Cigital feirer (inter)nasjonal sikkerhetsmåned med å slippe en ny versjon av BSIMM-studien – versjon 7!
Denne utgaven har med data fra 95 forskjellige virksomheter, og totalt 237 forskjellige målinger. Nytt av året er aktiviteten [SE3.4] “Use application containers” (som vi kan oversette til “Bruk applikasjonscontainere” – f.eks. Docker). Det er tydelig at BSIMM ønsker å ligge litt i forkant her, ettersom det er ingen av de undersøkte virksomhetene som så langt rapporterer at de gjør denne aktiviteten.
Som en ekstraservice til våre lesere gjengir vi en oversettelse av aktivitetsbeskrivelsen her:
- SE 3.4: Bruk applikasjonscontainere
Virksomheten bruker applikasjonscontainere for å understøtte sine programvaresikkerhetsmål. De viktigste driverne for å bruke containere er forenklet utrulling, tettere kobling mellom applikasjoner og avhengigheter, og isolasjon uten overheaden som er involvert ved å rulle ut et fullt operativsystem på en virtuell maskin. Containere tilbyr en hensiktsmessig sted hvor sikkerhetsmekanismer kan anvendes og oppdateres på en konsistent måte. Containere som brukes i utvikling eller testmiljø uten referanse til sikkerhet teller ikke.
I tillegg til den ene nye aktiviteten, har fem andre aktiviteter byttet nivå:
1. AM1.1 Lag og vedlikehold en liste av de topp N mulige angrepene ble AM2.5
2. AM1.4 Samle inn og offentliggjør angrepshistorier ble AM2.6
3. AM1.6 Etabler et internt forum for å diskutere angrep ble AM2.7
4. CR1.1 Lag en “topp N” feil-liste (virkelige data foretrukket) ble CR2.7
5. CR2.2 Tving gjennom og følg opp kodestandarder ble CR3.5
Det er interessant å merke seg at de fire første aktivitetene heller ikke var noe vi så at mange gjorde i vår undersøkelse av 20 offentlige virksomheter, noe som tyder på at ei heller for Norge er dette “basis-aktiviteter”.