اكتشف الخلل في طلب الدمج، لا في بيئة الإنتاج

العمل الأمني أرخص ما يكون حين يحدث مبكراً ومتكرراً. تضع دورة التطوير الآمنة فحوصاً صغيرة في كل مرحلة بدلاً من فحص كبير واحد في النهاية. في مرحلة التصميم تسأل نمذجة التهديدات: ما الذي قد يسوء في هذه الميزة وكيف سيحاول المهاجم. في مرحلة البرمجة تجعل المعايير والمكتبات المشتركة الخيار الآمن هو الافتراضي. في مرحلة المراجعة تركز قائمة قصيرة الانتباه على التغييرات الخطرة. في مرحلة البناء تفحص الأدوات الكود والمكتبات والأسرار وصور الحاويات. في مرحلة الإطلاق تتأكد البوابة من عدم بقاء شيء خطير مفتوح.

لا يلزم أن يبطئ هذا الفريق. المسار المضبوط جيداً يضيف دقائق لا أياماً. السر في الضبط: أداة تعرض مئات التنبيهات قليلة القيمة يتجاهلها الجميع. نضبط كل أداة على تقنياتك، ونزيل الضجيج، ونحدد عتبات للخطورة، فيكون الفحص الفاشل ذا معنى حقيقي.

نبني على إرشادات راسخة بدل أن نخترع من عندنا. يقدم معيار OWASP للتحقق من أمن التطبيقات متطلبات قابلة للاختبار بحسب مستوى الخطر، ويساعد نموذج SAMM على قياس النضج وتحسينه، ويصف إطار NIST لتطوير البرمجيات الآمنة ممارسات يسأل عنها كثير من المشترين المؤسسيين اليوم. نختار منها ما يناسب حجم فريقك.

يسأل العملاء المؤسسيون والحكوميون في المملكة موردي البرمجيات بشكل متزايد عن كيفية البناء والاختبار. تتضمن الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني متطلبات في أمن التطبيقات وإدارة الثغرات والإعدادات الآمنة، وتبحث الجهات التي تقيّم نفسها عن أدلة لدى مورديها. وتضع الجهات المالية، ومنها البنك المركزي السعودي (ساما)، توقعات مشابهة لموردي الجهات الخاضعة للتنظيم.

دورة موثقة، مع سجلات المسار وقائمة بمكونات البرمجيات، تجيب عن تلك الاستبيانات بالحقائق. وتقصّر كذلك دورة المشتريات، لأن مراجعي الأمن يحصلون على الأدلة نفسها في كل مرة بدل شرح جديد من كل مطور.

نكتب العملية بحيث تتوافق مع هذه التوقعات، ولا نصفها بأنها موافقة أو شهادة. ما تحصل عليه هو ممارسة قابلة للتكرار وسجلات. جملة في الاستبيان مثل «كل عملية دمج تشغّل تحليلاً ساكناً وفحصاً للمكتبات، وتُحجب الإطلاقات عند وجود ثغرات عالية الخطورة»، أقوى من أي وعد.

ترفض الفرق برامج الأمن التي تبدو أوراقاً إضافية. نبدأ بتغييرين أو ثلاثة تقلل أكبر قدر من الخطر، وغالباً فحص الأسرار وتنبيهات المكتبات ومراجعات إلزامية للكود الحساس، ونضيف غيرها حين يرتاح الفريق. يبدأ كل تفعيل بوضع الإبلاغ فقط، فيرى المطورون النتائج قبل أن يحجب شيء عملهم.

ندرّب باستخدام كودكم أنتم. بدل الشرائح العامة، نعقد جلسات يكتشف فيها المهندسون عيوباً حقيقية في مستودعاتهم ويصلحونها. يتذكر الناس خطأً أصلحوه أكثر بكثير من شريحة تتحدث عنه.

وأخيراً نسلّم الملكية. بنهاية المشروع يدير مسؤول الأمن لديكم، وهو عادة مطور أول، جلسات نمذجة التهديدات ويضبط الأدوات ويملك البوابة. يستغرق الإعداد النموذجي من ثلاثة إلى ستة أسابيع، تليه مراجعة شهرية اختيارية للمؤشرات مثل زمن الإصلاح وتكرار الثغرات.