Wie sieht der sichere Softwareentwicklungsprozess aus?
amaise folgt einem durchgängigen Secure SDLC (Secure Software Development Lifecycle):
Threat Modeling: Vierteljährliche interne Sicherheitsaudits mit Überprüfung der Architektur und Designmuster.
Sicherheitsanforderungen: Dokumentiert nach OWASP Top 10 für jede Kategorie.
Sicherheitsfokussiertes Code-Review: Obligatorisch für jeden Pull Request. Die Checkliste umfasst: keine Geheimnisse im Code, keine PII in Logs, Eingabevalidierung, Injection-Prävention, XSS-Prävention, Autorisierungsprüfungen und Mandantentrennung.
Statische Codeanalyse (SAST): Bei jedem Build für alle Sprachen (Java, Python, TypeScript, Terraform).
Software Composition Analysis (SCA): Automatische Prüfung aller Abhängigkeiten auf Schwachstellen bei jedem Build.
Secret Scanning: Automatische Erkennung versehentlich eingebrachter Geheimnisse bei jedem Commit.
Dynamische Tests (DAST): Periodische externe Scans und jährliche Penetrationstests durch Drittfirmen im vierten Quartal (Q4).
Alle Sicherheitsgates müssen bestanden werden, bevor Code zusammengeführt werden kann. Bei einem Befund wird der Build sofort abgebrochen.