4.0 Введение к части 4: Безопасность

Безопасность, приватность и доверие не функции, которые добавляют в конце проекта. Это свойства того, как проектируется, строится, эксплуатируется и управляется вся система. Когда тысячи инженеров поставляют код через сотни сервисов, самое слабое звено определяет, какой ущерб может нанести любой инцидент. Одно неверно настроенное хранилище, один непропатченный зависимый пакет или одна сервисная учётная запись с избыточными привилегиями могут открыть миллионы записей. Эта часть руководства охватывает практики, не дающие этому случиться в масштабе, и позволяющие доказать другим, что вы проделали работу.

Для корпораций ставки финансовые и репутационные: стоимость утечек, регуляторные штрафы, потерянные клиенты и сниженная оценка. Для государства они идут ещё дальше: к национальной безопасности, непрерывности важнейших услуг и общественному доверию, от которого государство зависит. Граждане не могут выбрать другого поставщика своих налоговых, медицинских данных или данных о пособиях, поэтому государство обязано им особой заботой. В обоих случаях одних средств контроля и барьеров никогда не будет достаточно. Безопасность и приватность должны быть усвоены людьми, делающими работу, и продемонстрированы аудиторам, регуляторам и гражданам, которые держат организацию подотчётной.

Эта часть воспринимает безопасность как инженерную дисциплину, охватывающую культуру, код, инфраструктуру, операции, персональные данные и формальные обязательства. Каждая глава опирается на предыдущие, двигаясь от мышления к механизму и далее к доказательству.

Главы этой части

4.1 Основы безопасности и культура. Устанавливает ментальные модели и культурные практики, лежащие в основе всего остального: превращение безопасности в дело каждого, моделирование угроз, жизненный цикл безопасной разработки, эшелонированная защита, нулевое доверие и расстановка приоритетов работы по безопасности по риску, а не по страху или моде.
4.2 Безопасность приложений. Охватывает практики, сохраняющие приложения устойчивыми к дефектам, стоящим за большинством взломов: защита от распространённых классов уязвимостей, проверка ввода и кодирование вывода, правильные аутентификация и авторизация, управление секретами и защита цепочки поставки программного обеспечения.
4.3 Безопасность инфраструктуры и облака. Защищает программно-определяемый фундамент, на котором работают приложения: управление идентификацией и доступом как новый периметр, сегментация сети, шифрование и управление ключами, безопасность контейнеров и бессерверных вычислений и непрерывное управление состоянием защищённости против дрейфа неверных настроек.
4.4 Операции безопасности. Рассматривает быстрое обнаружение угроз и хороший отклик, когда предотвращение отказывает: встраивание безопасности в конвейер поставки (DevSecOps), управление уязвимостями и патчинг, реагирование на инциденты и криминалистика, обнаружение через SIEM (управление информацией и событиями безопасности) и SOAR (оркестрация, автоматизация и реагирование в безопасности) и проверка через «красные» и «фиолетовые» команды.
4.5 Приватность и защита данных. Воспринимает приватность как проектное ограничение, отличное от безопасности: приватность по замыслу, минимизация данных и сроки хранения, классификация и защита PII (персонально идентифицируемой информации) и PHI (защищаемой медицинской информации), согласие и правовое основание, а также требования к трансграничной передаче и местонахождению данных.
4.6 Соответствие требованиям и управление. Охватывает доказательство выполнения обязательств и придание этому повторяемости: основные рамки (GDPR, HIPAA, PCI-DSS, ISO 27001, SOC 2), государственные режимы (FedRAMP, FISMA, NIST 800-53 и 800-171, CMMC), требования доступности и переход от периодических аудитов к непрерывному соответствию на основе свидетельств.
4.7 Управление идентификацией и доступом. Устанавливает, кому что можно: аутентификация против авторизации, жизненный цикл «пришёл-перешёл-ушёл», единый вход и современная федерация (OAuth 2.0, OIDC, SAML), устойчивая к фишингу многофакторная аутентификация и ключи доступа (passkeys), управление доступом на основе ролей и атрибутов, наименьшие привилегии и идентичность машин как плоскость управления для нулевого доверия.
4.8 Криптография и управление ключами. Охватывает правильное использование криптографии, не изобретая её: конфиденциальность, целостность и подлинность из проверенных примитивов, шифрование при передаче и в покое и по-настоящему трудная часть, жизненный цикл ключей, со службами управления ключами и аппаратными модулями безопасности, PKI и автоматизацией сертификатов, криптографической гибкостью и постквантовым переходом.
4.9 Жизненный цикл безопасной разработки программного обеспечения. Встраивание безопасности в каждую фазу, а не добавление проверки в конце: требования безопасности и случаи злоупотребления, моделирование угроз и барьеры безопасного проектирования, безопасное кодирование, инструменты безопасности в конвейере (SAST, DAST, SCA, сканирование секретов и IaC), чемпионы по безопасности и соглашения об уровне устранения, под руководством рамок вроде NIST SSDF и OWASP SAMM.
4.10 Тестирование на проникновение и «красные команды». Поиск слабостей так, как это сделал бы атакующий, по всему спектру от сканирования уязвимостей через тестирование на проникновение, «красные команды» и «фиолетовые команды», с ясным охватом и правилами взаимодействия и возвратом каждой находки в обнаружение и защиту.

Как эти главы связаны между собой

Главы следуют намеренной сквозной линии. Культура задаёт условия. Код и инфраструктура реализуют средства контроля. Операции ловят то, что проскользнуло. Приватность определяет, должны ли данные вообще существовать. А соответствие доказывает, что вся система выполняет свои обязательства. Глава 4.1 корень, от которого зависят остальные: её моделирование угроз и жизненный цикл безопасной разработки формируют защиты приложений из главы 4.2 и ориентированные на идентичность средства контроля из главы 4.3. Глава 4.4 предполагает, что эти защиты существуют, и сосредоточена на обнаружении и отклике, когда их испытывают. Глава 4.5 смотрит на те же данные через другую линзу (что вам разрешено с ними делать, а не просто что вы можете защитить), а глава 4.6 превращает всё это в проверяемые свидетельства.

Эти заботы также простираются через всё руководство. Безопасность цепочки поставки приложений из главы 4.2 связана с лицензированием открытого исходного кода из главы 10.3 и со спецификациями состава программного обеспечения (SBOM) и гарантиями из главы 10.2. Приватность из главы 4.5 зависит от более широкой стратегии данных и управления из главы 7.1. Операции безопасности делят инструменты и дисциплину дежурств с практиками надёжности и инцидентов в других местах руководства. Прочитанные вместе, эти главы описывают безопасность и приватность не как узкий изолированный силос, а как общее свойство того, как большая организация проектирует, эксплуатирует и зарабатывает доверие.