Sicherheitsrichtlinien für die Softwareentwicklung
Die Erstellung und Durchsetzung von Sicherheitsrichtlinien und -verfahren ist unerlässlich, um die Sicherheit zu verbessern und Risiken innerhalb einer Organisation zu mindern. Diese Richtlinien dienen als Leitlinien für unsere Mitarbeiter und sind zu befolgen, um sicherzustellen, dass geeignete Sicherheitsmaßnahmen vorhanden sind, um sensible Informationen, Systeme und Vermögenswerte zu schützen. Flosum-Mitarbeiter werden regelmäßig in Sicherheitsbewusstsein geschult. Flosum ist verantwortlich für die Entwicklung, Pflege und Beteiligung an einem System Development Life Cycle (SDLC) für unsere Entwicklungsprojekte. Alle Mitarbeiter, die an System- oder Softwareentwicklungsaktivitäten beteiligt sind, müssen dem Flosum-SDLC folgen. Flosum-Zertifizierungs- und Prüfberichte sind auf Anfrage erhältlich. Alle für Produktionssysteme entwickelten Softwareprodukte müssen gemäß den SDLC-Standards entwickelt werden. Mindestens behandelt unser Softwareentwicklungsplan die Bereiche Voranalyse oder Machbarkeitsstudie, Risikoidentifikation und -minderung, Systemanalyse, allgemeines Design, Detaildesign, Entwicklung, Qualitätssicherung und Abnahmetests, Implementierung sowie Wartung und Überprüfung nach der Implementierung. Diese Methodik stellt sicher, dass die Software vor der Nutzung in Verbindung mit kritischen und/oder sensiblen Informationen angemessen dokumentiert und getestet wird. Alle Entwicklungsarbeiten müssen eine Trennung zwischen Produktions-, Entwicklungs- und Testumgebungen aufweisen und mindestens eine definierte Trennung zwischen Entwicklungs/Test- und Produktionsumgebungen haben, sofern keine Ausnahme gewährt wird. Diese Trennungen ermöglichen ein besseres Management und mehr Sicherheit für die Produktionssysteme, während sie in den Vorproduktionsumgebungen größere Flexibilität erlauben. Wenn diese Unterscheidungen der Umgebungen etabliert wurden, dürfen Entwicklungs- und QA-/Testmitarbeiter keinen Zugriff auf Produktionssysteme erhalten, es sei denn, dies ist aufgrund ihrer jeweiligen Aufgabenbeschreibungen unbedingt erforderlich. Alle in Entwicklung oder Tests verwendeten Anwendungs-/Programmzugriffspfade, mit Ausnahme der formalen Benutzerzugriffspfade, müssen gelöscht oder deaktiviert werden, bevor Software in die Produktion überführt wird. Alle Releases müssen in einer Staging-Umgebung getestet werden, die die Produktionsinfrastruktur spiegelt, bevor sie in die Live-Produktionsumgebung freigegeben werden. In der Testphase werden verschiedene Testarten durchgeführt, wie Penetrationstests, Vulnerability-Scans für Anwendungen, Anwendungscode-Scans, manuelle Überprüfungen und funktionale Sicherheitstests. Diese Tests helfen, Sicherheitslücken in der Anwendung zu identifizieren, die behoben werden können, bevor die Anwendung bereitgestellt wird. Statische Code-Analyzer (Fortify) können ebenfalls verwendet werden, um nach Schwachstellen zu suchen. Während aller Entwicklungsphasen, von der Initiierungsphase über die Implementierung bis hin zu den laufenden Wartungsphasen, müssen Dokumentationen geführt und aktualisiert werden. Darüber hinaus sind Sicherheitsaspekte in allen Phasen zu vermerken und zu behandeln. Alle Software- und Webanwendungen, die Informationen erstellen, verwalten, nutzen oder übertragen, müssen ausschließlich von Flosum-Softwareingenieuren entwickelt und gewartet werden.
FedRAMP- und GovCloud-Kunden
Bei der vom Kunden gehosteten Version von Flosum Backup & Archive können GovCloud-Kunden Backup & Archive in ihrer eigenen privaten Cloud (DoD/DHA AWS, Google Cloud, Azure) oder auf ihren eigenen physischen Servern (virtuelle Linux-Server) installieren. Daher ist es nicht erforderlich, dass Flosum Backup & Archive FedRAMP-zertifiziert ist. Unsere Lösung ist darauf ausgelegt, in der Government-AWS-Umgebung zu laufen, und wir haben derzeit mehrere Regierungskunden, die Flosum Backup & Archive in ihrer privaten Cloud verwenden.
War das hilfreich?