Sterke beveiliging van de toeleveringsketen begint met veilige software

Waarom een veilig kader voor applicatieontwikkeling belangrijk is

In het afgelopen jaar zijn aanvallen op de toeleveringsketen meer voorgekomen dan ooit, waardoor de beveiliging van leveranciers een top-of-mind zorg is geworden voor veel organisaties. Vandaag de dag bevinden MSP's zich in een positie waarin ze moeten bepalen hoe veilig hun upstream-leveranciers zijn, om hun bedrijf en downstream-klanten te beschermen.

Hoe gebeurt het? Veel van deze aanvallen worden mogelijk gemaakt door zwakke plekken in de ontwikkelingsprocessen van softwarebeveiliging. Veel applicaties worden tegenwoordig gebouwd voor snelheid, prestaties en gebruiksgemak, waarbij wendbaarheid prioriteit krijgt boven beveiliging. Hierdoor is beveiliging vaak een bijzaak als het gaat om applicatieontwikkeling, maar toch blijft de applicatielaag een zacht doelwit, zoals blijkt uit de meerderheid van de aanvallen die erop gericht zijn. Volgens een recent onderzoeksrapport van het Cyentia Institute "is 56% van de grootste incidenten van de afgelopen 5 jaar terug te voeren op een of ander beveiligingsprobleem van webtoepassingen...". In feite zijn veel inbreuken die vandaag de dag veel aandacht trekken een direct gevolg van de volgende webtoepassingsaanvallen:

• Kwetsbare toegangscontroles – Wanneer een onbevoegde gebruiker of hacker toegang krijgt om inhoud te wijzigen of te verwijderen, of erger nog, volledige controle krijgt over een webapplicatie.
• Injectie- en cross-site scripting-aanvallen – Hierbij wordt kwaadaardige code in een webapplicatie geïnjecteerd, wat vaak leidt tot gegevensverlies, verwijdering van gegevens, denial-of-service of zelfs volledige compromittering van het systeem.
• Beveiligingslekken door server-side request forgery – Hier zorgt een aanvaller ervoor dat een webapplicatie een serverreactie naar een andere of onbekende bestemming stuurt, waarbij firewalls en toegangscontrolelijsten worden omzeild.
• Niet-gepatchte, niet-ondersteunde en verouderde applicaties – Na verloop van tijd vinden hackers zelfs in de meest robuuste applicaties kwetsbaarheden die ze kunnen misbruiken, waardoor het noodzakelijk is om ervoor te zorgen dat applicaties en beheersystemen worden ondersteund en up-to-date zijn.

Het is duidelijker dan ooit dat softwaretoepassingen tegenwoordig van cruciaal belang zijn voor de activiteiten van IT-serviceproviders. De meeste applicaties hebben toegang tot waardevolle gegevens, daarom kan de schade die wordt veroorzaakt door de exploitatie van een onveilige webapplicatie enorm zijn. Of het nu gaat om RMM of een Business Continuity-oplossing, we mogen het belang van veilige applicaties niet onderschatten.

Datto heeft het Building Security in Maturity Model (BSIMM) aangenomen

Datto heeft beveiliging altijd op de eerste plaats gezet. Als onderdeel van onze toewijding om MSP's en hun klanten te beschermen, zijn we op een missie gegaan om de gouden standaard voor kanaalbeveiliging voor softwareleveringsketens te definiëren. Als zodanig handhaven we een hoog beveiligingsniveau gedurende de gehele softwareontwikkelingscyclus en beoordelen en verbeteren we voortdurend onze applicatieontwikkelingsprocessen om deze in lijn te brengen met de hoogste beveiligingsstandaarden.

Nu de beveiliging van de toeleveringsketen belangrijker wordt dan ooit, zien we de beveiliging van applicatieontwikkeling als een noodzakelijk en strategisch onderdeel van ons bedrijf en daarom hebben we het BSIMM-raamwerk aangenomen om onze toewijding aan de kanaalgemeenschap als veilige leverancier en partner te tonen.

Wat is BSIMM?

Het Building Security In Maturity Model (BSIMM) is een onderzoek naar huidige (point in time) softwarebeveiligingsinitiatieven die de ontwikkeling van applicatiebeveiliging (appsec) kwantificeren. BSIMM helpt organisaties bij het plannen, implementeren en meten van hun beveiligingssoftware-initiatieven. Een BSIMM assessment biedt een objectieve, point-in-time, data-gedreven evaluatie zodat ontwikkelaars continu de beveiliging van hun applicaties kunnen verbeteren.

De BSIMM-observaties maken gebruik van een raamwerk van 12 praktijken op het gebied van softwarebeveiliging, ingedeeld in vier domeinen: Governance, Intelligence, SSDL Touchpoints en Deployment. Dit raamwerk omvat momenteel 122 unieke activiteiten, verdeeld over drie volwassenheidsniveaus. Het domein Governance omvat bijvoorbeeld activiteiten die vallen onder de praktijken op het gebied van organisatie, beheer en meting van een softwarebeveiligingsinitiatief.

Waarom hebben we BSIMM gekozen en geen andere frameworks?

• BSIMM is de wereldwijde maatstaf voor softwarebeveiliging: er bestaan tal van raamwerken voor applicatiebeveiliging, maar BSIMM is het enige raamwerk waarmee organisaties de volwassenheid van hun applicatiebeveiligingsprogramma formeel kunnen beoordelen in vergelijking met andere toonaangevende programma’s, op basis van praktijkgegevens van een neutrale partij.
• BSIMM blijft altijd actueel: het model wordt elk jaar op unieke wijze bijgewerkt op basis van voortdurende observatie van de BSIMM-activiteiten van deelnemende bedrijven.
• BSIMM biedt onafhankelijke beoordelingsgegevens: hierdoor kunnen we de softwarebeveiligingsstatus aan onze klanten, partners en toezichthouders presenteren, ondersteund door onafhankelijke, kwantitatieve gegevens.
• De BSIMM-gemeenschap: Door deel te nemen aan BSIMM hebben we rechtstreeks toegang tot bronnen, leden van de gemeenschap en jaarlijkse conferenties, waardoor we op de hoogte blijven van de nieuwste en belangrijkste trends op het gebied van applicatiebeveiliging, kunnen samenwerken bij het oplossen van technische uitdagingen en een bijdrage kunnen leveren aan het verbeteren van de praktijken op het gebied van applicatiebeveiliging in het algemeen.

Datto bezet toppositie

Omdat Datto weet dat veilige applicatieontwikkeling cruciaal is voor de algehele beveiligingspositie van elk bedrijf, heeft Datto zich gecommitteerd aan het implementeren van de BSIMM software beveiligingsbenchmark tool en raamwerk.

Bij het uitvoeren van de eerste BSIMM-beoordeling voor Datto Remote Monitoring and Management (RMM), kwam Datto naar voren met een stellaire ranking, die veilige applicatieprocessen en applicatieontwikkeling evenaarde die alleen werden bereikt door 128 van de meest veilige app-ontwikkelaars in de branche, die worden gebruikt door toonaangevende IT-bedrijven, financiële instellingen en Fortune 500-ondernemingen.

Datto RMM beoordelingssamenvatting

• De resultaten van Datto overtroffen het oorspronkelijke doel, met een score die boven het gemiddelde ligt in 8 van de 12 praktijken
• Behoorde tot de top 20% van bedrijven die hun eerste assessment ondergingen
• De score staat in de top 5 van bedrijven met een softwarebeveiligingsgroep die minder dan twee jaar oud is
• Datto voert de allerbelangrijkste activiteit uit met betrekking tot het verbeteren van softwarebeveiliging: het heeft een toegewijde SSG die middelen kan krijgen en organisatorische veranderingen kan stimuleren

Vergeleken met de gemiddelde scores van alle BSIMM12-deelnemers, staat Datto boven het gemiddelde in Strategie & Metriek, Compliance & Beleid, Training, Aanvalsmodellen, Code Review, Beveiligingstesten, Penetratietesten en Configuratiebeheer & Kwetsbaarheidsbeheer. Datto scoort dichtbij het gemiddelde in Standaarden & Vereisten en Softwareomgeving. De resultaten van deze observatie geven ook aan dat Datto's toekomstgerichte plannen en prioriteiten goed zijn afgestemd op de aanbevelingen en richtlijnen van BSIMM voor het nastreven van een goed afgerond softwarebeveiligingsinitiatief.

"Datto voert de allerbelangrijkste activiteit uit met betrekking tot het verbeteren van softwarebeveiliging: het heeft een speciale softwarebeveiligingsgroep die middelen kan krijgen en organisatorische veranderingen kan stimuleren."

Deze eerste beoordeling is een bewijs van Datto’s voortdurende inzet voor veilige codeontwikkeling, en toont aan dat Datto de enige IT-leverancier is die zich richt op de MSP-gemeenschap en die niet alleen de BSIMM-validatie heeft behaald, maar ook dit BSIMM-scoreniveau heeft bereikt.

Het nemen van geïnformeerde beslissingen over beveiligingssoftware is nog nooit zo belangrijk geweest en heeft nog nooit zulke belangrijke gevolgen gehad.

Neem contact met ons opvoor meer informatie over de BSIMM-beoordeling van Datto.