Desenvolvimento Seguro
Integrar a segurança ao SDLC.
Desenvolvimento Seguro é definido pelo resultado do NIST CSF 2.0 PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle). Correspondência Mapeado por meio de um crosswalk publicado em ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 e NIS2. Editorial Mapeado editorialmente em SOC 2 e GDPR. Sem mapeamento em nossos dados Sem mapeamento em nossos dados para HIPAA, Essential Eight, DORA, CPS 234 e Cyber Essentials.
| Framework | Requisito | Título | Vínculo | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Definição do tópico | PR.PS-06 |
| ISO 27001 | A.8.25A.8.26A.8.28A.8.29 | Secure development life cycle; Application security requirements; Secure coding… | Correspondência | A.8.25: via PR.PS-06; NIST 800-53 map: SA-3, SA-15 A.8.26: via PR.PS-06 A.8.28: via PR.PS-06; NIST 800-53 map: SA-8, SA-11, SA-15 A.8.29: via PR.PS-06; NIST 800-53 map: SA-11 |
| CIS v8.1 | CIS 16.1CIS 16.2CIS 16.12CIS 16.3CIS 16.5CIS 16.8CIS 16.9CIS 16.11CIS 16.13CIS 16.14 | Establish and Maintain a Secure Application Development Process; Establish and Maintain a Process to Accept and Address Software Vulnerabilities; Implement Code-Level Security Checks… | Correspondência | CIS 16.1: via PR.PS-06 CIS 16.2: A process to accept and address reports of software vulnerabilities, part of a secure development lifecycle. CIS 16.12: Code-level security checks (static and dynamic analysis) during development. CIS 16.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): root cause analysis of vulnerabilities. CIS 16.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): up-to-date, trusted third-party components. CIS 16.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): separate production and non-production systems. CIS 16.9: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): developer secure-coding training. CIS 16.11: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): vetted modules for security components. CIS 16.13: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): application penetration testing. CIS 16.14: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): threat modelling. |
| SOC 2 | CC8.1 | Change management for infrastructure, data and software | Editorial | CC8.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.2.16.2.26.2.3 | Bespoke and custom software developed securely; Developers trained in secure software development; Custom code reviewed before release | Correspondência | 6.2.1: Bespoke and custom software developed securely; omitted from NIST's PCI references for PR.PS-06. 6.2.2: via PR.PS-06 6.2.3: via PR.PS-06 |
| CMMC | SC.L2-3.13.2 | Security Engineering | Correspondência | SC.L2-3.13.2: via 800-171r2 Appendix D → SA-8 |
| 800-53 | SA-3SA-8SA-11SA-15 | System Development Life Cycle; Security and Privacy Engineering Principles; Developer Testing and Evaluation… | Correspondência | SA-3: via PR.PS-06 SA-8: via PR.PS-06 SA-11: via PR.PS-06 SA-15: via PR.PS-06 |
| HIPAA | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de HIPAA está mapeado para este tema em nossos dados. |
| GDPR | Art.25(1) | Data protection by design and by default | Editorial | Art.25(1): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 6.2 | Secure development life cycle | Correspondência | 6.2: via PR.PS-06; ENISA ISO map: A.8.25 |
| Essential Eight | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Essential Eight está mapeado para este tema em nossos dados. |
| DORA | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de DORA está mapeado para este tema em nossos dados. |
| CPS 234 | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de CPS 234 está mapeado para este tema em nossos dados. |
| Cyber Essentials | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Cyber Essentials está mapeado para este tema em nossos dados. |
Definição do tópico Resultados do CSF 2.0 que definem este tópico · Correspondência pelo menos uma escolha respaldada por um crosswalk publicado · Editorial Juízo editorial da ControlMapping, com a justificação · não mapeado, compartilha apenas os resultados do CSF deste tópico · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Metodologia.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Mapeamento incorreto ou ausente? Reportar
Sobre Desenvolvimento Seguro
As práticas de desenvolvimento seguro incorporam a segurança em todo o ciclo de vida de desenvolvimento de software (SDLC) para identificar e corrigir vulnerabilidades antes que o código chegue à produção. Isso inclui modelagem de ameaças durante o projeto, padrões de codificação segura, testes estáticos de segurança de aplicações (SAST), testes dinâmicos de segurança de aplicações (DAST), análise de composição de software (SCA) para dependências de terceiros e processos de revisão de código. Antecipar a segurança no ciclo de desenvolvimento reduz os custos de correção e impede que vulnerabilidades comuns, como falhas de injeção, autenticação quebrada e desserialização insegura, cheguem aos ambientes de produção.