Wat is BSIMM en hoe verhoudt het zich tot SAMM?

In dit artikel leert u meer over BSIMM en hoe dit model verschilt van SAMM. Wanneer u uw praktijken voor softwarebeveiliging tegen het licht houdt, zijn er verschillende aandachtspunten en methodologieën om te overwegen. De keuze tussen een prescriptief en een empirisch model heeft grote invloed op de effectiviteit waarmee u beveiligingsmaatregelen doorvoert.

Wat is BSIMM?

BSIMM, oftewel het Building Security In Maturity Model, is een uitgebreide maatstaf om initiatieven voor softwarebeveiliging binnen organisaties te evalueren en te verbeteren. BSIMM is een datagedreven model dat is ontwikkeld om te helpen bij het bouwen van veilige software. Het is geen kader dat voor iedereen hetzelfde werkt, maar een model dat evolueert op basis van praktijkgegevens van bedrijven die het hebben toegepast.

BSIMM biedt u een empirische set praktijken die voortkomt uit de observatie van talloze organisaties, waarmee u uw beveiligingsinitiatieven kunt vergelijken met benchmarks uit de sector. Zo krijgt u inzicht in uw positie op het gebied van volwassenheid in softwarebeveiliging en in de stappen die nodig zijn om uw praktijken te verbeteren. Het model is opgebouwd rond kernpraktijken die verschillen in specificiteit en diepgang, zodat u uw beveiligingsverbeteringen kunt afstemmen op de unieke risico’s en behoeften van uw organisatie.

Wat is SAMM?

SAMM, het Software Assurance Maturity Model, begeleidt organisaties systematisch bij het invoeren en meten van effectieve praktijken voor softwarebeveiliging. Het biedt een gestructureerd pad dat is afgestemd op de unieke behoeften van uw organisatie, legt de nadruk op flexibiliteit bij integratie en is opgebouwd rond vijf bedrijfsfuncties: Governance, Construction, Verification, Deployment en Operations. Elke functie vormt een uitgebreide strategie voor softwarebeveiliging en behandelt uiteenlopende aspecten, van beleid en compliance tot de technische details van ontwikkeling en onderhoud.

Uiteindelijk wil SAMM binnen organisaties een beveiligingsbewuste cultuur stimuleren, waarbij beveiligingsoverwegingen een integraal onderdeel vormen van elke fase in de lifecycle van softwareontwikkeling. Met SAMM dicht u niet alleen kwetsbaarheden, maar bouwt u software die vanaf de basis robuust is.

BSIMM versus SAMM

Bij een vergelijking van BSIMM versus SAMM is het belangrijk om de eigen methodologie en toepassing van elk model bij het versterken van softwarebeveiliging te herkennen. Elk kader biedt specifieke voordelen die aansluiten op uiteenlopende organisatorische behoeften en volwassenheidsniveaus.

Ontstaan en ontwikkeling

BSIMM ontstond uit een onderzoek uit 2008 onder negen grote bedrijven, met als doel praktijken voor softwarebeveiliging te kwantificeren op basis van praktijkgegevens. Het model evolueert jaarlijks met updates van meer dan honderd bedrijven. SAMM is in 2009 ontwikkeld door OWASP als flexibel kader om softwarebeveiliging te integreren in bestaande processen. Dit model is bedoeld om te worden aangepast aan de behoeften van de organisatie.

Opbouw van de volwassenheidsniveaus

BSIMM is een beschrijvend model: het weerspiegelt praktijken die bij organisaties zijn waargenomen en beoordeelt uw praktijken aan de hand van een volwassenheidsschaal op basis van praktijkgegevens, zonder specifieke activiteiten voor te schrijven. SAMM is een prescriptief model. Het verdeelt volwassenheid over drie niveaus binnen twaalf praktijken, met vastgelegde activiteiten per volwassenheidsniveau, waardoor er duidelijke mijlpalen voor beveiligingsverbeteringen ontstaan.

Belangrijkste categorieën en praktijken

BSIMM is empirisch en gebaseerd op daadwerkelijke praktijken bij uiteenlopende organisaties. Het model verdeelt praktijken over vier domeinen en documenteert praktijken op het gebied van:

1. Governance: BSIMM richt zich op beleid, meetgegevens en compliance. Daarbij gaat het om het opstellen en onderhouden van beveiligingsbeleid, het bijhouden van beveiligingsmeetgegevens en het waarborgen van compliance met wettelijke en interne normen.
2. Intelligence: het Intelligence-domein van BSIMM behandelt de identificatie van dreigingen en beveiligingsfuncties. De nadruk ligt op het begrijpen en documenteren van dreigingen voor de organisatie en het verwerken van die kennis in beveiligingsmaatregelen.
3. SSDL touchpoints: BSIMM behandelt veilige engineering gedurende de volledige Software Development Life Cycle (SDLC). Beveiligingspraktijken worden daarmee in elke fase van het ontwikkelproces verankerd, zodat software vanaf de basis veilig wordt gebouwd.
4. Deployment: BSIMM bevat een Deployment-domein dat zich richt op het veilig uitrollen en beheren van software in productieomgevingen. Zo blijft de beveiliging ook na afronding van de ontwikkelfase gewaarborgd.

SAMM is prescriptief en biedt richtlijnen voor implementatie. Het model ordent activiteiten binnen deze vijf bedrijfsfuncties:

1. Governance: richt zich op de methoden en taken rond het beheer van de softwareontwikkelactiviteiten van een organisatie. Het gaat specifiek in op kwesties die multidisciplinaire ontwikkelteams raken en op de bedrijfsprocessen die op organisatieniveau zijn vastgelegd.
2. Design: omvat de processen en activiteiten die de doelen van een organisatie bepalen en de softwarecreatie binnen ontwikkelprojecten sturen. Meestal gaat het om het verzamelen van requirements, architectuurspecificaties op hoofdlijnen en gedetailleerde ontwerpplanning.
3. Implementation: omvat de methoden en taken voor het bouwen en uitrollen van softwarecomponenten en het verhelpen van defecten. Deze activiteiten hebben grote invloed op het dagelijks werk van ontwikkelaars en helpen hen betrouwbare software op te leveren.
4. Verification: richt zich op de methoden en taken rond het controleren en testen van de artefacten die tijdens softwareontwikkeling ontstaan. Meestal gaat het om kwaliteitsborgingsactiviteiten zoals testen, naast andere review- en evaluatieprocessen.
5. Operations: omvat activiteiten die vertrouwelijkheid, integriteit en beschikbaarheid waarborgen gedurende de operationele levensduur van een applicatie en de bijbehorende gegevens. Een hogere volwassenheid op dit vlak vergroot de weerbaarheid van de organisatie tegen operationele verstoringen en het reactievermogen bij veranderingen in de operationele omgeving.

Beoordelingsmethoden en beschikbaarheid

BSIMM gebruikt praktijkgegevens om volwassenheid te meten en levert een scorecard op om te benchmarken tegen de beste praktijken in de sector. SAMM biedt een prescriptief kader voor gestructureerde beoordelingen en maakt stapsgewijze verbetering op basis van risico mogelijk. Beide modellen zijn openbaar beschikbaar: SAMM is open source en voor BSIMM is deelname aan de community vereist.

BSIMM en SAMM invoeren binnen organisaties

Kijk bij de afweging tussen BSIMM en SAMM naar de unieke structuur en cultuur van uw bedrijf, want die factoren bepalen hoe het model wordt aangepast en hoe effectief het is.

Aandachtspunten bij de implementatie van BSIMM

Beoordeel de specifieke behoeften en volwassenheidsniveaus van uw organisatie zorgvuldig voordat u BSIMM invoert. Inzicht in uw huidige praktijken voor softwarebeveiliging is essentieel om het BSIMM-kader effectief af te stemmen.

Houd rekening met de volgende stappen bij de implementatie van BSIMM:

1. Beoordeel de huidige beveiligingspraktijken: breng bestaande beveiligingsmaatregelen en hiaten in kaart om te bepalen waar BSIMM de praktijken kan verbeteren.
2. Stel duidelijke doelen: bepaal doelstellingen, zoals het versterken van de beveiliging van code of het verbeteren van de compliance met beveiligingsbeleid.
3. Betrek belanghebbenden: zorg dat belangrijke belanghebbenden, waaronder het management en de technische teams, betrokken zijn. Hun betrokkenheid ondersteunt een soepele implementatie en stimuleert een beveiligingscultuur.
4. Plan voor continue verbetering: BSIMM is een doorlopend proces. Regelmatige beoordelingen en updates zijn nodig om mee te bewegen met een veranderend dreigingslandschap en organisatorische veranderingen.

Het implementatieproces van SAMM

Begin bij de invoering van SAMM met een analyse van uw huidige beveiligingspraktijken en volwassenheidsniveaus, met aandacht voor governance, design, implementation, verification en operations. Hier zijn nog enkele punten om rekening mee te houden:

1. Betrek belanghebbenden: betrek belanghebbenden uit alle afdelingen om een breed begrip en draagvlak voor beveiligingsinitiatieven te garanderen. Iedereen, van het hoger management tot de technische medewerkers, moet begrijpen welke rol hij of zij speelt bij het versterken van het beveiligingsbeleid.
2. Stel een roadmap op: stel een roadmap op met beveiligingsdoelen op korte en lange termijn die aansluiten op de praktijken van SAMM. Neem concrete mijlpalen en succesindicatoren op en werk de roadmap regelmatig bij en evalueer deze.
3. Trainings- en bewustwordingsprogramma’s: bied doorlopende scholing aan om iedereen op de hoogte te houden van de nieuwste beveiligingspraktijken en het belang daarvan voor een sterk beveiligingsbeleid te onderstrepen.

Uitdagingen en voordelen van beide modellen

Inzicht in de uitdagingen en voordelen van BSIMM en SAMM bepaalt uw strategie om het beveiligingsbeleid te versterken.

Schaalbaarheid

• Het datagedreven model van BSIMM is schaalbaar en ideaal voor grote organisaties, maar kan lastig zijn voor kleinere partijen.
• Het flexibele kader van SAMM schaalt goed voor kleinere teams en maakt de start eenvoudiger, maar biedt in grote omgevingen mogelijk minder diepgang.

Maatwerk

• SAMM biedt veel ruimte voor maatwerk en stemt praktijken af op specifieke behoeften, maar vraagt om diepgaand inzicht in de eigen risico’s en mogelijkheden.
• BSIMM biedt minder flexibiliteit, maar profiteert van een robuuste, in de praktijk beproefde methodologie.

Complexiteit van de implementatie

• Voor de implementatie van BSIMM moet u meer dan 120 praktijken begrijpen en beoordelen, wat veel middelen kan vergen.
• Het eenvoudiger model van SAMM is makkelijker in gebruik te nemen, maar is in uiteenlopende omgevingen mogelijk minder volledig.

Community en ondersteuning

• BSIMM heeft een sterke community en beschikt over uitgebreide empirische gegevens, wat uitstekende benchmarkmogelijkheden oplevert.
• SAMM wordt weliswaar ondersteund door een community, maar leunt meer op de inbreng en aanpassingen van de organisatie zelf, waardoor de effectiviteit afhangt van de inzet en expertise van het implementerende team.

Welk kader past bij uw behoeften? Bekijk Wat is BSIMM en hoe verhoudt het zich tot SAMM en ontdek het.

Kiezen tussen BSIMM en SAMM

BSIMM is met zijn prescriptieve, op metingen gebaseerde aanpak bedoeld voor organisaties die gedetailleerde benchmarks ten opzichte van sectorgenoten zoeken. Dat kan van onschatbare waarde zijn als u een beveiligingsprogramma wilt opbouwen dat streeft naar de beste praktijken binnen vergelijkbare sectoren.

SAMM biedt daarentegen een flexibel model dat draait om verbetering. Die aanpak past mogelijk beter bij bedrijven die behoefte hebben aan aanpasbare richtlijnen die kunnen meegroeien met hun veranderende beveiligingslandschap. SAMM is vooral effectief wanneer u beveiliging naadloos wilt integreren in softwareontwikkelprocessen zonder al te veel voorschriften.

Houd ook rekening met de volwassenheid van uw bestaande beveiligingspraktijken. BSIMM is ideaal als u al beveiligingsmaatregelen heeft getroffen en die wilt verfijnen. Bouwt u nieuwe beveiligingskaders helemaal vanaf de basis op, dan biedt SAMM een gestructureerde maar aanpasbare roadmap.