![Page 1: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/1.jpg)
1
O processo de segurança em desenvolvimento, que não é ISO 15.408Wagner Elias
Gerente de Pesquisa e Desenvolvimento
ISSA Day - São Paulo - 31 de Agosto 2010
![Page 2: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/2.jpg)
2
Por que Segurança em Desenvolvimento?
![Page 3: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/3.jpg)
3
Investimentos em correção de software
![Page 4: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/4.jpg)
4
Estatísticas de falhas em software
Segundo o NIST
92% das vulnerabilidades de segurança estão em software
Segundo o Gartner
75% dos incidentes são causados por falha de software
![Page 5: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/5.jpg)
5
Conformidade
Atendimento a regulamentações e padrões
PCI (Payment Card Industry Data Security Standard)
Atendimento ao Requisito 6: Desenvolver e manter sistemas e aplicações seguras
Transparência e facilidade para auditorias
Atendimento a auditorias de sistemas e de segurança
![Page 6: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/6.jpg)
6
Principais Erros
![Page 7: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/7.jpg)
7
Usar ISO/IEC 15.408 ou Commom Criteria como base
Estes padrões não tem como objetivo a implementação ou avaliar um processo de Segurança em Desenvolvimento
Foco em Produto Pronto
Objetivo principal é certificar produto de software e não um sistema de gestão ou processo
![Page 8: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/8.jpg)
8
Por que só o Brasil associa esta norma a segurança em desenvolvimento de software?
![Page 9: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/9.jpg)
9
Alguém conhece um case de implementação de SDL que tenha usado estes padrões como base?
ISO/IEC 15.408
SDL Case
![Page 10: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/10.jpg)
10
Abordagem baseada apenas em testes
Apenas testes não resolvem
Testes no Desenvolvimento
Unitário
Integrado
Aceitação
Testes de Segurança
Testes Black-Box (Pentest/Análise de Vulnerabilidades)
Revisão de Código
![Page 11: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/11.jpg)
11
Abordagem baseada apenas em documentação
Documentação é um bom caminho para atendimento a determinas regulamentações, mas é apenas parte do processo
Tipos de Documentação
Políticas
Cartilhas de Boas Práticas
Checklists
![Page 12: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/12.jpg)
12
O Caminho Certo
![Page 13: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/13.jpg)
13
Processo de desenvolvimento de softwareProcesso Claro e Estabelecido
Controle de Versão
Documentação
Controle de Demandas e Bugs
Bug Tracking
Testes e Gestão de Build
Testes de Qualidade de Software
Integração Contínua
![Page 14: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/14.jpg)
14
Conscientização e Capacitação
Conscientização
Gestores
Envolvidos no desenvolvimento e contratação de software
Capacitação
Dos envolvidos na gestão do desenvolvimento em SDL
Dos desenvolvedores em boas práticas de desenvolvimento seguro
Dos testadores em testes de segurança
![Page 15: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/15.jpg)
15
Desenvolvimento de Software
Requerimentos
Requisitos claros de segurança e privacidade
Modelagem de Ameaças
A modelagem de ameaças irá apresentar uma visão clara dos riscos associados ao software e um plano de ação para tratamento dos riscos
Arquitetura Segura
É essencial que toda a arquitetura de suporte ao software tenha os requisitos adequados de segurança
![Page 16: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/16.jpg)
16
Revisão de Software
Revisão de Design e Arquitetura
Verificar se os requisitos de design e arquitetura foram atendidos
Revisão de Código
A revisão de código é importante para o desenvolvimento de um bom código e pode identificar fraquezas da equipe de desenvolvimento
Testes de Segurança
Os testes irão verificar se o software tem níveis de segurança aceitáveis para serem disponibilizados
![Page 17: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/17.jpg)
17
Software Implementado
Fortalecimento do ambiente de produção
Hardening dos ativos que suportam o software em produção
Gestão de Vulnerabilidades
Após a implementação do processo é necessário acompanhar e tratar as vulnerabilidades que o software pode apresentar
Gestão de Mudanças
Com o software em produção é preciso estabelecer um processo claro de resposta a possíveis incidentes e tratamento de vulnerabilidades identificadas
![Page 18: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/18.jpg)
18
Conclusões
![Page 19: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/19.jpg)
19
Conclusões
Segurança em desenvolvimento é muito mais que compliance
Não existe um produto que implemente segurança em desenvolvimento
Não existe desenvolvimento seguro sem um bom processo de desenvolvimento de software
Esqueçam a ISO/IEC 15.408/Common Criteria ela não é para segurança em desenvolvimento
![Page 20: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/20.jpg)
20
Referências para SDL
Microsoft SDL
http://www.microsoft.com/security/sdl/
OWASP OpenSAMM
http://www.opensamm.org/
BSIMM
http://bsimm2.com/resources/
![Page 21: O processo de segurança em desenvolvimento, que não é ISO 15.408](https://reader036.vdocuments.mx/reader036/viewer/2022062514/558fc4b51a28ab83318b4652/html5/thumbnails/21.jpg)
21
Blog: http://wagnerelias.comTwitter: http://www.twitter.com/welias