פיתוח מאובטח זה לא מילה גסה

מה משותף לשני מיליון רשומות של לקוחות טי-מובייל שנגנבו באחרונה, 380 אלף כרטיסי אשראי שנגנבו מלקוחות בריטיש איירווייס ועוד מאות אלפים עד מיליונים של כרטיסים אשראי גנובים של קמעונאית האלקטרוניקה Newegg? התשובה: כל הפרצות שהובילו לגניבות היו יכולות להימנע בסבירות גבוהה על ידי תהליך פיתוח מאובטח.

עולם הפיתוח המודרני התקדם רבות בשנים האחרונות. העולם עבר מתהליכי פיתוח מבוססי Waterfall, בהם גרסה שלמה של המערכת פותחה בטרם הועלתה לסביבת ייצור, לפיתוח מבוסס אג'ייל, המורכב מפיתוחים קטנים המביאים, בסופו של דבר, לתוצאות מדויקות יותר ולפחות קוד מיותר שנכתב. בנוסף, עולם ה-IT התומך וה-Devops התפתחו משרתים מקומיים ותהליכים ידניים, לשירותי ענן ותהליכים אוטומטיים המורידים מאוד את ייעול תהליך הפיתוח ושינויי קוד המגיעים לסביבת הייצור.

באשר לאבטחת המידע, היא הוזנחה ולרוב הושארה לסוף תהליך הפיתוח ולהתייחסות של סרח עודף. בשנים האחרונות חלה התקדמות גדולה הן של עולם הפיתוח והן של המודעות לחשיבות של אבטחת המידע באופן כללי, אך למרבה הפלא, עולם הפיתוח המאובטח עדיין נשאר בחלק מהמקרים מוזנח, כשמנהלי פיתוח ואפילו CISO-ים לא מבינים עד הסוף את החשיבות ואת הערך הרב שתהליך שכזה נותן בפיתוח תוכנה.

ההאקרים, מצדם, יכולים להיות מרוצים, מכיוון שאותן פרצות שהיו רלוונטיות לפני 10 ו-15 שנים עדיין רלוונטיות היום, על אף שחלקן הגדול יכולות להיפתר ואף להימנע מראש על ידי אימוץ תהליכי פיתוח מאובטח.

גיל כהן, ה-CTO של באגסק. צילום: יח"צ

תהליך הפיתוח המאובטח נוגע באספקטים רבים בתחום הפיתוח – הן ב-Waterfall והן באג'ייל, הן מקומית והן בענן, בשפות תכנות שונות ובמקביל לתהליך הפיתוח עצמו. למשל:

• הוא מאפשר לנתח את האיומים מבעוד מועד, ובכך לשפר את עיצוב המערכת עוד בטרם נכתבה שורת קוד בודדה ולמנוע באגים ברמת העיצוב (Design errors).
• סריקות קוד ידניות ואוטומטיות (SAST – Static application security testing) מאפשרות לחשוף באגים ברמת המימוש (Implementation errors) על ידי סריקת הקוד לשם איתור באגים ברמת הקוד החלקי ו/או המלא. כמו כן, ניתן להטמיע כלים אלה ככלים אוטומטיים בתהליך ה-Devops, בכדי להפוך את התהליך כולו לאוטומטי ויעיל יותר.
• במקביל לשלב בדיקות ה-QA, ניתן לבצע בדיקות Penetration ידניות, במקביל להרצת כלי סריקה דינמיים (DAST) כנגד שרת האפליקציה, במטרה לאתר פגיעויות ו-"חורים" לפני שחרורו של המוצר לשוק.

אלה הן כמה דוגמאות על קצה המזלג של תהליך הפיתוח המאובטח, המלווה את תהליך הפיתוח באופן מלא ומהווה השלמה לתקינותו ואיכותו של הקוד ומכאן של המוצר עצמו. כלל אצבע פשוט, כמו בכל עולם הפיתוח, חל גם על תהליך זה: ככל שמזהים פרצה או באג אבטחת מידע בשלב מוקדם יותר, כך עלות הטיפול תהיה נמוכה יותר ומשכו – קצר יותר. תהליך זה הוא בעצם נכס ולא נטל, חוסך משאבים ולא מבזבז משאבים, ומשמש כקטליזטור ולא כגורם מעכב.

חשוב לציין כי תהליך הפיתוח המאובטח הוא תהליך דינמי: הצרכים והמשאבים של סטארט-אפ אינם זהים לצרכים ולמשאבים שבנק יכול להשקיע. עם זאת, מומלץ כי כל ארגון יטמיע תהליך פיתוח מאובטח התואם את צרכיו ומשאביו; "קצת" פיתוח מאובטח עדיף מכלום.

גיל כהן, ה-CTO של באגסק, אמר כי "באגסק הינה חברת ייעוץ אבטחת מידע מהמובילות בשוק, המתמחה בין השאר בליווי ובביצוע של שלבים שונים בתהליך הפיתוח המאובטח, לרבות ביצוע הכשרות לתכניתנים, ביצוע Design review, ניתוח איומים, סקרי קוד, Penetration tests, הרצת כלים, יצירת נהלי פיתוח מאובטח שונים, עזרה בעת התרחשות אירוע אבטחת מידע (IRT) וכן מיפוי פערים הקיימים בתהליך פיתוח מאובטח בארגון מסוים, אל מול המקובל וה-Best Practice בשוק".

רוצים לשמוע עוד? אתם מוזמנים להיכנס לאתר, לשלוח מייל או להתקשר ל-03-9622655.