10.4.1 人员

人员是任何半自动化过程如SDL的基础,所以在组织中实现SDL过程时一定要考虑如下几点。

获得文化上的认可

许多安全书籍的开头都建议在实施广泛的安全倡议(如SDL)之前“获得管理层认可”。老实说,管理层的认可只有在开发人员听命于管理层时有用,而在我们的咨询经历中,情况并不总是如此。无论如何,不管管理层多么支持安全团队,某种程度的草根阶层认可总是必须的;否则SDL将无法达到显著改进应用安全的程度。确保在组织的所有级别上传导和引领你的SDL实现,确保它获得广泛的认可,让大家理解这是对于改进产品质量的合理和实际的机制(从而成为底线)。对这一点的强调将大大地增强SDL成为企业物化的一部分的可能性,而不只是每个人都在模仿的强制性过程(想想电影《Office Space》 [1] 中的TPS报告)。

任命开发团队的安全联络人

开发团队必须理解,他们最终要对产品的安全负责,除了将这作为团队成员工作描述的一部分之外,没有其他办法能更好地完成这项义务。而且,希望企业核心安全团队的成员获得开发团队“局部”成员(对不同发行版本)的专业性是不现实的,核心安全团队需要关注多个项目,一个“在场”的代理人是必不可少的。通过单一的联络点沟通培训和过程倡议也更有效。

警告  不要犯让安全联络人负责应用安全的错误。这仍然是开发团队领导者的责任,这种责任不应该属于直接负责该应用的管理层之下的任何组织。

培训

大部分人员如果没有经过教育都无法做正确的事情,对于开发人员(在紧张的时间安排下,他们甚至连拼写“安全”这个词都有困难)这也是绝对的真理。因此,培训是SDL的重要组成部分。培训有两个主要目标:

·学习有组织的SDL过程

·传授与组织相关的通用安全编码最佳实践

开发课程,记录出席人数和理解程度,并且再次在管理层级别上保持团队的责任心。

提示  从头开始开发人员安全培训计划往往很困难,特别是考虑到对生产率可能的影响时。考虑使用渗透测试的结果来驱动最初的草根培训活动,集中关注业务相关应用中发现的具体问题。

雇用合适的人员

一旦定义了Web SDL计划,在计划中配备能力相称的人员是很重要的。寻找好的“匹配”需要人际关系、技能和精心设计的角色之间得当的平衡。我们无法帮助你处理神秘的人际关系,但是有一些点子能够帮助你了解其他方面。

企业常常低估成功的应用安全自动化计划的复杂分析需求,因此,经常难以寻找合适类型的人员来组成团队。按照我们的看法,“合适”的人员具有多种重要的特征:

·对常见软件安全威胁和缓解以及相关历史趋势的热情和技术上的深入了解。

·对操作性的安全概念(例如TCP/IP安全、防火墙、IDS、安全补丁管理等)的深入理解。

·软件开发经验(理解业务需求、用例方案、功能规范以及代码的开发方法)。

·强大的项目管理技能,特别是同时跨越多个活跃项目的多任务能力。

·跨越整个组织结构和应用的技术知识。

·区分和表达业务过程中的技术风险的能力,不会对自动化应用评估工具产生的不可避免的噪声发出错误的警告。

显然,找到同时具有这些技能的人很困难。不要期望一下子找到几十个这样的人——在你的人员配备估算中保守一些,将你的整体计划目标与人员挂钩。

按照我们的经验,找到这样的人员实际上不可能,大部分招聘管理人员必须作出妥协。我们的建议是寻求雇用同时具有软件开发和安全背景的人,而不是纯粹的安全运作背景。我们发现向有经验的软件开发人员传授安全知识比向安全运作专家传授软件开发要容易一些。获得这两个方面最佳结果的另一个简单的办法是成立两个单独的团队,分别负责架构/安全运作和应用安全。这种结构也能提供可行的职业能力建设,从基本的故障工单响应开始,发展到更有策略性的与应用开发团队的交互。

组织结构和角色

在我们的经验中,应用评估计划的最有效实施与现有开发QA和运行支持过程紧密相关。这里的难题在于分配不同团队的目标,这些团队通过企业不同的部门提出报告:IT运作,安全/风险管理,内部审计,软件开发(可能分布到不同的业务单位)。

经验告诉我们,在狐狸和鸡(比喻的说法)之间的组织独立性越强越好。实际上,这意味着将安全评估从应用开发和运作支持上分离出来。

另外,我们发现许多组织结构中安全的责任属于软件QA组织或者IT运作部门。在大多数情况下我们不建议这么做,因为交付应用和交付安全应用的着眼点之间存在潜在的冲突(类似于让狐狸去保卫鸡笼)。很多时候,我们都发现了提供外部检查和软件开发/支持过程(往往在未考虑安全之前定下的不实际的最后期限下进行)的平衡的重要性。

为了避免使软件开发组的成功依赖于外部力量所造成的不满,我们再次强烈建议提供具有软件开发背景的安全项目专家。这种人员对于预防开发过程中“避开安全”的文化氛围大有帮助。

[1] 《Office Space》——美国电影,中文译名《上班一条虫》,描写了现代上班族乏味的生活以及试图打破常规的心情。——译者注