الدفاع الوطني يسلط الضوء على أمن التطبيقات

يدعو أصحاب المصلحة للمشاركة

تأمل المديرية العامة للخدمات الاجتماعية ، من خلال هذه الوثائق ، زيادة تعزيز الآليات المتاحة للإدارات والمؤسسات العامة وكذلك البنى التحتية العامة والخاصة ذات الأهمية الحيوية.

أصبحت حماية البيانات الرقمية أكثر من أي وقت مضى الشغل الشاغل للهيئات العامة. في المغرب ، تلعب المديرية العامة لأمن نظم المعلومات دورًا مركزيًا في زيادة الوعي ودعم هذه الهياكل ضد الهجمات الإلكترونية. أصدرت هذه الدائرة خلال شهر مايو وحده أكثر من أربعين نشرة أمنية حول ضعف أنظمة الكمبيوتر. وقد نشرت مؤخراً وثيقتين مرجعيتين في هذا المجال ، استمراراً للعمل الذي تم تطويره سابقاً. الأول هو مستودع التحقق من أمان التطبيق. والثاني هو دليل الممارسة الجيدة لتقييم النضج الأمني ​​لدورة حياة تطوير البرمجيات.

توفير حماية شاملة

تأمل المديرية العامة للخدمات الاجتماعية ، من خلال هذه الوثائق ، زيادة تعزيز الآليات المتاحة للإدارات والمؤسسات العامة وكذلك البنى التحتية العامة والخاصة ذات الأهمية الحيوية. هذا لتمكينهم من إجراء الاختبارات الموصى بها خلال دورة التطوير وفقًا للسياسات ومعايير التطوير الآمنة المعمول بها ، يشير إلى DGSSI. يستند الإطار المذكور إلى مجموعة من متطلبات الأمان والضوابط القائمة على الاختبارات الوظيفية وغير الوظيفية التي يجب تطبيقها أثناء تصميم التطبيقات وتطويرها واختبارها. ينطبق على جميع نماذج تطوير البرمجيات. والهدف من ذلك هو مساعدة الهيئات العامة على تطوير التطبيقات الآمنة وصيانتها وتمكين مقدمي خدمات الأمن وموفري الأدوات الأمنية والمستهلكين من مواءمة متطلباتهم مع العروض المقدمة. “الهدف من أمان البرنامج هو ضمان سرية وسلامة وتوافر المعلومات التي تتم معالجتها بواسطة خدمة التطبيق. من الضروري دمج الأمان من مرحلة التصميم ، واحترامه طوال دورة حياة البرنامج. من خلال اعتماد هذا النهج ، يمكن للمطورين التأكيد على أن البرنامج الذي تم تطويره يحترم أفضل ممارسات الأمان. يعد تنفيذ الإجراءات الأمنية بعد نشر البرنامج أكثر تكلفة بشكل ملحوظ ولا يوفر بشكل عام سوى حماية محدودة مقارنة بالأمن المتكامل منذ بداية العملية التي تتبع هذا النظام المرجعي “، يشير DGSSI. في الواقع ، من الضروري تضمين المكون الأمني ​​في جميع مراحل عملية التطوير لإدارة قضايا الأمن بشكل فعال. “هذا يقلل من مخاطر تجاهل متطلبات الأمان التي قد تكون مهمة من ناحية ومن ناحية أخرى ، لتجنب ارتكاب أخطاء فادحة في تصميم البرنامج” ، يلاحظ نفس المصدر. يجب القول أن أمن تطوير البرمجيات هو مصطلح شامل يتكون من إنشاء مجموعة من الاستراتيجيات التي تعمل معًا للمساهمة في حماية البيانات الرقمية. كما توضح DGSSI في وثيقتها ، “الهدف من أمن البرمجيات هو ضمان سرية وسلامة وتوافر المعلومات التي يتم التعامل معها بواسطة خدمة التطبيق”.

مستويات الأمان المختلفة

تم تحديد ثلاثة مستويات للتحقق الأمني. يمثل الثالث أعلى مستوى من التأكيد بينما يمثل الأول مستوى منخفض من التأكيد. يتضمن اختبارات اقتحام كلاسيكية. يشكل هذا المستوى الخطوة الأولى في تأمين تطبيقات الكيان بشكل تدريجي. وهو أيضًا كافي أحيانًا للتطبيقات التي لا تخزن البيانات الحساسة أو تعالجها ، وبالتالي لا تتطلب الضوابط الصارمة الواردة في المستويين 2 أو 3. المستوى 2 ضروري للتطبيقات التي تحتوي على بيانات حساسة والتي تتطلب حماية مناسبة. هذا المستوى هو بشكل عام المستوى الموصى به لمعظم التطبيقات. المستوى 3 مخصص للتطبيقات الهامة ، التي تعالج البيانات شديدة الحساسية ، أو التي تتطلب مستوى عالٍ من الثقة. “بناءً على تحليل المخاطر ومتطلبات العمل ، يجب على كل مؤسسة تحديد المستوى المناسب من المتطلبات. أيضًا ، لإدارة مشكلات الأمان بشكل فعال ، من الضروري دمج التفكير الذي يركز على الأمان في جميع مراحل عملية التطوير. هذا يقلل من مخاطر تجاهل متطلبات الأمان التي قد تكون مهمة من ناحية ومن ناحية أخرى لتجنب ارتكاب أخطاء فادحة في تصميم البرنامج “

75٪ من الهجمات تستهدف البرمجيات

حوالي 75٪ من الهجمات على الإنترنت استغلت الثغرات الأمنية الخاصة بالبرمجيات ، كما يشير DGSSI إلى شركة “Software Improvement Group”. توصي الإدارة بدمج فكرة المخاطرة في دورة حياة مشاريع تطوير البرمجيات. الهدف هو اقتراح سلسلة من الإجراءات ، موزعة على دورة التصميم والتطوير الكاملة للمنتج والتي تتناسب مع منهجية المشروع الحالية لكل كيان. “إن مشاركة جميع أصحاب المصلحة (المطورين ، مديري الأمن / المخاطر ، العمليات) هو ضمان للأمن في هذه العملية” ، يؤكد المصدر نفسه. وبهذا المعنى ، قامت DGSSI بوضع دليل يتعلق بنضج دورة تطوير البرمجيات. يمكن تطبيق النهج المقترح على جميع أنواع المشاريع. هذا من أجل “زيادة تطوير ثقافة أمان التطبيق على المستوى الوطني”. من هناك ، تدعو DGSSI جميع أصحاب المصلحة لإجراء التقييم المقترح في هذه الوثيقة وإبلاغها بالنتائج من أجل توحيد وثيقة تتعلق بنضج أمن دورة تطوير البرمجيات على المستوى الوطني.