Лучшие практики по жизненному циклу безопасности ПО от PCI

26.04.2021 Борисов Сергей , ведущий инженер нИБ

PCI Software Security Framework (SSF) это набор стандартов и сопутствующих им дополнительных материалов. В данный момент набор включает в себя 2 параллельно работающих стандарта, имеющих общую основу, а также свои особенности:

·       

Secure Software Standard – требования к функциям и возможностям безопасности ПО

·       

Secure SLC Standard – требования к процессам разработки безопасного ПО

Последний стандарт обновился совсем недавно, поэтому давайте взглянем на него поподробнее:

·       

как и во многих других лучших практиках, декларируется объективный риск-ориентированный подход при выборе мер защиты и частоты их выполнения

·       

требования разделены на 4 большие группы:

o  

управление безопасностью

o  

безопасная разработка ПО

o  

управление ПО и данными

o  

безопасность взаимодействия

·       

каждое требование включает следующие компоненты:

o  

задачи (Control Objectives) – результаты которые должны быть достигнуты

o  

оценка (Test Requirements) – способы которые используются для оценки выполнения требований (Exemine, Observe, Interview)

o  

рекомендации (Guidance) – дополнительная информация по реализации и лучшие практики

·       

пример требования

·       

пример листа самооценки/оценки


А давайте сопоставим PCI Secure SLC Standard с главным стандартом по разработке безопасного ПО в РФ ГОСТ Р 56939-2016 (обзор на который я делал ранее).

Вывод: как видно во многих пунктах стандарты совпадают, так что вполне можно совмещать лучшее и учитывать дополнительные лучшие практики при построении процессов разработки ПО.

PS: Интересно ли кому-то сопоставление данных стандартов с требованиями к разработке ПО из ГОСТ 57580?

PPS: Чтобы не пропустить другие лучшие практики ИБ подписывайтесь в вашем любимом канале