Che cos’è il BSIMM e come si confronta con il SAMM

In questo articolo scoprirai cos’è il BSIMM e in cosa si differenzia dal SAMM. Quando valuti le tue pratiche di sicurezza del software, esistono approcci e metodologie diverse da considerare. La scelta tra un modello prescrittivo e uno empirico può incidere in modo significativo sull’efficacia con cui implementi le misure di sicurezza.

Che cos’è il BSIMM?

Il BSIMM, acronimo di Building Security In Maturity Model, è uno strumento completo per valutare e migliorare le iniziative di sicurezza del software all’interno delle organizzazioni. Si tratta di un modello basato sui dati, sviluppato per supportare la creazione di software sicuro. Non è un framework valido per tutti indistintamente: evolve invece sulla base dei dati reali raccolti dalle aziende che lo hanno adottato.

Il BSIMM ti mette a disposizione un insieme empirico di pratiche, ricavato dall’osservazione di numerose organizzazioni, che ti permette di confrontare le tue iniziative di sicurezza con i benchmark del settore. In questo modo capisci a che punto sei in termini di maturità della sicurezza del software e quali passi devi compiere per migliorare le tue pratiche. Il modello è articolato attorno a pratiche chiave che variano per specificità e profondità, così puoi calibrare i tuoi interventi in base ai rischi e alle esigenze specifiche della tua organizzazione.

Che cos’è il SAMM?

Il SAMM, ovvero il Software Assurance Maturity Model, guida le organizzazioni in modo sistematico nell’implementazione e nella misurazione di pratiche efficaci di sicurezza del software. Offre un percorso strutturato e adattato alle esigenze specifiche della tua organizzazione, con particolare attenzione alla flessibilità dell’integrazione, ed è organizzato attorno a cinque funzioni di business: governance, costruzione, verifica, distribuzione e operation. Ogni funzione definisce una strategia articolata per la sicurezza del software, che copre aspetti diversi: dalle policy e dalla conformità fino ai dettagli tecnici dello sviluppo e della manutenzione.

In ultima analisi, il SAMM punta a promuovere una cultura attenta alla sicurezza all’interno delle organizzazioni, rendendo le considerazioni sulla sicurezza parte integrante di ogni fase del ciclo di vita dello sviluppo software. Seguendo il SAMM non ti limiti a correggere le vulnerabilità: costruisci software solido fin dalle fondamenta.

BSIMM e SAMM a confronto

Nel confronto tra BSIMM e SAMM è importante riconoscere le metodologie e le applicazioni specifiche di ciascuno nel migliorare la sicurezza del software. Entrambi i framework offrono vantaggi distinti, adatti a esigenze organizzative e livelli di maturità differenti.

Origini e sviluppo

Il BSIMM nasce da uno studio del 2008 condotto su nove grandi aziende, con l’obiettivo di quantificare le pratiche di sicurezza del software sulla base di dati reali. Il modello evolve ogni anno grazie agli aggiornamenti forniti da oltre un centinaio di aziende. Il SAMM è stato sviluppato da OWASP nel 2009 come framework flessibile per integrare la sicurezza del software nei processi esistenti, ed è pensato per essere personalizzato in base alle esigenze dell’organizzazione.

Struttura dei livelli di maturità

Il BSIMM è un modello descrittivo: riflette le pratiche osservate nelle varie organizzazioni e valuta le tue pratiche rispetto a una scala di maturità costruita su dati reali, senza prescrivere attività specifiche. Il SAMM è invece un modello prescrittivo: articola la maturità su tre livelli distribuiti su dodici pratiche, con attività definite per ciascun livello, fornendo così traguardi chiari per migliorare la sicurezza.

Categorie e pratiche principali

Il BSIMM è empirico e si basa sulle pratiche realmente adottate nelle diverse organizzazioni. Classifica le pratiche in quattro domini, documentandole in:

1. Governance: il BSIMM si concentra su policy, metriche e conformità. Questo include definire e mantenere le policy di sicurezza, monitorare le metriche di sicurezza e garantire la conformità agli standard normativi e interni.
2. Intelligence: il dominio Intelligence del BSIMM si occupa dell’identificazione delle minacce e delle funzionalità di sicurezza. L’accento è posto sulla comprensione e sulla documentazione delle minacce che riguardano l’organizzazione e sull’integrazione di queste conoscenze nelle misure di sicurezza.
3. SSDL touchpoint: il BSIMM copre l’ingegneria sicura lungo tutto il ciclo di vita dello sviluppo software (SDLC), integrando le pratiche di sicurezza in ogni fase del processo di sviluppo per garantire che il software nasca sicuro fin dalle fondamenta.
4. Deployment: il BSIMM comprende un dominio Deployment dedicato alla distribuzione e alla gestione sicura del software negli ambienti di produzione. Questo assicura che la sicurezza venga mantenuta anche dopo la conclusione della fase di sviluppo.

Il SAMM è prescrittivo e fornisce linee guida per l’implementazione. Organizza le attività attorno a queste cinque funzioni di business:

1. Governance: riguarda i metodi e le attività legati alla gestione dello sviluppo software di un’organizzazione. Affronta in particolare le questioni che coinvolgono i team interfunzionali impegnati nello sviluppo e i processi di business definiti a livello organizzativo.
2. Design: comprende i processi e le attività che definiscono gli obiettivi di un’organizzazione e orientano la creazione del software nei progetti di sviluppo. Di norma include la raccolta dei requisiti, le specifiche architetturali di alto livello e la progettazione di dettaglio.
3. Implementazione: include i metodi e le attività per costruire e distribuire i componenti software e correggere i difetti. Si tratta di attività che incidono in modo significativo sul lavoro quotidiano degli sviluppatori e li aiutano a rilasciare software affidabile.
4. Verifica: riguarda i metodi e le attività di controllo e test degli artefatti prodotti durante lo sviluppo software. Di solito comprende attività di quality assurance come il testing, oltre ad altri processi di revisione e valutazione.
5. Operation: include le attività che garantiscono riservatezza, integrità e disponibilità durante l’intera vita operativa di un’applicazione e dei dati a essa associati. Una maggiore maturità in quest’area rafforza la resilienza dell’organizzazione alle interruzioni operative e la sua capacità di reagire ai cambiamenti dell’ambiente operativo.

Metodi di valutazione e disponibilità

Il BSIMM utilizza dati reali per misurare la maturità e produce una scorecard che consente il confronto con le best practice del settore. Il SAMM propone un framework prescrittivo per valutazioni strutturate, favorendo un miglioramento graduale basato sul rischio. Entrambi i modelli sono disponibili pubblicamente: il SAMM è open source, mentre il BSIMM richiede la partecipazione alla propria community.

Come implementare BSIMM e SAMM nelle organizzazioni

Nel confronto tra BSIMM e SAMM, tieni conto della struttura e della cultura specifiche della tua azienda: sono fattori che influenzano la personalizzazione e l’efficacia del modello.

Aspetti da considerare nell’implementazione del BSIMM

Prima di implementare il BSIMM, valuta con attenzione le esigenze specifiche e i livelli di maturità della tua organizzazione. È fondamentale conoscere le pratiche di sicurezza del software già in uso per calibrare efficacemente il framework BSIMM.

Ecco i passaggi da considerare quando implementi il BSIMM:

1. Valuta le pratiche di sicurezza attuali: individua le misure di sicurezza esistenti e le lacune, per capire dove il BSIMM può migliorare le pratiche in uso.
2. Definisci obiettivi chiari: stabilisci traguardi precisi, come rafforzare la sicurezza del codice o migliorare la conformità alle policy di sicurezza.
3. Coinvolgi gli stakeholder: assicurati che gli stakeholder chiave, compresi il management e i team tecnici, siano coinvolti. La loro partecipazione favorisce un’implementazione senza intoppi e alimenta una cultura della sicurezza.
4. Pianifica il miglioramento continuo: il BSIMM è un processo continuo. Servono valutazioni e aggiornamenti regolari per adattarsi all’evoluzione del panorama della sicurezza e ai cambiamenti organizzativi.

Il processo di implementazione del SAMM

Per implementare il SAMM, inizia analizzando le tue pratiche di sicurezza attuali e i livelli di maturità, concentrandoti su governance, design, implementazione, verifica e operation. Ecco altri elementi da considerare:

1. Coinvolgi gli stakeholder: coinvolgi gli stakeholder di tutti i reparti per garantire una comprensione diffusa e il sostegno alle iniziative di sicurezza. Tutti, dal top management al personale tecnico, devono sapere qual è il loro ruolo nel migliorare il livello di sicurezza.
2. Costruisci una roadmap: elabora una roadmap che delinei gli obiettivi di sicurezza a breve e lungo termine, allineati alle pratiche del SAMM. Includi traguardi e metriche di successo specifici, e aggiorna e rivedi la roadmap con regolarità.
3. Programmi di formazione e sensibilizzazione: offri una formazione continua per tenere tutti aggiornati sulle pratiche di sicurezza più recenti e ribadire quanto siano importanti per mantenere un livello di sicurezza solido.

Sfide e vantaggi di ciascun modello

Conoscere le sfide e i vantaggi di BSIMM e SAMM ti aiuterà a definire la strategia per rafforzare il tuo livello di sicurezza.

Scalabilità

• Il modello basato sui dati del BSIMM è scalabile e ideale per le grandi organizzazioni, ma può risultare impegnativo per le realtà più piccole.
• Il framework flessibile del SAMM si adatta bene ai team più piccoli e offre un punto di partenza più semplice, ma potenzialmente meno approfondito negli ambienti di grandi dimensioni.

Personalizzazione

• Il SAMM consente un elevato grado di personalizzazione e adatta le pratiche alle esigenze specifiche, ma richiede una conoscenza approfondita dei rischi e delle capacità dell’organizzazione.
• Il BSIMM offre meno flessibilità, ma si avvale di una metodologia solida e collaudata sul campo.

Complessità di implementazione

• Implementare il BSIMM richiede di conoscere e valutare oltre 120 pratiche, un’attività che può assorbire molte risorse.
• Il modello più semplice del SAMM è più facile da adottare, ma potenzialmente meno completo in ambienti eterogenei.

Community e supporto

• Il BSIMM può contare su una community solida e su un’ampia base di dati empirici, che offre ottime opportunità di benchmarking.
• Il SAMM, pur essendo sostenuto da una community, si affida maggiormente al contributo e all’adattamento da parte dell’organizzazione, con un’efficacia che varia in base all’impegno e alle competenze del team che lo implementa.

Quale framework è più adatto alle tue esigenze? Guarda Che cos’è il BSIMM e come si confronta con il SAMM e scoprilo.

Come scegliere tra BSIMM e SAMM

Il BSIMM, con il suo metodo prescrittivo e basato sulla misurazione, è pensato per le organizzazioni che cercano benchmark dettagliati rispetto ai concorrenti del settore. Può rivelarsi prezioso se il tuo obiettivo è costruire un programma di sicurezza che punti alle best practice adottate in settori analoghi.

Il SAMM, al contrario, propone un modello flessibile e orientato al miglioramento. Questo approccio può essere più indicato per le aziende che hanno bisogno di linee guida adattabili, capaci di evolvere insieme al mutare del panorama della sicurezza. Il SAMM è particolarmente efficace se il tuo obiettivo è integrare la sicurezza nei processi di sviluppo software in modo fluido, senza vincoli eccessivamente prescrittivi.

Valuta anche la maturità delle pratiche di sicurezza che hai già in essere. Il BSIMM è ideale se disponi già di alcune misure di sicurezza e vuoi perfezionarle. Se invece stai costruendo nuovi framework di sicurezza da zero, il SAMM può offrirti una roadmap strutturata ma personalizzabile.