De evolutie van het applicatiebeveiligingsprogramma van Datto en BSIMM
Beveiliging is altijd al een van de belangrijkste aandachtspunten van Datto geweest, en blijft dat ook, in ons streven om onze partners de allerbeste oplossingen te bieden. Omdat beveiliging niet in een vacuüm kan worden gerealiseerd, maar de toewijding en inzet van de hele organisatie vereist, streven we ernaar voortdurend op zoek te gaan naar mogelijkheden om de samenwerking met alle partijen te verbeteren. Dit betekent dat er op elk moment talrijke beveiligingsinitiatieven en -verbeteringen lopen die voortdurend worden bijgesteld en opnieuw geprioriteerd. Door wendbaar te zijn, kunnen we flexibel blijven en openstaan voor de beveiligingsbehoeften van onze partners en de gemeenschap. Als onderdeel van deze inspanningen heeft Datto onlangs ons Vulnerability Disclosure Program (VDP) bijgewerkt, waarover ik hier heb geschreven hierheb beschreven. Gezien de timing en het onderwerp leek dit mij ook een goede gelegenheid om wat achtergrondinformatie te geven over een van onze meest baanbrekende initiatieven op het gebied van beveiliging bij Datto.
De reis van het bouwen van veilige producten met een Best in Class Framework
In 2019 begonnen verschillende engineers bij Datto aan ons Building Security In Maturity Model (BSIMM) -traject. Met twee vaste beveiligingsengineers en een beveiligingsarchitect in ons team gingen we op zoek naar een manier om het applicatiebeveiligingsprogramma van Datto op een holistische, zinvolle, gestructureerde en meetbare manier te verbeteren. We kozen ervoor om BSIMM in eerste instantie als inspiratiebron te gebruiken. In lijn met onze agile-cultuur waren we op zoek naar eenvoudig te implementeren initiatieven die een positieve invloed op de beveiliging van onze producten zouden hebben. Dit was een belangrijke eerste stap, omdat het ons niet alleen de tijd gaf om BSIMM te doorgronden, maar ook om verbeterpunten te identificeren en vast te leggen. Hierdoor kregen we vervolgens inzicht in de omvang en schaal van een deel van het werk dat we zowel moesten als wilden uitvoeren. Toen dit werk aan vaart begon te winnen, raakte onze programmamanager, Emilyann Fogarty, bij het project betrokken en hielp ze het programma onder de aandacht te brengen, voorlichting te geven en draagvlak te creëren.
Naast ons werk aan BSIMM hebben we ook andere raamwerken voor applicatiebeveiliging geëvalueerd voor ons eigen gebruik, waaronder NIST en OWASP Open SAMM. Hoewel we de waarde van deze raamwerken inzien en waarschijnlijk elementen ervan zullen opnemen in het applicatiebeveiligingsraamwerk van Datto, leiden ze tot zelfcertificering en bieden ze geen mogelijkheid tot een onpartijdige beoordeling door een derde partij. Deze andere raamwerken zijn bovendien statisch van aard, terwijl de beveiligingswereld zich in hoog tempo ontwikkelt. BSIMM blijft relevant en wordt consequent onderhouden, met jaarlijkse updates die nieuwe mogelijkheden bevatten die door enkele van de beste beveiligingsprogramma’s ter wereld worden ingezet om hun applicaties te beschermen.
Op dat moment vonden we het onvoldoende om een raamwerk te gebruiken dat niet proactief was in het identificeren en benadrukken van belangrijke beveiligingsmogelijkheden en -praktijken. Omdat we onszelf houden aan de hoogste standaard namens de MSP-gemeenschap, kozen we ervoor om te beginnen met het enige raamwerk dat het hoogste niveau van verifieerbare zekerheid biedt door middel van evaluatie door derden. Door een BSIMM-assessment te voltooien, zou Datto zich aansluiten bij een cohort van 120+ beveiligingsbewuste organisaties, voornamelijk in de technologie en financiële dienstverlening, waaronder Cisco en Paypal, die door hun deelname helpen de basislijn te bepalen. Het zou Datto ook de eerste, en tot nu toe enige, 100% op het IT-kanaal gerichte leverancier maken die lid wordt van dit cohort.
Met de hulp van Emilyann en een duidelijker inzicht in onze doelstellingen met BSIMM zijn we begonnen ons BSIMM-programma te definiëren en op te bouwen, buiten het kader van onze afzonderlijke producten. Allereerst zijn we begonnen met het opzetten van onze ‘satellite’ door vrijwilligers te werven binnen de Software Engineering-afdelingen van Datto. Dit vormde het begin van ons Security Champion-programma. Om deze groep mensen te ondersteunen en in staat te stellen hun taken uit te voeren, hebben we een groep technische leidinggevenden benaderd die uiteindelijk de kern van onze Software Security Group zouden vormen. Deze groep kreeg de taak om het BSIMM-programma te helpen beheren en te begeleiden.
Het was voor mij een voorrecht om begin 2020 te worden benoemd tot een van de eerste Security Champions. Doordat ik deel uitmaakte van het Autotask Professional Services Automation (PSA) van Datto, kreeg ik de kans om ons netwerk van Security Champions te zien groeien. Wat begon met slechts drie leden van het beveiligingsteam, groeide al snel uit tot een netwerk van ruim 30 Security Champions, DevSecOps-medewerkers en andere vrijwilligers en medewerkers, die (ik ben er trots op te kunnen zeggen) in al onze producten zijn geïntegreerd en verspreid. Dit onderdeel van ons programma heeft zo’n mate van volwassenheid bereikt dat, ondanks het feit dat Infocyte een zeer recente overname voor Datto is, de discussie over het inbedden van een toegewijde Security Champion al werd meegenomen in de eerste due diligence- en planningsprocessen van het partnerschap.
De volgende generatie applicatiebeveiliging bij Datto
Naarmate de reikwijdte en omvang van Datto's initiatief op het gebied van Applicatiebeveiliging bleef groeien, werd het duidelijk dat we een meer gecentraliseerd team nodig hadden om dit steeds sneller voortschrijdende beveiligingswerk te helpen coördineren. Datto's nieuw geformaliseerde en toegewijde afdeling Applicatiebeveiliging was geboren. Hoewel Application Security al bestond binnen Datto, werd het gecombineerd met de afdeling Offensive Security, wat betekende dat het team verantwoordelijk was voor zowel Application Security als Offensive Security. Naarmate Datto bleef groeien en het werk op het gebied van Application Security en BSIMM zich uitbreidde, werd de noodzaak om Application Security op te splitsen in een eigen afdeling duidelijk. Door deze herstructurering kon het Offensive Security-team zich richten op zeer specifieke activiteiten zoals Pentesting, Red Teaming, Exploit R&D en Social Engineering. Hierdoor kon Application Security zich ook uitsluitend richten op het helpen van onze producten bij het bouwen van veilige software door beveiligingspraktijken in te bouwen in alle fasen van hun Software Development Life Cycles (SDLC).
Na het observeren en helpen begeleiden van de ontwikkeling van ons BSIMM-programma en onze satelliet van Security Champions, was ik opgetogen toen ik werd gevraagd om het nieuwe Application Security-team te managen en formaliseren. Met behulp van mijn jarenlange ervaring in ons Offensive Security-team, mijn ervaring als Software Engineering-manager en mijn tijd als PSA's Security Champion, heb ik de unieke focus om Datto en onze producten te begeleiden in onze inspanningen om een hoog niveau van beveiligingsvolwassenheid voor al onze producten te bereiken en te behouden. Naast deze overgang werd Datto's VDP ook de verantwoordelijkheid van onze afdeling Applicatiebeveiliging en begonnen discussies over hoe de interne VDP-processen te verbeteren en hoe de toekomst van het programma eruit zou kunnen zien.
Hoe is al deze informatie over Applicatiebeveiliging relevant voor de VDP? Het eerder genoemde netwerk van Security Champions is nu direct verantwoordelijk voor het assisteren van het Application Security team bij alle security gerelateerde initiatieven. Ze zijn ook bevoegd om binnen hun eigen teams hun eigen beveiligingsinitiatieven te ontplooien met ondersteuning van ons Application Security-team en Engineering-leidinggevenden.
Het hebben van een externe VDP of Bug Bounty Program (BBP) is een nieuwe niveau drie BSIMM activiteit, voor het eerst geïntroduceerd in v12 van het framework. Dankzij onze proactieve en voortdurende inspanningen om manieren te vinden om de samenwerking rond beveiliging te verbeteren, hadden we al een VDP. Vanwege onze volwassenheid op dit gebied werd ik uitgenodigd om te spreken in een panel van experts op de BSIMM-conferentie van 2021, specifiek over dit onderwerp, samen met experts van Yahoo en Lenovo.
Validatie door derden
De uitbreiding van de rol en verantwoordelijkheden van onze afdeling Application Security was een logisch gevolg van ons streven om onze beveiligingsmaatregelen aan te passen ter bescherming van Datto en onze MSP-partners. Het informatiebeveiligingsteam van Datto hield in 2018 en 2019 het veranderende dreigingslandschap in het IT-kanaal nauwlettend in de gaten en had al voorzien dat softwarebeveiligingsaanvallen op leveranciers in de MSP-toeleveringsketen een steeds groter probleem zouden worden. De activiteiten die we in de tussenliggende anderhalf jaar hebben ondernomen, hebben ons voorbereid op een vijandiger ecosysteem dat zich in 2021 volledig manifesteerde – eenjaardat we‘Het jaar van de MSP-toeleveringsketenaanvallen’noemen. Te midden van de chaos in het kanaal culmineerde het werk dat we hadden verricht ter voorbereiding op verifieerbare softwarebeveiliging in de oplevering van onze eerste formele BSIMM-beoordeling, uitgevoerd door Synopsys voor Datto’s RMM.
Hoewel het om een nieuw programma en een nieuwe afdeling gaat, bleek uit de RMM-beoordelingsresultaten dat Datto een programmamaturiteitsniveau heeft dat vergelijkbaar is met dat van bedrijven waarvan de softwarebeveiligingsprogramma’s al 5,7 jaar draaien. Dit was een enorme prestatie, en hoewel ik graag zou willen dat Application Security alle eer hiervoor zou krijgen, is de realiteit dat onze producten al veel beveiligingsgerelateerde activiteiten en best practices uitvoerden in een poging om „het juiste te doen“ en de vertrouwelijkheid, integriteit en beschikbaarheid van onze partners en hun gegevens te beschermen.
Daar bleef het ook niet bij. In december 2021 hebben we een beoordeling uitgevoerd van Datto Networking, met vergelijkbare resultaten. Dit jaar zijn we van plan om een formele BSIMM-beoordeling te laten uitvoeren voor nog veel meer van onze producten. Het eerste daarvan is ons Business Continuity-product; de start daarvan staat gepland voor de eerste week van april 2022.
Onze voortdurende toewijding aan de MSP-gemeenschap
Hoewel we trots zijn op de beoordelingsresultaten en de vooruitgang die onze producten hebben geboekt, is beveiliging nog altijd even belangrijk. Dit is het moment om onze toewijding aan het leveren van de veiligste producten aan onze partners te versnellen. Datto en ons Applicatie Beveiligingsteam zijn nog maar net begonnen in een continue levenscyclus van Security Maturity. Ik ben vereerd dat ik de kans heb gekregen om een blik te werpen op de vooruitgang die we hebben geboekt en ik kijk ernaar uit om in de toekomst meer details over ons werk met de community te delen.
