التطوير الآمن
دمج الأمن في دورة حياة تطوير البرمجيات (SDLC).
يُعرَّف التطوير الآمن بنتيجة NIST CSF 2.0 الآتية: PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle). جدول المطابقة مُطابَق عبر جدول مطابقة منشور في ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 وNIS2. تحريري مُطابَق تحريريًا في SOC 2 وGDPR. لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا لـ HIPAA, Essential Eight, DORA, CPS 234 وCyber Essentials.
| الإطار | المتطلب | العنوان | رابط | المصدر / السبب |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | تعريف الموضوع | PR.PS-06 |
| ISO 27001 | A.8.25A.8.26A.8.28A.8.29 | Secure development life cycle; Application security requirements; Secure coding… | جدول المطابقة | A.8.25: via PR.PS-06; NIST 800-53 map: SA-3, SA-15 A.8.26: via PR.PS-06 A.8.28: via PR.PS-06; NIST 800-53 map: SA-8, SA-11, SA-15 A.8.29: via PR.PS-06; NIST 800-53 map: SA-11 |
| CIS v8.1 | CIS 16.1CIS 16.2CIS 16.12CIS 16.3CIS 16.5CIS 16.8CIS 16.9CIS 16.11CIS 16.13CIS 16.14 | Establish and Maintain a Secure Application Development Process; Establish and Maintain a Process to Accept and Address Software Vulnerabilities; Implement Code-Level Security Checks… | جدول المطابقة | CIS 16.1: via PR.PS-06 CIS 16.2: A process to accept and address reports of software vulnerabilities, part of a secure development lifecycle. CIS 16.12: Code-level security checks (static and dynamic analysis) during development. CIS 16.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): root cause analysis of vulnerabilities. CIS 16.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): up-to-date, trusted third-party components. CIS 16.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): separate production and non-production systems. CIS 16.9: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): developer secure-coding training. CIS 16.11: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): vetted modules for security components. CIS 16.13: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): application penetration testing. CIS 16.14: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): threat modelling. |
| SOC 2 | CC8.1 | Change management for infrastructure, data and software | تحريري | CC8.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.2.16.2.26.2.3 | Bespoke and custom software developed securely; Developers trained in secure software development; Custom code reviewed before release | جدول المطابقة | 6.2.1: Bespoke and custom software developed securely; omitted from NIST's PCI references for PR.PS-06. 6.2.2: via PR.PS-06 6.2.3: via PR.PS-06 |
| CMMC | SC.L2-3.13.2 | Security Engineering | جدول المطابقة | SC.L2-3.13.2: via 800-171r2 Appendix D → SA-8 |
| 800-53 | SA-3SA-8SA-11SA-15 | System Development Life Cycle; Security and Privacy Engineering Principles; Developer Testing and Evaluation… | جدول المطابقة | SA-3: via PR.PS-06 SA-8: via PR.PS-06 SA-11: via PR.PS-06 SA-15: via PR.PS-06 |
| HIPAA | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب HIPAA مُطابَق مع هذا الموضوع في بياناتنا. |
| GDPR | Art.25(1) | Data protection by design and by default | تحريري | Art.25(1): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 6.2 | Secure development life cycle | جدول المطابقة | 6.2: via PR.PS-06; ENISA ISO map: A.8.25 |
| Essential Eight | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Essential Eight مُطابَق مع هذا الموضوع في بياناتنا. |
| DORA | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب DORA مُطابَق مع هذا الموضوع في بياناتنا. |
| CPS 234 | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب CPS 234 مُطابَق مع هذا الموضوع في بياناتنا. |
| Cyber Essentials | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Cyber Essentials مُطابَق مع هذا الموضوع في بياناتنا. |
تعريف الموضوع نتائج CSF 2.0 التي تحدد هذا الموضوع · جدول المطابقة اختيار واحد على الأقل مدعوم بجدول مطابقة منشور · تحريري حكم ControlMapping، مع ذكر السبب · غير مربوط، يشترك فقط في نتائج CSF لهذا الموضوع · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. المنهجية.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
ربط خاطئ أو مفقود؟ أبلغ عنه
حول التطوير الآمن
تُدمج ممارسات التطوير الآمن الأمن في جميع مراحل دورة حياة تطوير البرمجيات (SDLC) لتحديد الثغرات الأمنية ومعالجتها قبل وصول الشيفرة إلى بيئة الإنتاج. ويشمل ذلك نمذجة التهديدات أثناء مرحلة التصميم، ومعايير البرمجة الآمنة، واختبار أمان التطبيقات الثابت (SAST)، واختبار أمان التطبيقات الديناميكي (DAST)، وتحليل تركيبات البرمجيات (SCA) للتبعيات الصادرة عن أطراف ثالثة، وعمليات مراجعة الشيفرة. ويؤدي نقل الأمن إلى مراحل أبكر من دورة التطوير (Shift Left) إلى خفض تكاليف المعالجة، ومنع الثغرات الشائعة مثل حقن البيانات، وأخطاء المصادقة، وإلغاء التسلسل غير الآمن من الوصول إلى بيئات الإنتاج.