चौकीदार कौन रखता है?

पैठ परीक्षण में विशेषज्ञता वाली कंपनी iViZ सिक्योरिटी ने अपनी अगली रिपोर्ट, " (इन) सिक्योरिटी इन सिक्योरिटी प्रोडक्ट्स 2013 " प्रकाशित की, जिसमें इसने सुरक्षा समाधानों में कमजोरियों की संख्या में वृद्धि देखी। 2012 में, कमजोरियों की कुल संख्या में लगभग 20% वृद्धि की पृष्ठभूमि के खिलाफ, सुरक्षा उत्पादों में कमजोरियों की संख्या में 3 गुना वृद्धि हुई!

और जो सबसे अधिक अफसोसजनक है: विभिन्न प्रकार की त्रुटियों की कुल मात्रा की तुलना में, पहुंच नियंत्रण, संसाधन प्रबंधन और प्रमाणीकरण से संबंधित सुरक्षा उत्पादों में कमजोरियों की संख्या अतुलनीय रूप से अधिक है। जबकि सुरक्षा उत्पादों में इस तरह की त्रुटियां, मेरी राय में, बिल्कुल भी स्वीकार्य नहीं हैं।

IViZ सुरक्षा विशेषज्ञ इन परिस्थितियों में क्या करने की सलाह देते हैं?
नुस्खा एक ही समय में सरल और जटिल है:

• निर्माता से उत्पादों के न केवल प्रमाणीकरण की आवश्यकता होती है, बल्कि कमजोरियों के लिए भी परीक्षण किया जाता है;
• सुरक्षा समाधान के लिए अपने स्वयं के प्रवेश परीक्षण का संचालन करें।

क्या ग्राहक इन दिशानिर्देशों का पालन कर सकते हैं? सैद्धांतिक रूप से, हां, लेकिन व्यवहार में यह पता चलता है कि केवल मेगा-ग्राहक ही विक्रेता के हाथों को प्राप्त कर सकते हैं और उससे कुछ की आवश्यकता हो सकती है, और कोई भी विशेष रूप से सुरक्षा के लिए डिज़ाइन किए गए उत्पादों की सुरक्षा के परीक्षण पर अतिरिक्त पैसा खर्च नहीं करेगा।

क्या निर्माता उच्च गुणवत्ता वाले उत्पाद प्रदान कर सकते हैं? बेशक वे कर सकते हैं। ज्ञान का एक पूरा क्षेत्र है जो इस परिणाम को प्राप्त करने में मदद करता है और सुरक्षित (यानी, त्रुटियों और कमजोरियों से मुक्त) सॉफ्टवेयर के विकास के लिए समर्पित है। इस क्षेत्र के सबसे प्रसिद्ध घटनाक्रम हैं:

• Microsoft सुरक्षा विकास जीवनचक्र;
• प्रणाली विकास जीवन चक्र में NIST सुरक्षा विचार;
• सिस्को सुरक्षा विकास जीवनचक्र;
• सॉफ्टवेयर एश्योरेंस मैच्योरिटी मॉडल एट अल।

बेशक, इन सिफारिशों का पालन करना विकास को अधिक महंगा बनाता है, लेकिन उपयोगकर्ताओं की शिकायतों की संख्या को कम करने के लिए त्रुटियों और कमजोरियों की संख्या को कम करने की गारंटी दी जाती है, जिससे लागतों की भरपाई होनी चाहिए।

विशेष रूप से, सुरक्षा कोड ने Microsoft और सिस्को के सुरक्षित विकास जीवनचक्र के संयोजन के आधार पर एक विकास प्रक्रिया शुरू की। इसके सभी चरणों को एक प्रमाणित गुणवत्ता प्रबंधन प्रणाली के ढांचे में प्रलेखित किया गया है और इसमें अन्य चीजों, उन्नत परीक्षण विधियों, भेद्यता खोज और आक्रमण मॉडलिंग शामिल हैं, जो हमें बाजार पर उच्च-गुणवत्ता और सुरक्षित सूचना सुरक्षा उपकरण लॉन्च करने की अनुमति देता है।

इसके अलावा, इस तथ्य के कारण कि व्यक्तिगत डेटा की सुरक्षा पर अपने नवीनतम दस्तावेजों में रूस के FSTEC ने सुरक्षित प्रोग्रामिंग विधियों का उपयोग करके विकसित किए गए सॉफ़्टवेयर के उपयोग की सिफारिश की है, हम जल्द ही वेबसाइट पर हमारी विकास प्रक्रिया का वर्णन करने की योजना बनाते हैं।

Stepanenko एंड्री, सुरक्षा निदेशक के विपणन निदेशक