OWASP SAMM Assessment

Die Überarbeitung der Norm ISO/IEC 27001 vom Oktober 2022 brachte vereinfachte Themenbereiche, praxisnähere Formulierungen und neue Kontrollen, darunter eine eigene Kontrolle für Secure Coding. Diese Aktualisierung unterstreicht, wie gut sich ISO 27001 und OWASP SAMM ergänzen, insbesondere bei der Verbesserung der Softwaresicherheit. Während ISO 27001 einen breiten Rahmen für ein Informationssicherheits-Managementsystem (ISMS) vorgibt, bietet SAMM detaillierte Anleitung für sichere Softwareentwicklung. Die gemeinsame Umsetzung beider Standards maximiert ihre Wirksamkeit: ISO 27001 sichert die organisatorische Verankerung und das Risikomanagement, SAMM liefert umsetzbare Empfehlungen für sichere Entwicklung. Diese Kombination hilft Organisationen, ihre Sicherheitslage zu verbessern und Audit-Anforderungen wirksamer zu erfüllen.

Um den richtigen Scope für ein SAMM Assessment zu bestimmen, beginnen Sie klein: Klären Sie Ihre Ziele und binden Sie alle relevanten Stakeholder ein, damit das Assessment zur Sicherheitsstrategie Ihrer Organisation passt. Berücksichtigen Sie den konkreten Geschäftskontext, einschließlich Kundentyp, Standort und regulatorischer Pflichten. Passen Sie den Scope an Ihre Anforderungen und Ressourcen an und starten Sie bei einem ersten Assessment mit einem einzelnen Team. Achten Sie auf einheitliche Praktiken und Führungsstile innerhalb des gewählten Scopes und dokumentieren Sie den Kontext für die Wiederholbarkeit. So schaffen Sie eine solide Grundlage für künftiges Wachstum und umfassendere Assessments.

Das OWASP Software Assurance Maturity Model (SAMM) verfügt über Mappings zu OpenCRE, NIST SSDF, BSIMM und weiteren Standards und Leitfäden. OpenCRE (Open Common Requirement Enumeration) bietet einen gemeinsamen Rahmen zum Vergleich verschiedener Sicherheitsstandards. Über die Verknüpfung der SAMM-Streams mit OpenCRE finden Nutzer leicht relevante Ressourcen und sehen, wie SAMM zu Standards wie NIST SSDF, ISO27K, PCI DSS, OWASP ASVS und NIST 800-53 passt. So verweist beispielsweise der Threat-Assessment-Stream in SAMM auf die CRE für Threat-Modeling-Prozesse, die wiederum auf mehrere Standards abbildet, darunter NIST SSDF PW1.1 und ISO27K A.14.2.5. Diese Integration hilft, sich in der komplexen Landschaft der Sicherheitsstandards deutlich leichter zurechtzufinden.

Umfassendes Mapping: OWASP SAMM bietet ein detailliertes Mapping auf das NIST SSDF und hilft Organisationen, die Beziehung zwischen SAMM-Streams und SSDF-Aufgaben zu verstehen.

Vereinfachte Umsetzung: SAMM ist darauf ausgelegt, die Lernkurve abzuflachen, und erleichtert Organisationen den Einstieg in die Umsetzung der SSDF-Vorgaben.

Abdeckung und Compliance: Die Umsetzung von OWASP SAMM deckt alle NIST-SSDF-Aufgaben ab und stellt so eine umfassende Erfüllung der Sicherheitsanforderungen sicher.

Informative Referenzen: Das Mapping nutzt Informative References, um die Beziehungen zwischen SAMM-Aktivitäten und SSDF-Aufgaben aufzuzeigen, was Verständnis und Umsetzung erleichtert.

Zweck:
BSIMM: Deskriptives Modell zur Beobachtung und Dokumentation von Softwaresicherheitsaktivitäten in Organisationen.
SAMM: Präskriptives Modell, das Organisationen beim Aufbau und der Verbesserung ihrer Softwaresicherheitspraktiken unterstützt.

Flexibilität:
BSIMM: Bietet ein gemeinsames Vokabular zum Vergleich verschiedener Sicherheitsinitiativen, ohne konkrete Maßnahmen vorzugeben.
SAMM: Erlaubt die Anpassung an unterschiedliche Organisationsgrößen und Entwicklungsstile, mit definierten Reifegradstufen.

Reifegradstufen:
BSIMM: Aktivitäten werden nach Beobachtungshäufigkeit kategorisiert, nicht nach Tiefe oder Breite.
SAMM: Definiert drei Reifegradstufen je Sicherheitspraktik, vom ersten Verständnis bis zur umfassenden Beherrschung.

Einsatz:
BSIMM: Am besten geeignet für Benchmarking und das Verständnis branchenüblicher Praktiken.
SAMM: Unterstützt Organisationen dabei, ihre Sicherheitsprogramme iterativ zu analysieren, aufzubauen und zu messen.