kalite Güvence Programı ve Kullanıcı Deneyimi Programı gibi diğer önemli Ar-Ge programlarıyla uyumlu olup, güvenli, yüksek kaliteli ve müşteri odaklı yazılım geliştirmeye yönelik tutarlı bir yaklaşım sağlar. 

Secure Süreci, aşağıdaki bölümlerde ayrıntılı olarak açıklanmaktadır:

• Secure ve Risk Değerlendirmesi
• Secure , Derleme ve Dağıtım
• Uygulama Güvenliği Testi ve Doğrulaması
• Secure
• Secure ve Bakım

Secure Süreci, genel bir süreçtir; ekipler, sürecin güvenliğinin asgari düzeyde tutulması şartıyla, bu süreci genişletilmiş ve özelleştirilmiş bir şekilde uygulayabilirler. Secure Sürecinden sapmalar belgelenmeli ve onaylanmalıdır.

Secure Programı, programın gerekliliklerine uyumu sağlamak amacıyla ürün ekipleri tarafından resmi olarak onaylanması ve kabul edilmesi gereken çeşitli ilkelerden oluşmaktadır. Bu ilkelere uyum, kurum içinde zorunludur ve her ekip, geliştirme süreçlerinin bir parçası olarak bu ilkeleri gözden geçirmek, imzalamak ve uygulamaktan sorumludur. 

Aşağıda, ilgili amaçlarıyla birlikte temel politikaların bir listesi yer almaktadır. Harici öneme sahip politikalar için ek ayrıntılar bu belgeye dahil edilmiştir.

Secure Süreci kapsamında, güvenlik gereksinimleri geliştirme yaşam döngüsü boyunca takip edilir, belgelenir ve sürdürülür. Üçüncü taraf tedarikçilerin ASVS’yi kabul etmeleri ve bu standartlara uymaları zorunludur; bu sayede tüm yazılım bileşenlerinde güvenlik beklentilerinde tutarlılık sağlanır ve Ürün Gizlilik Uyumluluk Politikasına uyum garanti altına alınır. 

Güvenlik, geliştirme yaşam döngüsünün her aşamasına entegre edilmiştir. Güvenlik sorumlularının görevi, Secure Süreci’nin beklentilerini göz önünde bulundurmak ve bunları ekiplerinde temsil etmektir. 

Secure gereklilikleri kümesi, ASVS temelli işlevsel ve işlevsel olmayan güvenlik gerekliliklerini içerir. Tasarım kararlarını desteklemek amacıyla Ar-Ge Operasyonları birimi tarafından referans modeller sunulur; ayrıca gerekirse ASVS gerekliliklerine ilişkin belgelenmiş uyarlamalar da sağlanır (örneğin, daha güçlü şifreleme gereklilikleri).

Tehdit modelleme, geliştirme yaşam döngüsünün en erken aşamalarında tehditleri ve güvenlik açıklarını belirlemeye yönelik yapılandırılmış bir süreçtir. Bu süreç, Secure Süreci’nin ayrılmaz bir parçasıdır ve düzenli olarak — en az yılda bir kez ya da yeni özellikler veya mimari değişiklikler getirildiğinde — yürütülür. Ürün ekipleri, güvenlik hedeflerini tanımlayarak, varlıkları ve bağımlılıkları belirleyerek, olası saldırı senaryolarını analiz ederek ve tespit edilen tehditleri azaltarak tehdit modelleme işlemini gerçekleştirir.  

Veri akışı analizi ve yerleşik tehdit modelleme uygulamalarını (örneğin STRIDE modeli) içeren gelişmiş bir yaklaşım, ürünler arasında kapsamlı bir değerlendirme yapılmasını sağlar. Gerektiğinde, güvenlik gereksinimlerine uygunluğu doğrulamak ve potansiyel riskleri proaktif olarak ele almak için Güvenlik İncelemeleri başlatılır. Tasarım kararları dikkatlice belgelenir ve kalan riskler ürün yaşam döngüsü boyunca sürekli olarak izlenir.

Uygulama güvenlik riskleri, tehdit modellemesi sırasında belirlenen artık tehditler, OWASP Top 10 ve SANS Top 25'te yer alanlar gibi yaygın olarak tanınan güvenlik açıkları ve ASVS yönergelerine dayalı eksik güvenlik kontrolleri dahil olmak üzere birden fazla kaynak kullanılarak değerlendirilir. Ek risk faktörleri arasında derleme, dağıtım ve sürüm süreçleri boyunca gizli yönetimdeki zayıflıkların yanı sıra açık kaynaklı ve üçüncü taraf bileşenlerdeki güvenlik açıkları da yer alır. 

Risk değerlendirmesinin ardından, belirlenen risklerin şiddetini azaltmak için hem etki hem de olasılığı dikkate alan hafifletme planları geliştirilir. Bu planlar, ilgili riskler ve hafifletme adımları ile birlikte kapsamlı bir şekilde belgelenir. 

Artık riskler ürün yaşam döngüsü boyunca takip edilir ve periyodik incelemeye tabi tutulur ve risk sahipleri tarafından resmi olarak onaylanmalıdır. Ayrıca görünürlüğü ve hesap verebilirliği korumak için dahili sürüm raporlarına dahil edilirler. 

Gerektiğinde, güvenlik gereksinimlerine uygunluğu sağlamak ve olası riskleri proaktif olarak ele almak için Güvenlik İncelemeleri başlatılır ve ürünün genel güvenlik duruşu güçlendirilir.

Uygulama, Derleme ve Dağıtım aşamalarını içeren Secure Süreci kapsamında, Secure ve Risk Değerlendirmesi temelinde güvenlik açıklarının ve kusurların önlenmesi hedeflenmektedir. Gereksinim seti, ASVS temelli işlevsel ve işlevsel olmayan güvenlik gereksinimleri ile Secure Ortamına dayanan güvenli geliştirme ve test metodolojisine ilişkin beklentileri içermektedir.  

Uygulama aşamasında, Secure En İyi Uygulamaları, Secure İncelemesi ve Güvenlik Açıklarının Erken Tespiti ilkeleri uygulanmalıdır. Ekipler, Supply Chain Politikası’na (tedarikçi kabul süreci ve açık kaynaklı yazılım konuları dahil), Yapay Zeka Kullanım Politikası’na ve Kötü Amaçlı Yazılım Örneklerinin Yönetimi Politikası’na uymak zorundadır. Derleme ve dağıtım aşamalarında, merkezi CI/CD boru hattının kullanıldığı Secure ve Dağıtım ile Görev Ayrılığı ilkeleri zorunludur.

Ürün ekipleri, uygulama sırasında dilden bağımsız güvenli kodlama en iyi uygulamalarını takip etmelidir. Girdi verilerini doğrulamaları, diğer sistemlere gönderilen verileri sterilize etmeleri, derleyici uyarılarını ortadan kaldırmaları, güvenli hata mesajları ayarlamaları, uygun olduğunda çıktı kodlaması uygulamaları, hassas verileri açığa çıkarmadan güvenli günlük kaydı uygulamaları ve uygun hata işleme ve istisna yönetimi yönergelerini izlemeleri gerekir. Ekipler ayrıca, eğer kullanılıyorsa, kriptografinin onaylı algoritmalara ve güvenli rastgele sayı üretimine dayandığından emin olmalı ve belleği güvenli bir şekilde işleyerek, yarış koşullarını önleyerek ve uygun senkronizasyon yoluyla kilitlenmeleri önleyerek sistem kaynaklarını güvenli bir şekilde yönetmelidir. 

Ürün ekiplerinin ayrıca aşağıda örneklendiği gibi SAST araçları tarafından uygulanan dile özgü güvenli kodlama yönergelerini takip etmeleri tavsiye edilir: 

Java için, ekipler karşılaştırma işlemlerinde kullanılan anahtarların değişmez olduğundan emin olmalı, Random yerine SecureRandom kullanmalı ve girdi sınıflarını doğrulayarak veya kısıtlayarak güvensiz serileştirmeden kaçınmalıdır.

C++'da, bellek ayırma hatalarının tespit edilmesi ve ele alınması, sınır denetimi ve std::unique_ptr() gibi akıllı işaretçilerin kullanılması yoluyla arabellek taşmalarının önlenmesi ve strcpy() ve sprintf() gibi güvenli olmayan işlevlerden kaçınılması önerilir. 

Python için, geliştiriciler kod ekleme risklerini azaltmak için eval() veya exec() gibi işlevleri kullanmaktan kaçınmalı ve güvenilmeyen verileri işlerken pickle yerine json modülü gibi güvenli serileştirme biçimlerini tercih etmelidir.

Uygulama Güvenliği Doğrulama Politikası kapsamında gerekli olan Güvenlik İncelemelerinin bir parçası olarak, güvenli kod incelemesi büyük önem taşımaktadır ve bu inceleme, geliştirme teknolojisine bağlı olarak gerçekleştirilir; bu süreçteOWASP Cheatsheet serisinedayalı çeşitli Secure İnceleme Kontrol Listeleri uygulanır.

Uygulama Güvenliği Doğrulama Politikasının gerektirdiği gibi, güvenlik kusurlarının erken tespiti geliştirme sürecinin kritik bir bileşenidir. Potansiyel güvenlik sorunlarını en aza indirmek için, güvensiz kodun boru hattında ilerlememesini sağlayan "başarısız derleme" yaklaşımı zorunludur. Ayrıca, değişikliklerin entegre edilmesinden önce ekiplerin tespit edilen sorunları gidermesini gerektiren bir "birleştirme başarısız" yaklaşımı zorunludur. Tespit edilen kusurların giderilmesi, sürüm kriterlerinin karşılanması için çok önemlidir.

Secure sürecinin bir parçası olarak, güvenli derlemeleri sağlamak ve tedarik zinciri saldırılarını önlemek için merkezi ve koordine edilmiş bir CI/CD boru hattının kullanılması zorunludur. Denetim, derleme ve dağıtım günlükleri, şirket güvenlik politikalarında tanımlandığı şekilde oluşturulur, saklanır ve incelenir. 

Her ürün ekibi, uygun olan yerlerde güvenli derleme ve derleyici yapılandırmalarını takip etmekten sorumludur. Güvenli derleyici seçenekleri kullanmalı, hata ayıklama kodunu devre dışı bırakmalı, yorumlanan diller için çalışma zamanlarını sağlamlaştırmalı, bağımlılık sürümlerini sabitlemeli, tekrarlanabilir derlemeler sağlamalı ve kapsayıcı görüntülerini sağlamlaştırmalıdırlar. Kullanılan konfigürasyonlar belgelenmeli ve periyodik olarak gözden geçirilmelidir. 

Görevler Ayrılığı ilkesine uygun olarak, kod veya derleme erişimi olan geliştiriciler ve diğer ekip üyeleri üretim ortamına erişemez. Bulut ürünleri söz konusu olduğunda, yalnızca ürünün saha güvenilirliği mühendislerinin üretim ortamına dağıtım yapmasına izin verilir.

Uygulama Güvenliği Doğrulama Politikamıza göre, tespit edilen sorunlar için resmi belgeleme ve takip süreçleri uyguluyor ve sürekli doğrulama amacıyla otomatik araçlar kullanıyoruz. Secure Süreci kapsamında, uyumluluk gerekliliklerini karşılamak üzere SDLC’nin her aşamasında güvenlik kontrolleri uygulanmakta ve takip edilmektedir. Bunların amacı, olası güvenlik açıklarını verimli bir şekilde tespit etmektir. Ortaya çıkan güvenlik sorunları ekipler tarafından incelenir ve belirlenen süre içinde çözülür. Bu süreler, tanımlanmış güvenlik KPI’larının bir parçasıdır.

• Mimari ve Tasarım İncelemeleri: Kıdemli mühendisler ve Uygulama Güvenliği Sanal Ekibi üyeleri, şifreleme, kimlik doğrulama, yetkilendirme, denetim, sistem sertleştirme, sistem ve ağ mimarisi dahil olmak üzere tasarım değişikliklerinde güvenlik hususlarını değerlendirir. 
• Kod İncelemeleri: Akran ve kıdemli mühendisler tarafından yapılan düzenli kod incelemelerine ek olarak, Uygulama Güvenliği Sanal Ekibi üyeleri, enjeksiyon, hata işleme ve güvensiz yapılandırmalar gibi yaygın kusurları önlemek için değişiklikleri gözden geçirir.

• Gizli bilgilerin dışarı sızmasını önlemek ve gizli bilgilerin işlenmesinin iyi tasarlanmasını ve güvenli bir şekilde uygulanmasını sağlamak için Gizli Tarama.
• Güvenlik açıklarını tespit etmek için SAST (Statik Uygulama Güvenlik Testi) araçları (ör. SQL Injection, Buffer Overflows).
• SCA (Software Kompozisyon Analizi) açık kaynak güvenlik açıklarını tespit etmek için kullanılır.
• DAST (Dinamik Uygulama Güvenlik Testi) çalışma zamanı (örneğin bellek kusurları) ve ortam sorunlarını bulmak için kullanılır

Güvenlik Sorunlarının Erken Tespiti bölümünde tanımlanan araçların CI/CD boru hattında kullanılması zorunludur. Tanımlanan tüm güvenlik açıkları, Ürün Güvenlik Açığı Vulnerability Management Politikası uyarınca giderilmelidir.

Hem otomatik hem de manuel güvenlik testi metodolojileri, Güvenlik Test Planını yürüten Kalite Güvence Programı ile tutarlı olarak kullanılır.

• DAST araçları , çalışma zamanı güvenlik açıklarını tespit etmek, varsayılan yapılandırmaları test etmek ve sertleştirme önerilerini uyguladıktan sonra sistemin dayanıklılığını test etmek için kullanılır. Testler hem yazılımı hem de altta yatan altyapıyı hedef alır. 
• Güvenlik gereksinimlerinde ve özelliklerinde gerilemeyi önlemek için, güvenlik özelliklerinin ve kontrollerinin bütünlüğünü sürekli olarak doğrulamak üzere otomatik test araçları kullanıyoruz. 
• Manuel testler , bilgi sızıntısına yönelik kontrollerin doğrulanması, iş mantığı kusurlarının belirlenmesi ve bağlamsal güvenlik açıkları gibi otomatik araçların yetersiz kaldığı durumlarda uygulanır. 
• Geliştirme yaşam döngüsündeki eserlerin otomatik Kötü Amaçlı Yazılım Taraması da güvenlik sorunlarının önlenmesine odaklanan adımların bir parçasıdır.

Secure Süreci’nin bir parçası olarak, sürüm yayınlama süreci, Uygulama Güvenliği Test ve Doğrulama çalışmalarından elde edilen bulgulara dayanarak hem Secure Süreci’ne uyumu hem de ürünün genel güvenliğini sağlayan sürüm yayınlama kriterlerini uygular. Ürün sürümleme, her sürüm için temel bir gereklilik olarak, sürümler arasında güvenlik iyileştirmelerinin sürdürülmesinde, güvenlikle ilgili gerilemelerin önlenmesinde ve elde edilen güvenlik durumunun korunmasında hayati bir rol oynar. 

Sürüm süreci, kalan riskleri ve bekleyen güvenlik sorunlarını belgeleyen dahili sürüm raporlarının oluşturulmasını içerir. Bu raporlar ürün lideri tarafından resmi olarak onaylanmalıdır. Ayrıca, harici sürüm notları, ürünün resmi sürümünün bir parçası olarak güvenlikle ilgili değişiklikleri ve düzeltmeleri bildirir. 

Bulut ürünleri için dağıtım, "dağıtımda başarısız" otomasyon yaklaşımını izleyerek yalnızca güvenli yapıların yayınlanmasını sağlar. Uygulama Güvenliği Testi ve Doğrulaması, üretim dağıtımından önce güvenlik doğrulamasını güçlendiren bir itme yerine operasyonel bir çekme stratejisi ile dağıtım hattına entegre edilmiştir. 

SBOM Yönetim Politikası uyarınca, her sürüm, bileşen kaynağının izlenebilirliğini korumak, şeffaflığı ve tedarik zinciri güvenliğini desteklemek için bir Software Bill of Materials (SBOM) ) içerir. Gerekli tüm sürüm dosyaları, uzun vadeli erişilebilirliği sağlamak için güvenli bir şekilde arşivlenir.

Sürüm Bütünlüğü Politikasına göre, ürün sürümlerinin bütünlüğünü ve güvenliğini korumak için, değişikliklerin net bir şekilde izlenebilirliğini ve dokümantasyon da dahil olmak üzere yayınlanan tüm eserler için tanımlanmış bir saklama süresini sağlayan yapılandırılmış bir sürümleme sistemi (örn. Semantik Sürümleme) uygulanmaktadır. Güvenliği daha da artırmak için, yazılım eserleri şirketin adı altında dijital olarak imzalanır ve yayınlanan SHA parmak izleri, kullanıcıların orijinalliği doğrulamasına ve herhangi bir tahrifat girişimini tespit etmesine olanak tanır. 

Her sürüme eşlik eden sürümlü belgeler , bütünlük doğrulama yöntemleri, güvenli kurulum prosedürleri, en iyi yapılandırma uygulamaları ve sistem güçlendirme önlemleri hakkında ayrıntılı rehberlik sağlar. Bu kaynaklar, kullanıcıların güvenlik kontrollerini etkili bir şekilde uygulamalarına yardımcı olarak potansiyel saldırı yüzeylerini azaltır. Ayrıca, uyumluluk yükümlülüklerini belirlemek ve yasal şeffaflığı sürdürmek için Son Kullanıcı Lisans Sözleşmesi (EULA) eklenmiştir. 

Bireysel ürünler için SBOM, talep üzerine müşterilerimize sağlanmaktadır. Bize ulaşın.

Geliştirme, test ve üretim ortamları, yetkisiz erişimi önlemek için güvenli bir şekilde ayrılmıştır. Her ortam, katı sertleştirme temellerini ve uç nokta güvenlik protokollerini takip eder. Geliştirme Ortamları şirket güvenlik politikaları ile uyumlu olmalıdır.

Uç nokta korumasının bir parçası olarak, OPSWAT 'ın sahip olduğu tüm cihazlar güvenlik açıkları, yüklü yazılımlar, yüklü yamalar ve şirket güvenlik politikalarına uygunluk açısından izlenir. Uyumsuzluk durumunda, kurumsal kaynaklara erişimi sınırlandırmak için kısıtlayıcı önlemler alınır. 

Yüksek risk kategorisinde sınıflandırılan kaynaklara yalnızca kontrollü erişim yolları (VPN) üzerinden erişilebilir. Şirket ağı dışındaki cihazların Ar-Ge kaynaklarına erişmek için güvenli kanallar kullanması zorunludur.

CI/CD boru hattı güvenliği, gelişen tehditleri azaltmak için katı güvenlik direktiflerine bağlıdır. Tehditlerin kaynağı eski altyapı unsurları (işletim sistemleri, analiz araçları vb.), zayıf ayrıcalık kontrolleri nedeniyle yetkisiz erişimler ve zayıf izole edilmiş ortamlar olabilir. CI/CD altyapısının güncel tutulması, kapsamlı bir şekilde incelenmesi ve sıkı bir şekilde kontrol edilmesi, güvenli SDLC'mizin temel taşıdır. 

Bölgesel olarak, kod depolama, CI/CD işlem hattı, analiz ve test araçları ve güvenli eser imzalama dahil olmak üzere tüm merkezi hizmetler için ABD merkezli sunucular kullanılır. Tüm merkezi araçların yapılandırılması Ar-Ge Operasyonlarının kontrolü altındadır. 

Güçlü kimlik doğrulama mekanizmaları (Multi-Factor Authentication - MFA) ve yetkilendirme kontrolleri (Role-Based Access Control - RBAC) uyguluyoruz. En az ayrıcalık ve düzenli erişim incelemeleri yapılmaktadır. 

Boru hatlarımız Statik Uygulama Güvenlik Testi (SAST), Software Bileşim Analizi (SCA), Dinamik Uygulama Güvenlik Testi (DAST), Gizli Tarama ve Kötü Amaçlı Software Taraması dahil olmak üzere çeşitli analiz ve test otomasyon araçlarını içermektedir. 

Güvenli kod imzalama çözümümüzde, anahtar malzemeyi yetkisiz erişime karşı korumak ve imzayı oluşturmak için Hardware Güvenlik Modülleri (HSM'ler) kullanıyoruz. İmzalama çözümü CI/CD altyapısının bir parçasıdır, ancak ağ segmentasyonu mevcuttur. HSM'lere yalnızca Ar-Ge Operasyonları kısa süreliğine erişme yetkisine sahiptir. Her imzalama eylemi günlüğe kaydedilir ve bir denetim izi sırasında incelenebilir. 

Yazılımın derlenmesi, derleme veya test edilmesi için kullanılan araç seti, menşe bilgisine sahip olmalı ve doğrulanmış bir kaynaktan gelmelidir. CI/CD boru hattında kullanılan araçların sayısı sınırlıdır; yalnızca gerekli araçlar yüklenir. Boru hattındaki derleme ve oluşturma adımlarında yalnızca LTS yazılımlarının kullanılmasına izin verilir. Merkezi hizmetlerin işletiminde, düzenli bakım ve anahtar değiştirme dönemleri belirlenir. Kurum içinde geliştirilen araçlar, Secure Süreci kapsamında değerlendirilir.

Tüm merkezi hizmetler için ortam sertleştirmesi süreklidir ve bu güvenlik gereksinimleri periyodik olarak gözden geçirilir. Hazırlıklı olmalarını ve geliştirme süreçlerini buna göre uyarlayabilmelerini sağlamak için sertleştirme yönergeleri ürün ekiplerine iletilir. Bir güvenlik olayı durumunda, önleyici tedbirler almak ve bu gereksinimleri güncellemek için bir RCA gerçekleştirilir.

Kaynak kodunun korunması, şirket içindeki kaynak kodunun gizliliğini ve bütünlüğünü garanti altına almak için yazılım geliştirmenin çok önemli bir parçasıdır. 

Kaynak kodu en az ayrıcalık ilkesine göre saklanır ve yalnızca yetkili personel ve araçların erişimine izin verilir. Kaynak kodu sürüm kontrolü altındadır. Sürüm kontrol yönetim sistemi, kod değişikliklerinin izlenebilirliğini ve hesap verebilirliğini garanti eder. Kaynak kod depoları FIPS 140-3 uyumlu kriptografi ile şifrelenir ve uygun bir anahtar uzunluğu ile korunur.

Bu politikaya uyulması tüm dahili ekipler için zorunludur. Bu belge şirket politikalarına tabidir, yani herhangi bir çelişki olması durumunda şirket politikaları önceliklidir ve bunlara uyulmalıdır. 

Secure ihlallerine ilişkin eskalasyon süreci: Bu politikaya yönelik her türlü ihlal, Ar-Ge Operasyonları biriminden başlayarak ve gerektiğinde Ürün Direktörü’ne (CPO) kadar eskalasyon yoluyla kurum içinde ele alınır.

ISO 27001, SOC2 ve NIST SSDF kapsamındaki ürünler için bileşen veya hizmet sağlayan tedarikçilerin, Secure Çerçevesi’nde aşağıda belirtilen gerekliliklere uymaları beklenmektedir. Uyumluluk, periyodik güvenlik denetimlerine, üçüncü taraf değerlendirmelerine ve imzalanan sözleşmeler kapsamında her bir tarafın yükümlülüklerine tabidir. 

Tüm tedarikçilerin, Yayın Bütünlüğü bölümünde tanımlandığı gibi, destekleyici belgelerle birlikte kaynak ve bütünlük bilgilerini sağlamaları gerekmektedir. 

Ürün bileşeni ve kütüphane sağlayıcıları, Secure Ortamı” bölümünde açıklanan uygulamalarımıza uygun geliştirme ortamları oluşturmalıdır. Ayrıca, “Uygulama Güvenliği Testi ve Doğrulama” bölümünde açıklanan şekilde bileşenlerine ve kütüphanelerine güvenlik testleri uygulamalıdırlar. 

Boru hattı bileşenleri tedarikçileri de Secure Ortamı” bölümünde açıklanan uygulamalarımıza uygun geliştirme ortamları oluşturmalıdır. Ayrıca, geliştirme süreçleri OPSWAT Secure Süreci ile uyumlu olmalıdır. 

Hizmet sağlayıcıların, OPSWAThizmetleriyle karşılaştırılabilir bir güvenlik düzeyi sunan, ABD merkezli ortamları kullanmaları beklenmektedir. Secure , OPSWATbeklentilerini yansıtan hem bir Secure Programı hem de bir Secure Süreci içermelidir.