ISO/IEC 27034.

Che cosa si propone di fare la norma ISO/IEC 27034

ISO/IEC 27034 è il membro dedicato alla sicurezza delle applicazioni della famiglia ISO/IEC 27000. Mentre ISO/IEC 27001 governa il sistema di gestione che guida l'intero programma di sicurezza delle informazioni, ISO/IEC 27034 restringe la prospettiva a una sola cosa: costruire e gestire applicazioni sicure lungo tutto il ciclo di vita del software, dai requisiti e dalla progettazione fino allo sviluppo, ai test, al rilascio e alla manutenzione. È una norma in più parti, il che significa che le indicazioni sono distribuite su diversi documenti anziché concentrate in un'unica specifica certificabile, e questa forma dice qualcosa sul suo intento. È pensata per orientare il modo in cui lo sviluppo viene condotto, non per consegnare a un auditor una lista di controllo da spuntare.

Il motivo per cui resta sullo sfondo mentre ISO/IEC 27001 cattura l'attenzione è strutturale. La maggior parte di un'organizzazione parla di politiche, registri dei rischi e certificati; ISO/IEC 27034 parla alle persone che scrivono e rilasciano il codice. Vive all'interno del ciclo di vita di sviluppo del software (SDLC), quindi il suo pubblico è composto da sviluppatori, architetti e ingegneri della sicurezza applicativa piuttosto che dal team di conformità. Questo la rende la norma ISO più fluente nel linguaggio dei team di sviluppo, e quella con più probabilità di allinearsi in modo pulito al modo in cui un'organizzazione di ingegneria funziona realmente giorno per giorno.

L'idea del controllo di sicurezza applicativa

Il concetto portante in ISO/IEC 27034 è trattare la sicurezza delle applicazioni come un insieme di controlli verificabili intessuti nel ciclo di vita, anziché come una revisione di sicurezza aggiunta alla fine.

La norma inquadra i requisiti di sicurezza come qualcosa che si deriva dal contesto dell'applicazione, dai dati che gestisce e dalle minacce che affronta, e che poi si porta avanti attraverso la progettazione, l'implementazione e la verifica, in modo che ogni controllo abbia un punto definito in cui viene integrato e un punto definito in cui viene verificato.

L'effetto pratico è che la sicurezza smette di essere una barriera al rilascio e diventa una proprietà mantenuta in ogni fase, che è esattamente lo spostamento che la pratica moderna dello sviluppo sicuro spinge avanti da anni.

Poiché la norma è orientata ai processi e modellata sul ciclo di vita, si colloca comodamente accanto al materiale prescrittivo e pratico che i team già utilizzano. Non sostituisce l'OWASP Application Security Verification Standard né l'OWASP Top 10; offre loro un quadro di governance a cui agganciarsi. Si abbina anche naturalmente alla pratica del software bill of materials (SBOM), dove sapere esattamente quali componenti vengono rilasciati in un'applicazione è il controllo della fase di manutenzione che mantiene onesto il ciclo di vita dopo il rilascio. Usate insieme, ISO/IEC 27034 fornisce la struttura, mentre OWASP e il SBOM forniscono le tecniche concrete e gli inventari.

Dove si colloca accanto a ISO/IEC 27001

Il modo più pulito di posizionare ISO/IEC 27034 è come il dettaglio del livello applicativo sotto un sistema di gestione ISO/IEC 27001. ISO/IEC 27001 certifica che gestite un sistema di gestione della sicurezza delle informazioni con valutazione del rischio e miglioramento continuo, e il suo insieme di controlli include aspettative di sviluppo sicuro enunciate a un livello elevato.

ISO/IEC 27034 è dove si va per implementare effettivamente quelle aspettative nell'ingegneria: come si catturano i requisiti sicuri, come si verificano i controlli, come la sicurezza viaggia attraverso il SDLC. Un team certificato ISO/IEC 27001 può usare ISO/IEC 27034 per dare sostanza ai propri controlli di sviluppo sicuro, e un'organizzazione di sviluppo può usare ISO/IEC 27034 per assicurarsi che il codice che rilascia regga a quel sistema di gestione più ampio.

Nella pratica, le organizzazioni si certificano raramente rispetto a ISO/IEC 27034 come si certificano rispetto a ISO/IEC 27001. La adottano come guida, trasferiscono la struttura del ciclo di vita nel proprio standard di sviluppo sicuro e la richiamano quando hanno bisogno di una base autorevole per giustificare il modo in cui viene gestita la sicurezza applicativa. Per un piccolo team, il valore è lo stesso che per una grande impresa: un modo riconosciuto e indipendente dal fornitore di descrivere un SDLC sicuro che auditor, clienti e sviluppatori accettano tutti.