Neste artigo, você vai conhecer melhor o BSIMM e entender como ele se diferencia do SAMM. Na hora de avaliar suas práticas de segurança de software, existem diferentes focos e metodologias a considerar. A escolha entre um modelo prescritivo e um modelo empírico influencia diretamente a eficácia das medidas de segurança que você implementa.
O que é BSIMM?
O BSIMM, ou Building Security In Maturity Model, funciona como uma medida abrangente para avaliar e aprimorar iniciativas de segurança de software dentro das organizações. É um modelo orientado por dados, criado para apoiar o desenvolvimento de software seguro. Não se trata de uma estrutura padronizada para todos: ele evolui a partir de dados reais de empresas que já o adotaram.
O BSIMM oferece um conjunto empírico de práticas obtido a partir da observação de inúmeras organizações, o que permite comparar suas iniciativas de segurança com os parâmetros do setor. Assim, fica mais fácil saber em que ponto você está em termos de maturidade de segurança de software e quais passos faltam para evoluir. Sua estrutura se apoia em práticas-chave que variam em especificidade e profundidade, de modo que você pode ajustar as melhorias de segurança aos riscos e às necessidades da sua organização.
O que é SAMM?
O SAMM, ou Software Assurance Maturity Model, orienta as organizações de forma sistemática na implementação e na medição de práticas eficazes de segurança de software. Ele propõe um caminho estruturado e adaptado às necessidades de cada organização, com ênfase na flexibilidade de integração, e se organiza em cinco funções de negócio: Governança, Construção, Verificação, Implantação e Operações. Cada função estabelece uma estratégia ampla de segurança de software, abordando desde política e conformidade até os detalhes técnicos do desenvolvimento e da manutenção.
No fim das contas, o SAMM busca cultivar uma cultura de segurança dentro das organizações, tornando a segurança parte integrante de todas as fases do ciclo de vida do desenvolvimento de software. Ao seguir o SAMM, você não está apenas corrigindo vulnerabilidades: está construindo um software sólido desde a base.
BSIMM x SAMM
Na comparação entre BSIMM e SAMM, vale reconhecer as metodologias e as aplicações específicas de cada um no fortalecimento da segurança de software. Cada estrutura traz vantagens próprias, voltadas a diferentes necessidades organizacionais e níveis de maturidade.
Origem e evolução
O BSIMM nasceu de um estudo de 2008 com nove grandes empresas, com o objetivo de quantificar práticas de segurança de software a partir de dados reais. O modelo evolui todo ano com as contribuições de mais de uma centena de empresas. Já o SAMM foi criado pela OWASP em 2009 como uma estrutura flexível para integrar a segurança de software aos processos existentes. Esse modelo foi pensado para ser personalizado conforme as necessidades de cada organização.
Estrutura dos níveis de maturidade
Modelo descritivo, o BSIMM reflete práticas observadas em diversas organizações e avalia as suas em uma escala de maturidade baseada em dados reais, sem prescrever atividades específicas. O SAMM é um modelo prescritivo: organiza a maturidade em três níveis distribuídos por doze práticas, com atividades definidas em cada nível, o que cria marcos claros para a evolução da segurança.
Categorias e práticas principais
O BSIMM é empírico, baseado nas práticas realmente adotadas em diferentes organizações. Ele agrupa essas práticas em quatro domínios, documentando o que acontece em:
- Governança: o BSIMM foca em políticas, métricas e conformidade. Isso inclui criar e manter políticas de segurança, acompanhar métricas e garantir a conformidade com normas regulatórias e internas.
- Inteligência: o domínio de Inteligência do BSIMM trata da identificação de ameaças e dos recursos de segurança. A ênfase está em compreender e documentar as ameaças à organização e incorporar esse conhecimento às medidas de segurança.
- Pontos de contato do SSDL: o BSIMM cobre a engenharia segura ao longo de todo o ciclo de vida de desenvolvimento de software (SDLC). Isso integra práticas de segurança a cada fase do processo, para que o software seja seguro desde a base.
- Implantação: o BSIMM inclui um domínio de Implantação voltado à implantação e ao gerenciamento seguros de software em ambientes de produção. Isso assegura que a segurança se mantenha mesmo depois de concluída a fase de desenvolvimento.
O SAMM é prescritivo e traz diretrizes de implementação. Ele organiza as atividades em cinco funções de negócio:
- Governança: trata dos métodos e das tarefas ligados ao gerenciamento das atividades de desenvolvimento de software de uma organização. Aborda especificamente questões que afetam equipes multifuncionais envolvidas no desenvolvimento e os processos de negócio definidos no nível organizacional.
- Design: envolve os processos e as atividades que definem os objetivos da organização e orientam a criação de software nos projetos de desenvolvimento. Normalmente inclui levantamento de requisitos, especificações arquiteturais de alto nível e planejamento detalhado do design.
- Implementação: reúne os métodos e as tarefas para construir e implantar componentes de software e corrigir defeitos. Essas atividades afetam bastante o dia a dia dos desenvolvedores e os ajudam a entregar software confiável.
- Verificação: concentra-se nos métodos e nas tarefas de checagem e teste dos artefatos produzidos durante o desenvolvimento. Costuma envolver atividades de garantia de qualidade, como testes, além de outros processos de revisão e avaliação.
- Operações: inclui as atividades que garantem confidencialidade, integridade e disponibilidade durante toda a vida operacional de uma aplicação e dos dados associados a ela. Uma maturidade maior nessa área aumenta a resiliência da organização a interrupções operacionais e sua capacidade de reagir a mudanças no ambiente de operação.
Métodos de avaliação e disponibilidade
O BSIMM usa dados reais para medir maturidade e gera um scorecard que serve de referência frente às melhores práticas do setor. O SAMM oferece uma estrutura prescritiva para avaliações estruturadas, favorecendo a melhoria incremental com base em risco. Os dois modelos estão disponíveis publicamente: o SAMM é de código aberto e o BSIMM exige participação em sua comunidade.
Como implementar BSIMM e SAMM nas organizações
Ao avaliar BSIMM x SAMM, olhe para a estrutura e a cultura da sua empresa, já que esses fatores influenciam a personalização e a eficácia do modelo.
Pontos de atenção na implementação do BSIMM
Avalie com cuidado as necessidades específicas e os níveis de maturidade da sua organização antes de implementar o BSIMM. Conhecer suas práticas atuais de segurança de software é essencial para adaptar bem a estrutura.
Considere os seguintes passos ao implementar o BSIMM:
- Avalie as práticas de segurança atuais: identifique as medidas de segurança já existentes e as lacunas para entender onde o BSIMM pode trazer melhorias.
- Defina objetivos claros: estabeleça metas, como reforçar a segurança do código ou melhorar a conformidade com as políticas de segurança.
- Envolva as partes interessadas: confirme a participação das principais partes interessadas, incluindo gestão e equipes técnicas. Esse engajamento facilita a implementação e ajuda a criar uma cultura de segurança.
- Planeje a melhoria contínua: o BSIMM é um processo contínuo. Avaliações e atualizações periódicas são necessárias para acompanhar a evolução do cenário de ameaças e as mudanças na organização.
Processo de implementação do SAMM
Para implementar o SAMM, comece analisando suas práticas de segurança atuais e seus níveis de maturidade, com foco em governança, design, implementação, verificação e operações. Veja outros pontos a considerar:
- Envolva as partes interessadas: engaje as partes interessadas de todos os departamentos para garantir entendimento e apoio amplos às iniciativas de segurança. Da alta gestão à equipe técnica, todos precisam entender seu papel no fortalecimento da postura de segurança.
- Monte um Roadmap: crie um Roadmap com metas de segurança de curto e longo prazo alinhadas às práticas do SAMM. Inclua marcos e métricas de sucesso específicos e revise o Roadmap com regularidade.
- Programas de treinamento e conscientização: ofereça educação contínua para manter todos atualizados sobre as práticas de segurança mais recentes e reforçar a importância delas para sustentar uma postura de segurança sólida.
Desafios e benefícios de cada modelo
Entender os desafios e os benefícios do BSIMM e do SAMM vai orientar sua estratégia para fortalecer a postura de segurança.
Escalabilidade
- O modelo orientado por dados do BSIMM é escalável e ideal para grandes organizações, mas pode ser difícil para empresas menores.
- A estrutura flexível do SAMM escala bem em equipes menores e facilita o início, embora possa oferecer menos profundidade em ambientes grandes.
Personalização
- O SAMM permite alto grau de personalização e ajusta as práticas a necessidades específicas, mas exige conhecer a fundo os riscos e as capacidades da organização.
- O BSIMM oferece menos flexibilidade, porém se beneficia de uma metodologia robusta e testada pelo setor.
Complexidade de implementação
- Implementar o BSIMM exige compreender e medir mais de 120 práticas, o que pode consumir muitos recursos.
- O modelo mais simples do SAMM é mais fácil de adotar, mas pode ser menos abrangente em ambientes diversos.
Comunidade e suporte
- O BSIMM conta com uma comunidade forte e um amplo volume de dados empíricos, o que gera ótimas oportunidades de comparação.
- O SAMM, embora apoiado por uma comunidade, depende mais da contribuição e da adaptação de cada organização, com resultados que variam conforme o comprometimento e a experiência da equipe responsável.
Qual estrutura atende melhor às suas necessidades? Assista a O que é BSIMM e como ele se compara ao SAMM e descubra.
Como escolher entre BSIMM e SAMM
O BSIMM, com seu método prescritivo e baseado em medição, atende organizações que buscam parâmetros detalhados em relação a empresas semelhantes. Isso é valiosíssimo se a meta é construir um programa de segurança alinhado às melhores práticas de setores parecidos.
Já o SAMM oferece um modelo flexível e voltado à melhoria contínua. Essa abordagem combina mais com empresas que precisam de diretrizes adaptáveis, capazes de evoluir junto com o cenário de segurança. O SAMM funciona especialmente bem quando o foco é integrar a segurança aos processos de desenvolvimento de software sem excesso de prescrições.
Também vale considerar a maturidade das práticas de segurança que você já tem. O BSIMM é ideal se já existem medidas de segurança em funcionamento e a ideia é refiná-las. Se você está criando estruturas de segurança do zero, o SAMM pode oferecer um Roadmap estruturado e, ao mesmo tempo, personalizável.
