Microsoft julkaisee agileen tietoturvaohjeet

Microsoft julkaisee tiistaina ohjeet kehittäjille, jotka rakentavat verkkohakemuksia ja käyttävät Agile-koodinkehitysprosessia.

Agile-ohjeissa noudatetaan Microsoftin Security Development Lifecycle (SDL) -periaatteita Agile-järjestelmään, yleisesti käytetyn kehitystyön umbrella-termiin

Microsoft hyväksyi SDL: n vuoden 2002 sitoumuksen mukaisesti turvallisemman koodin rakentamiseksi sen jälkeen, kun useat korkean profiilimatkokset ja muut haittaohjelmat aiheuttivat vaarallisia riskejä asiakkailleen.

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneesta]

Mutta alkuperäinen SDL ei sovi Agile-prosessiin. Agile on erilainen siinä, että kehittäjillä on tietty aika kehittää tiettyjä ominaisuuksia, minkä jälkeen hakemus julkaistaan ​​välittömästi asiakaspalautteen saamiseksi, sanoi Microsoftin tietoturvapäällikkö Bryan Sullivan.

SDL on alun perin tarkoitettu tuotteille, kuten Windows-käyttöjärjestelmä, jotka ovat ei-iteratiivisia, mikä tarkoittaa, että tuotteesta ei ole usein julkaisuja, jotka lisäävät vain yhtä tai kahta ominaisuutta. Kaikki SDL-vaatimukset on kuitenkin otettu käyttöön Agile-prosessissa, mutta toteutetaan eri tavoin, Sullivan sanoi. <95> Microsoft rikkoo SDL: n kolmeen vaatimukseen: kertaluontoisia tehtäviä, niitä, jotka on tehtävä jokaisen sprintin kohdalla ja lopuksi "kauhan" tehtävät, joka on toistettava määräajoin - kuten joka kuudes kuukausi - mutta ei jokaiselle sprintille, Sullivan sanoi. Agile-ohjeet ovat saatavilla tiistaina osoitteessa www.microsoft.com.

Microsoft julkaisee myös valkoisen kirjan verkkosovellusten tietoturvasta. Koska nämä sovellukset ovat yhä enemmän vuorovaikutuksessa ja tietojen vaihtoa, turvallisuus on tärkeintä, sanoo Steve Mortner, tietoturva-insinööri Microsoftin Trustworthy Computing -ryhmässä.

Valkoisessa kirjassa kerrotaan keskeisistä turvallisuuskysymyksistä, joita kehittäjien tulisi harkita Web-sovelluksissa, Lipner sanoi. Se käsittelee myös turvallisuuskysymyksiä, joita kehittäjien tulisi miettiä palveluntarjoajan valinnassa, kuten tietoturva ja fyysinen turvallisuus.