Amerikanske Cybersecurity & Infrastructure Security Agency (CISA) har publisert en liste med "beste praksis" for hva selskaper kan gjøre for å beskytte seg mot cybertrusler: Information Technology (IT) Sector-Specific Goals (SSGs). Det skriver InfoWorld.
Rapporten er basert på data CISA har samlet inn og undersøkelser de har gjort om dagens trusselbilde.
I rapporten er det 11 konkrete mål for programvareutvikling og 7 mål for produktdesign. Målene som listes opp er laget i samarbeid med blant annet myndigheter, bransje og ulike grupper i privat sektor.
Unngå uautorisert tilgang
Det første og viktigste rådet innenfor programvareutvikling, er å separere ulike miljøer – inkludert utviklings-, bygge-, test- og distribusjonsmiljøer.
Disse bør ifølge CISA være adskilt for å forhindre uautorisert tilgang til sensitive data og systemer.
Innenfor produktdesign er råd nummer én å øke bruken av flerfaktor-autentisering (MFA) for å redusere risikoen for at passord kommer på avveie, eller uautorisert tilgang på grunn av svake passord.
«Sender du .env-fila?» spør folk. «Nei!» svarer Simen
11 råd for programvareutvikling
Dette er rådene som gjelder for prosessen med å utvikle programvare:
- Hold alle miljøer som brukes i programvareutvikling adskilt
Loggfør, overvåk og gjennomgå regelmessig tillitsforhold brukt til autorisasjon og tilgang på tvers av programvareutviklingsmiljøer.
Sørg for at multifaktorautentisering (MFA) er implementert i alle programvareutviklingsmiljøer.
Etabler og håndhev sikkerhetskrav for programvareprodukter som brukes i programvareutviklingsmiljøer.
Lagre og overfør credentials (som brukernavn/passord) som brukes i programvareutviklingsmiljøer på en sikker måte.
Implementer effektive løsninger for perimeterovervåking og overvåking av interne nettverk, med strømlinjeformede sanntidsvarsler slik at du kan respondere på mistenkte og bekreftede cyberhendelser.
Etabler et risikostyringsprogram for programvareforsyningskjeden.
Gjør en liste over programvarekomponenter (SBOM) tilgjengelig for kunder.
Inspiser kildekode for sårbarheter ved hjelp av automatiserte verktøy eller tilsvarende prosesser, og utbedre kjente sårbarheter før utgivelse av produkter, versjoner eller oppdateringer.
Fiks identifiserte sårbarheter før produktutgivelse.
Publiser en policy for hvordan oppdagede sårbarheter kan meldes inn.
FBI ber deg slutte med C og C++ innen 2026
7 råd for produktdesign
CISA har en egen liste med råd for hvordan programvare bør designes for å ivareta god sikkerhet og redusere risikoen for angrep:
- Øk bruken av multifaktorautentisering (MFA).
- Reduser bruken av standardpassord.
- Reduser hele kategorier av sårbarheter. Her går det blant annet på ting du kan gjøre for å redusere muligheter for SQL-injection-sårbarheter, sikkerhetshull relatert til minnesikkerhet, XSS, og så videre.
- Lever sikkerhetsoppdateringer til kunder tidsnok.
- Sørg for at kundene forstår når produktene nærmer seg slutten av sin livssyklus, og når sikkerhetsoppdateringer ikke lenger vil bli levert.
- Inkluder felt for Common Weakness Enumeration (CWE) og Common Platform Enumeration (CPE) i alle Common Vulnerabilities and Exposures (CVE)-poster for organisasjonens produkter.
- Øk kunders evne til å samle bevis på cybersikkerhetsinntrengninger som påvirker organisasjonens produkter.
Du kan lese mer om de ulike rådene og anbefalinger for hvordan du går frem her.
