Come funziona il processo di sviluppo software sicuro?
amaise segue un Secure SDLC (Secure Software Development Lifecycle) completo:
Threat Modeling: audit di sicurezza interni trimestrali con revisione dell'architettura e dei modelli di design.
Requisiti di sicurezza: documentati secondo OWASP Top 10 per ogni categoria.
Code review focalizzata sulla sicurezza: obbligatoria per ogni pull request. La checklist include: nessun segreto nel codice, nessun dato personale identificabile (PII) nei log, validazione degli input, prevenzione delle injection, prevenzione XSS, controlli di autorizzazione e separazione dei tenant.
Analisi statica del codice (SAST): eseguita ad ogni build per tutti i linguaggi (Java, Python, TypeScript, Terraform).
Software Composition Analysis (SCA): controllo automatico di tutte le dipendenze per vulnerabilità ad ogni build.
Secret Scanning: rilevamento automatico di segreti inseriti accidentalmente ad ogni commit.
Test dinamici (DAST): scansioni esterne periodiche e penetration test esterni annuali.
Tutti i controlli di sicurezza devono essere superati prima che il codice possa essere unito. In caso di rilevamento di problemi, il build viene immediatamente interrotto.