سياسة دورة حياة تطوير البرمجيات الآمنة
1. الغرض
وضع متطلبات لدمج الأمان عبر دورة حياة تطوير البرمجيات لمنع واكتشاف ومعالجة الثغرات الأمنية في التطبيقات المطورة والمكتسبة من [ORGANIZATION].
2. النطاق
تنطبق هذه السياسة على جميع البرمجيات المطورة أو المخصصة أو المكتسبة من قبل [ORGANIZATION]، بما في ذلك التطبيقات الداخلية وتطبيقات الويب وواجهات برمجة التطبيقات وتطبيقات الأجهزة المحمولة والبرامج النصية المنشورة في بيئات الإنتاج.
3. السياسة
3.1 متطلبات أمان دورة حياة تطوير البرمجيات
يجب على [ORGANIZATION] دمج الأنشطة الأمنية في كل مرحلة من مراحل دورة حياة تطوير البرمجيات: المتطلبات (متطلبات الأمان ونمذجة التهديدات) والتصميم (مراجعة الهندسة الآمنة وأنماط التصميم الأمني) والتطوير (معايير البرمجة الآمنة ومراجعة الشفرة من قبل الأقران) والاختبار (اختبار الأمان وفحص الثغرات) والنشر (إجراءات النشر الآمن ومراجعة التكوين) والصيانة (إدارة التصحيحات والمراقبة المستمرة).
يجب توثيق عملية دورة حياة تطوير البرمجيات الآمنة وإبلاغها لجميع فرق التطوير.
يجب تحديد متطلبات الأمان لكل تطبيق بناءً على تصنيف البيانات وتقييم المخاطر.
3.2 ممارسات البرمجة الآمنة
يجب على المطورين اتباع معايير البرمجة الآمنة الموثقة المستندة إلى OWASP أو CERT أو إرشادات مكافئة للغة البرمجة الخاصة بهم.
يجب تطوير الشفرة لمنع فئات الثغرات الشائعة بما في ذلك: هجمات الحقن (SQL والأوامر وLDAP) والبرمجة عبر المواقع (XSS) وتزوير طلبات عبر المواقع (CSRF) وإلغاء التسلسل غير الآمن والمصادقة المعطلة وكشف البيانات الحساسة.
يجب تتبع المكتبات والمكونات الخارجية في قائمة مواد البرمجيات (SBOM) ومراقبتها بحثاً عن الثغرات الأمنية المعروفة.
يُحظر تضمين بيانات الاعتماد ومفاتيح API والأسرار مباشرة في شفرة المصدر. يجب إدارة الأسرار من خلال حلول إدارة الأسرار المعتمدة.
3.3 اختبار الأمان
يجب دمج اختبار أمان التطبيقات الثابت (SAST) في خط أنابيب CI/CD وإجراؤه على جميع الشفرة قبل الدمج في الفرع الرئيسي.
يجب إجراء اختبار أمان التطبيقات الديناميكي (DAST) على جميع تطبيقات الويب على الأقل [CUSTOMIZE: quarterly/monthly] وقبل كل إصدار رئيسي.
يجب استخدام تحليل تكوين البرمجيات (SCA) لتحديد الثغرات في المكونات والمكتبات الخارجية.
يجب إجراء اختبار الاختراق على التطبيقات الحيوية على الأقل [CUSTOMIZE: annually] من قبل مختبرين مؤهلين.
يجب معالجة الثغرات الأمنية المحددة من خلال الاختبار وفقاً لاتفاقيات مستوى الخدمة الخاصة بسياسة إدارة الثغرات.
3.4 أمان النشر
يجب أن تتبع عمليات النشر في بيئة الإنتاج عملية موثقة وقابلة للتكرار باستخدام أتمتة CI/CD حيثما أمكن.
لا يجوز للمطورين الوصول المباشر إلى بيئات الإنتاج. يجب أن يتم النشر من خلال خطوط أنابيب آلية أو من قبل موظفي العمليات المعينين.
يجب أن تكون بيئات الإنتاج منفصلة عن بيئات التطوير والاختبار والتجهيز مع عدم مشاركة بيانات الاعتماد.
يجب توثيق واختبار إجراءات التراجع عن النشر لكل تطبيق حيوي.
4. الامتثال
الامتثال لهذه السياسة إلزامي لجميع الموظفين ضمن نطاقها. سيتم مراقبة الامتثال من خلال عمليات التدقيق الدورية والضوابط الآلية ومراجعة الإدارة.
يجب توثيق الاستثناءات من هذه السياسة مع مبرر عمل، والحصول على موافقة [CUSTOMIZE: CISO/فريق الأمن]، ومراجعتها سنوياً على الأقل.
5. الإنفاذ
قد تؤدي مخالفات هذه السياسة إلى إجراء تأديبي يصل إلى إنهاء التوظيف أو العقد، وقد تؤدي إلى عقوبات مدنية أو جنائية في حال مخالفة القانون المعمول به.
تحتفظ [ORGANIZATION] بالحق في تدقيق الامتثال لهذه السياسة في أي وقت، بإشعار أو بدونه.
6. المراجعة والتنقيح
تُراجع هذه السياسة سنوياً على الأقل من قبل [CUSTOMIZE: CISO/مالك السياسة] وتُحدث حسب الحاجة لتعكس التغييرات في مشهد التهديدات أو المتطلبات التنظيمية أو الهيكل التنظيمي.
يجب توثيق جميع المراجعات برقم الإصدار والتاريخ والمؤلف ووصف التغييرات.
اعتماد السياسة
اعتمد من قبل
المسمى الوظيفي
التاريخ
التحكم في المستند