Wat houdt deze control in?
Er moeten regels voor veilige softwareontwikkeling gelden gedurende de gehele softwarelevenscyclus.
Waarom is dit verplicht?
Kwetsbaarheden die tijdens ontwikkeling worden geïntroduceerd zijn duur om later te herstellen.
Praktische implementatie
- Implementeer een Secure Development Lifecycle
- Integreer security testing in de CI/CD-pipeline
- Train ontwikkelaars in veilig programmeren (OWASP)
- Scheid ontwikkel-, test- en productieomgevingen
Aandachtspunten voor de overheid
Beveiligingseisen voor maatwerksoftware opnemen in het programma van eisen conform OWASP ASVS.
Relatie met andere controls
Gerelateerd aan 8.26 (beveiligingseisen) en 8.31 (omgevingsscheiding).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je hanteert regels voor veilige softwareontwikkeling gedurende de gehele levenscyclus. Kwetsbaarheden die tijdens ontwikkeling ontstaan zijn duur om later te herstellen. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Neem beveiligingseisen voor maatwerksoftware op in het programma van eisen conform OWASP ASVS.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Implementeer een Secure Development Lifecycle (SDLC).
- ›Scheid ontwikkel-, test- en productieomgevingen.
- ›Neem beveiligingseisen voor maatwerk op in het programma van eisen (OWASP ASVS).
- ›Integreer security testing in de CI/CD-pipeline en train ontwikkelaars in veilig programmeren (OWASP).verdieping
Bewijs dat je kunt verzamelen
- ›Vastgelegde SDLC met beveiligingsactiviteiten
- ›Bewijs van gescheiden ontwikkel-/test-/productieomgevingen
- ›Programma's van eisen met OWASP ASVS-eisen
- ›Security testing in de CI/CD-pipeline en trainingsbewijs
Wat je bij een audit moet kunnen aantonen
- ›Dat een SDLC met beveiliging bestaat
- ›Dat omgevingen zijn gescheiden
- ›Dat beveiligingseisen (ASVS) in maatwerk zijn opgenomen
- ›Dat security testing is geïntegreerd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een SDLC vastgesteld?
- ›Is omgevingsscheiding ontworpen?
- ›Zijn ASVS-eisen belegd?
- ›Wordt de SDLC toegepast?
- ›Zijn omgevingen gescheiden?
- ›Bevatten PvE's ASVS-eisen?
- ›Draait security testing in de pipeline?
- ›Worden ontwikkelaars getraind?
- ›Worden bevindingen opgevolgd?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.