Software security aantonen

[BikkelZ]

Er zijn een heleboel goede regels en tips te vinden op het internet en in de vakliteratuur om software veiliger te maken die als je ze allemaal in de praktijk toepast leiden tot een zo veilig mogelijk softwareproduct. Maar het komt vaak ten opzichte van de klant er op neer of ze je wel of niet op je blauwe ogen vertrouwen. Is er een mogelijkheid waarmee je zonder direct de source code te overhandigen toch aan de klant kunt aantonen dat jouw software zo secure mogelijk is.

Certificering, geautomatiseerde testen, externe auditing, wat voor mogelijkheden zijn er?

[Janoz]

Persoonlijk lijkt mij een externe audit de sterkste. Ook bij geautomatiseert testen en andere tooling zullen ze nog steeds op je blauwe ogen moeten geloven dat de coverage relevant is en de instellingen realistisch.

Een externe instelling die een audit uitvoert zal waarschijnlijk vergelijkbare tooling gebruiken, of de door jullie gebruikte tooling met bijbehorende instellingen. De geloofwaardigheid zal echter een stuk hoger liggen.

Certificering zal zich waarschijnlijk meer op het ontwikkel- en onderhoudsproces zelf richten.

[GrooV]

Ligt ook een beetje aan je budget natuurlijk, certificering zoals bij banken vereist is kost nogal wat geld, een audit daarentegen kan stukken goedkoper.

[BikkelZ]

Ik moet heel eerlijk zeggen dat ik ook geen bedrijven zo vlug zoekend via Google kan vinden die dit soort dingen kunnen doen voor een Microsoft .Net softwareproduct, althans niet die zich nadrukkelijke zo afficheren. Maar volgens mij is een ontwikkelstraat geheel volgens Microsoft standaard ook wel iets waar sowieso al naar gekeken wordt, en volgens mij ligt dan eventuele certificering indien gewenst dan ook binnen handbereik.

En qua budget....tja misschien is de mogelijkheid dat we het zouden kunnen leveren uiteindelijk wel genoeg.

[ Voor 11% gewijzigd door BikkelZ op 17-03-2009 21:14 ]

[Swinnio]

Lijkt me dat de klant moet bepalen of ze genoegen nemen met je blauwe ogen of dat ze tastbaarder bewijs zoeken. Security audits worden in Nederland door meerdere partijen aangeboden, waaronder PriceWaterhouseCoopers.

[AaroN]

Swinnio schreef op dinsdag 17 maart 2009 @ 22:56:
Lijkt me dat de klant moet bepalen of ze genoegen nemen met je blauwe ogen of dat ze tastbaarder bewijs zoeken. Security audits worden in Nederland door meerdere partijen aangeboden, waaronder PriceWaterhouseCoopers.

Security audits worden gedaan door tal van bedrijven waaronder de grote accountantskantoren: EY, PWC, KPMG en Deloitte. Tevens heb je Foxit en Madison Gurkha. Waarvan de eerste veelal met register edp auditors werken en de laatste meer met de Amerikaanse variant daarop CISA en CISSP. Zo´n rapport zal zeker bijdragen aan de geloofwaardigheid, maar vaak is het sowieso nodig om een IT audit uit te laten voeren wanneer een stuk software een belangrijk deel uitmaakt van de bedrijfsvoering. De directe toegevoegde waarde kan ik je niet direct vertellen, zij het dat je een onafhankelijk rapport krijgt over je product waaruit uiteraard belangrijke risico´s voort kunnen komen.

[Motrax]

Gaat het om beveiliging of gaat het om dat het product levert wat er verwacht wordt zonder onverwachte resultaten? Bijvoorbeeld in de medische industrie is het laatste erg belangrijk (GAMP etc).

[bobsquad]

Zelf denk ik ook dat het ook ligt aan het stuk software wat je als veilig moet worden bestempeld. Bij ons op het bedrijf krijgen ze op aanvraag een report aangeleverd en mochten ze het door een extern bedrijf willen laten controleren is het ook geen probleem. Ze kunnen ook bijvoorbeeld bij ons kijken naar de status van bijvoorbeeld een beveiligde verbinding van software en dergelijke logs direct opvragen.

[BikkelZ]

Bedankt voor jullie input tot dusver. Heel bruikbaar!

Motrax -> Het gaat om een online systeem waarmee eventueel privacygevoelige financiele producten beheerd kunnen worden.

bobsquad -> Zo'n intern auditing rapport, hoe voorkom je dat je het WC-Eend effect krijgt? Gebruik je dan een bepaalde standaardprocedure en auditing tools? Het zou interessant zijn om te zeggen "wij werken volgens standaard x en zo nodig willen we dat ook door een extern bedrijf laten verifieren".