Pengembangan Aman
Integrasikan keamanan ke dalam SDLC.
Pengembangan Aman didefinisikan oleh hasil NIST CSF 2.0 PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle). Crosswalk Dipetakan melalui crosswalk yang dipublikasikan dalam ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 dan NIS2. Editorial Dipetakan secara editorial dalam SOC 2 dan GDPR. Tidak ada pemetaan dalam data kami Tidak ada pemetaan dalam data kami untuk HIPAA, Essential Eight, DORA, CPS 234 dan Cyber Essentials.
| Kerangka kerja | Persyaratan | Judul | Tautan | Sumber / alasan |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Definisi topik | PR.PS-06 |
| ISO 27001 | A.8.25A.8.26A.8.28A.8.29 | Secure development life cycle; Application security requirements; Secure coding… | Crosswalk | A.8.25: via PR.PS-06; NIST 800-53 map: SA-3, SA-15 A.8.26: via PR.PS-06 A.8.28: via PR.PS-06; NIST 800-53 map: SA-8, SA-11, SA-15 A.8.29: via PR.PS-06; NIST 800-53 map: SA-11 |
| CIS v8.1 | CIS 16.1CIS 16.2CIS 16.12CIS 16.3CIS 16.5CIS 16.8CIS 16.9CIS 16.11CIS 16.13CIS 16.14 | Establish and Maintain a Secure Application Development Process; Establish and Maintain a Process to Accept and Address Software Vulnerabilities; Implement Code-Level Security Checks… | Crosswalk | CIS 16.1: via PR.PS-06 CIS 16.2: A process to accept and address reports of software vulnerabilities, part of a secure development lifecycle. CIS 16.12: Code-level security checks (static and dynamic analysis) during development. CIS 16.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): root cause analysis of vulnerabilities. CIS 16.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): up-to-date, trusted third-party components. CIS 16.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): separate production and non-production systems. CIS 16.9: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): developer secure-coding training. CIS 16.11: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): vetted modules for security components. CIS 16.13: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): application penetration testing. CIS 16.14: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): threat modelling. |
| SOC 2 | CC8.1 | Change management for infrastructure, data and software | Editorial | CC8.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.2.16.2.26.2.3 | Bespoke and custom software developed securely; Developers trained in secure software development; Custom code reviewed before release | Crosswalk | 6.2.1: Bespoke and custom software developed securely; omitted from NIST's PCI references for PR.PS-06. 6.2.2: via PR.PS-06 6.2.3: via PR.PS-06 |
| CMMC | SC.L2-3.13.2 | Security Engineering | Crosswalk | SC.L2-3.13.2: via 800-171r2 Appendix D → SA-8 |
| 800-53 | SA-3SA-8SA-11SA-15 | System Development Life Cycle; Security and Privacy Engineering Principles; Developer Testing and Evaluation… | Crosswalk | SA-3: via PR.PS-06 SA-8: via PR.PS-06 SA-11: via PR.PS-06 SA-15: via PR.PS-06 |
| HIPAA | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan HIPAA yang dipetakan ke topik ini dalam data kami. |
| GDPR | Art.25(1) | Data protection by design and by default | Editorial | Art.25(1): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 6.2 | Secure development life cycle | Crosswalk | 6.2: via PR.PS-06; ENISA ISO map: A.8.25 |
| Essential Eight | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan Essential Eight yang dipetakan ke topik ini dalam data kami. |
| DORA | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan DORA yang dipetakan ke topik ini dalam data kami. |
| CPS 234 | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan CPS 234 yang dipetakan ke topik ini dalam data kami. |
| Cyber Essentials | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan Cyber Essentials yang dipetakan ke topik ini dalam data kami. |
Definisi topik Hasil CSF 2.0 yang mendefinisikan topik ini · Crosswalk setidaknya satu pilihan didukung crosswalk yang dipublikasikan · Editorial Penilaian ControlMapping, beserta alasannya · belum dipetakan, hanya berbagi hasil CSF untuk topik ini · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Metodologi.
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Pemetaan salah atau belum ada? Laporkan
Tentang Pengembangan Aman
Praktik pengembangan aman menanamkan keamanan di seluruh siklus hidup pengembangan perangkat lunak (SDLC) untuk mengidentifikasi dan memperbaiki kerentanan sebelum kode masuk ke lingkungan produksi. Praktik ini mencakup pemodelan ancaman selama tahap desain, standar pengodean aman, static application security testing (SAST), dynamic application security testing (DAST), software composition analysis (SCA) untuk dependensi pihak ketiga, dan proses tinjauan kode. Menggeser keamanan ke tahap awal (shift left) menurunkan biaya perbaikan dan mencegah kerentanan umum seperti cacat injeksi, autentikasi yang rusak, dan deserialisasi tidak aman agar tidak masuk ke lingkungan produksi.