Sikker programvare med OWASP ASVS
Arbeider du med sikkerhetskrav i utvikling eller anskaffelse? Det er ingen grunn til å finne opp hjulet på nytt. Se foredrag om hvordan OWASP Application Security Verification Standard (ASVS) hjelper med dette.
På konferansen Sikkerhet & sårbarhet, 7. mai 2019 i Trondheim, deltok Erlend Andreas Gjære med en presentasjon av OWASP ASVS. Se hele innlegget i videoen under.
Du kan også laste ned ASVS-regnearket vårt for å komme i gang selv, og eventuelt se foredraget på engelsk her fra en annen konferanse.
Kanskje har du hørt om OWASP Top 10, som er godt egnet til bevisstgjøring om de vanligste sårbarhetene i webapplikasjoner. OWASP ASVS derimot en proaktiv tilnærming til applikasjonssikkerhet, med ulike krav basert på en valgt risikoprofil.
Foredraget viser både hvordan OWASP ASVS er egnet som pedagogisk mal for sikkerhetskrav til både for kode man utvikler selv, og for applikasjoner som man kjøper fra andre.
I tillegg har vi utvidet ASVS-regnearket med egne kolonner som lar oss måle status over tid i forhold til en modenhetsskala i samsvar med tilsvarende måling vi gjør for ISO27001-tiltak i virksomheten for øvrig.
Erlend Andreas Gjære fra @securepractice viser hvordan man kan regne ut risikonivået for applikasjonssikkerhet i henhold til @owasp Application Security Verification Standard #DnDSoS pic.twitter.com/eLiNuwq4Ay
— SINTEF Infosec (@SINTEF_Infosec) May 7, 2019
Til slutt gir foredraget en kjapp sammenligning mellom ASVS og en annen kjent standard for sikkerhetskrav, nemlig Cloud Security Alliance (CSA) sin Cloud Control Matrix (CCM) og tilhørende Consensus Assessments Initiative Questionnaire (CAIQ), som vi også benytter oss av i sikkerhetsarbeidet.
Om du er interessert i å vite mer om sikkerheten i våre skytjenester, er det bare å spørre. Og bruk gjerne vår dedikerte kanal dersom du har funnet en potensiell sikkerhetsfeil hos oss.
Contact the author:
Lyst til å se hvordan programvaren vår MailRisk fungerer?
Vi byr gjerne på en demo og prøveperiode!
Continue reading
Simulated phishing: How to design a suitable scam
How do you prepare the most effective phishing email to serve the goal of your exercise? In the third part of this series on simulated phishing, we describe various approaches to designing phishing content.
How to succeed with security behavior change
To stay safe online, people need to care more about the security decisions they face every day. But unless the obvious gains obviously exceed the required effort, change is often avoided. Luckily, behavior change in general has been subject to a lot of research, and here are some takeaways for information security professionals.
Simulated phishing: Communications strategy
How do you prepare an organization for you to try and trick them? In the second part of this series on simulated phishing, we provide the outline for a communications plan.
Ready to get started?
We have written a guide for you to get started with human-centered security. Access our free resource now, and learn:
- How to nurture drivers for employee engagement
- How to avoid common obstacles for reporting
- Practical examples and steps to get started