Parlerò un po ‘ di quando
DevOps incontra la sicurezza quindi per coloro che
non mi hai mai visto prima
Sono Paul di Michael Brunton, per favore
ricorda di valutare il discorso che mi dà
il feedback ho intenzione di mettere in guardia voi ora
tendono a parlare abbastanza velocemente, mi scuso
fai avanzare chiunque mi abbia visto prima
saprò quanto velocemente di solito parlo e
quelli che mi hanno visto prima e no
mi riconosco abbastanza, mi sono tagliato i capelli
ho i capelli lunghi per gli ultimi dieci
anni e questo è un nuovo look per me così
Sono qui dal governo e lo sono
detto che questo è probabilmente il secondo
dichiarazione più terrificante al mondo
Vengo dal governo Sono qui per aiutare
l’unica cosa che è più terrificante
di questa affermazione è questa che è
Vengo dalla sicurezza e sono qui per aiutare
Non vengo dalla sicurezza, lavoro per il
servizio digitale del governo quanti di
hai sentito parlare di GDS o del governo
servizio digitale Sono molto soddisfatto
questo è più di metà di te
quelli che non hai il governo
il servizio digitale è stato istituito come parte di
l’ ufficio del governo significa che tipo di
lavoro per la regina in un certo strano
modo che io non possa dire quale sia la sua opinione
è sulla InfoSec o cose del genere cos
lei non me lo dice ma posso uscire
e rappresentano l’ufficio del governo in giro
governo il governo digitale
il servizio stesso è stato creato per provare e
prendere i sistemi informatici del governo che io
che molte persone inglesi si riferirebbero a
come schifo il più delle volte questo è ciò che è nostro
ha detto il ministro quando lo ha impostato come noi
avere alcuni dei peggiori IT del mondo
sistemi che il GDS è stato creato per provare e
portare persone intelligenti da tutto il mondo
servizio civile e commerciale
organizzazioni per aiutare a costruire governo
sistemi che erano più semplici e più chiari
più velocemente abbiamo iniziato questo costruendo gov
Regno Unito che è il front-end del
governo è come la gente ottenere l’accesso a
domanda per la patente di guida richiesta di
i benefici scoprono che sai se
sono dovuti alla maternità paga scoprire come
valutare un andare in tribunale, se lo desiderano
prendi un tribunale per le controversie e prendine un po ‘
soldi indietro tutto quel tipo di cose uno
delle cose che è abbastanza comune
attraverso il governo è il governo fa a
un sacco di cose molto diverse ma
la maggior parte delle persone che devono impegnarsi con
il governo non lo fa volontariamente
non farlo nel momento in cui lo desiderano
e spesso non fanno qualcosa
è molto divertente se vuoi visitare
una persona cara che sta andando in prigione
attraverso quel processo di governo
questo processo ti rende difficile la vita
ed è già un momento abbastanza difficile per
tu l’altra cosa è quel governo
ha una certa tradizione con sicurezza così
quando porti dentro un gruppo di ero solito
dire hippy dai capelli lunghi che è divertente
quando avevo i capelli lunghi quando leggi un
un gruppo di hippy dai capelli lunghi che lo sono
sta per venire a fare questa cosa DevOps
e inizia a costruire sistemi che iterano
veloce che costruisce velocemente le persone di sicurezza
tipo di punto in risate e gov UK
è riuscito a correre anelli intorno ad alcuni di loro
arrivando abbastanza presto e dicendo
costruiremo questo sito e
stiamo andando a costruire nel prossimo
otto mesi e in pratica hanno detto
sì, torneremo tra circa un anno
tempo in cui hai finito di sapere
traccia la tua architettura e
ti daremo qualche consiglio a quel punto
in circa quattro mesi abbiamo avuto
qualcosa dal vivo e sul web e noi
stavano iterando su di esso continuamente all’interno
otto mesi siamo stati in grado di lanciare
AlphaDog di e e mostrarlo e alcuni di
quelle persone non hanno avuto la possibilità di farlo
interagire abbastanza velocemente perché potremmo
muoversi più velocemente della loro inerzia
permettere loro di interferire con ciò che noi
stavano facendo e quello era davvero
davvero importante ma significa che noi
perso su certe cose
abbiamo molto divorziato da noi
comunità della sicurezza in un governo in
molti modi perché molti di loro non l’hanno fatto
vogliono impegnarsi con noi hanno pensato che
eravamo pazzi di questa roba che stavamo parlando
circa noi distribuiamo sei volte al giorno il
Sono stato lavorato nei dipartimenti dove
si schierano due volte l’ anno e pensano
è veloce
sono abbastanza contenti del fatto loro
distribuire due volte l’anno, non una volta all’anno
perché è quello che hanno usato per la distribuzione
una volta all’anno possono farlo due volte a
anno che distribuiamo sei volte al giorno loro
c’è così oltre la loro comprensione
che fa una grande differenza quindi uno di
le cose che sto per mostrarti è questo
quando iniziamo ad impegnarci nella sicurezza
team questo è quello che abbiamo trovato lo stato di
sicurezza delle informazioni nel 2015 che cos’è
quella gente di sicurezza inizia a parlare
e tutto torna indietro intorno
1999 Standard britannico 77 99 era un
standard istituito anche dal governo del Regno Unito
ha avuto tutte le persone della sicurezza che
stanno lavorando attraverso la sicurezza delle informazioni
e ha detto se prendiamo tutto ciò che tu
lo fanno tutti e lo standardizziamo allora
tutti faranno davvero la sicurezza
bene e quello che è successo è stato il resto di
il tipo di mondo guardato ci è voluto
preavviso e lo hanno trasformato in
standard internazionale 27001 che è
lo standard di sicurezza che le persone tendono
essere colpito in testa con esso è un
libro molto molto spesso di circa un milione
diff
pratiche di sicurezza che tu sei tu
dovrebbe fare per ogni sicurezza delle informazioni
sistema e la maggior parte della gente lo tratta come un
lista di controllo include parole speciali come
approvazione per operare per effettivamente
eseguire il servizio che si deve arrivare
approvazione da qualche parte devi ottenere
accreditamento per i servizi che desideri
eseguire quella è la prova che quello che hai detto
stavi per costruire e cosa tu
costruito è in realtà la stessa cosa e il
team di sicurezza quando hanno esaminato il tuo
i disegni originali ora possono vedere di cosa si tratta
in un mondo in cui cambiamo il nostro sistema
sei volte al giorno l’accreditamento diventa un
concetto molto difficile per noi per andare a ma
Immagino che molti di voi non abbiano mai
doveva passare attraverso un accreditamento
processo è quello giusto qui chiunque abbia
per accreditare il software su un normale
base coppia tecnologia finanziaria VMware
le persone lavorano con quel tipo di governo
roba che vorrei immaginare un bel po ‘di voi
ho visto la certificazione in vari modi
punti e in particolare un tipo di
certificazione che arriva tempo e
ancora una volta in sicurezza delle informazioni e
nel software PCI che qui deve andare
attraverso un processo di conformità PCI che
ho apprezzato quel processo tieni la mano
nessuno mai
nessuno gode mai di quel processo ciò che è
questo perché perché alla gente non piace quello
elaborare il modello tradizionale sembra a
un po ‘ come questo, mi viene in mente un
idea di portarlo al team di sicurezza o
il team di certificazione che può correre un rischio
analisi di esattamente quale sarà la mia idea
sarà che è un cancello che non sono autorizzato a
progredire ulteriormente fino alla sicurezza
la squadra ha dato il loro okay, quindi andiamo a
fase di progettazione
qualcuno progetterà il sistema e noi
avere una recensione di design è la mia architettura
accettabile lo costruirò sul
il giusto tipo di strumenti sono i fornitori
accettabile di nuovo un altro cancello che siamo
poi andrò in una fase di programmazione persone
lo codificherà se c’è un cambiamento in
requisiti che probabilmente dovremo tornare indietro
un passo in cui facciamo il design torniamo indietro
attraverso di essa che andremo a codificarlo siamo
andando a correre nei test dopo che abbiamo avuto
una revisione del codice passiamo attraverso il
la penetrazione meravigliosa mette alla prova quelli
porte di grande valore che otteniamo
prima di un carico da mettere in produzione e
poi una volta che l’abbiamo fatto, come facciamo?
con i cambiamenti nel governo facciamo ciò che
cambia con ITIL tutti amano ITIL
La mia parte preferita è che ho deciso
Voglio dare la priorità a un cambiamento che dovremmo fare
qui ho fatto una valutazione del cambiamento
che la valutazione del cambiamento è valutata da a
cambiare scheda di valutazione quindi devo
aspetta il consiglio per me in alcuni
organizzazioni governative che il consiglio di amministrazione può
incontrare mensile che è abbastanza utile
quindi se me lo sono perso per un giorno devo
aspetta 28 giorni
per il comitato consultivo sul cambiamento entra in gioco
una volta che il comitato consultivo sul cambiamento ha affermato
sì, questo è un cambiamento sensato che dobbiamo
vai a cambiare programmazione e costruzione
autorizzazione che devo ottenere
autorizzazione a programmare il mio cambiamento se io
ottenere l’autorizzazione per pianificare la modifica
Devo davvero ottenere
autorizzazione per implementare la modifica
questo è impostato per spulciare il cambiamento e
poi finalmente devo postare l’attrezzo
e chiudi il cambiamento prima di fare il
implementazione effettiva nel prodotto in
produzione quando andiamo a incontrare il governo
dipartimenti e diciamo che distribuiamo sei volte
una giornata che pensano che facciamo che sei
volte al giorno e lascia che ti faccia entrare in un
piccolo segreto non lo facciamo davvero
sesta volta oggi
ma facciamo un po ‘ perché si scopre a
cambiare in mare è un cambiamento
la scheda di autorizzazione è in realtà molto
simile alla richiesta pull di github qualcuno
nel team ha guardato a quel cambiamento
e ha detto sì che è appropriato il
processo di pianificazione in realtà quando ho chiesto
il team operativo può premere il
schiera il bottone e dicono che aspetta, aspetta
non siamo nel bel mezzo di un incidente
premilo ancora è in realtà lo stesso
elaborare questi principi che tipo ITIL
di venire con loro non sono in realtà
che male è solo che non ho ancora visto
un’implementazione di loro che non lo fa
mi fa venire voglia di pugnalarmi in faccia
è così raro che trovi questo e quando
andiamo ai dipartimenti governativi che facciamo
Trova onestamente queste situazioni
i dipartimenti governativi hanno parlato di
prima dove si distribuiscono due volte l’anno
si scopre che distribuiscono sei volte a
anno per una serie di motivi verrò
di nuovo a fare il dispiegamento lì se io
avere una distribuzione pianificata in marzo loro
avere un periodo di prova di tre mesi per
che il software non avrete cambiamenti
quel software per i tre mesi precedenti
allo schieramento a marzo quindi è il
software che è stato scritto da dicembre quindi
per i sei mesi precedenti a dicembre sono
la scrittura del codice, ma io non sono autorizzato a
cambia il disegno prima di quello sei
mesi quindi devo tornare in giro
circa giugno dell’anno prima del quale è il
punto limite per ottenere il mio cambiamento in
il prossimo marzo quindi se voglio cambiare
qualcosa in produzione devo sapere
alcuni nella regione di 15 mesi in
anticipare ciò in cui voglio cambiare
produzione quando abbiamo fatto un lavoro molto veloce
analisi di quel processo di come fanno
quel processo che abbiamo scoperto era
circa il 95 percento dei cambiamenti nel
la precedente versione non lo ha seguito
processo sono stati sponsorizzati attraverso di esso
da un dirigente che ha detto che va bene
puoi passare e puoi entrare dentro
il processo del lago perché non funziona
e sapevano che non funzionava e molto
di loro hanno cercato di incolpare la sicurezza per questo
agile cambia tutto quando usciamo
e dire che dovresti fare dovresti
seguire una metodologia agile il
metodologia agile se è possibile
dovrebbe avere la A maiuscola ma quando lo diciamo
le persone dovrebbero fare tutto
stiamo dicendo loro che faccio solo ciò che è
necessario in questo momento in un mondo in cui tu
devono pianificare le modifiche in 15 mesi
avanzare
questo è piuttosto un concetto strano che siamo
dicendo di rilasciarlo, rilasciarlo davvero
presto tiralo fuori di fronte alle persone
stiamo dicendo di fare un prodotto minimo vitale
iterare su quel processo e stiamo dicendo
concentrarsi sulla focalizzazione del flusso sul focus del tempo del ciclo
non su quante cose ho avuto
produzione con quella versione ma attenzione
a muoversi molto molto piccoli cambiamenti
attraverso il sistema il più velocemente possibile
e ottenere il tempo di ciclo da un capo all’altro I
incontrato un dipartimento governativo a settimana
fa chi mi ha detto che stanno facendo agile e
Ero tipo oh, è davvero bello
cosa stai facendo in giro saremo
Sto lavorando in due settimane di Sprint
fantastico cosa mi piace che cosa hai rilasciato
questa settimana che non abbiamo rilasciato
qualsiasi cosa come te non ha rilasciato
tutto ciò che stai facendo nella tua
gli spiriti sono come oh siamo nei sei
un sesto uno degli sprint di progettazione in
dopo due mesi siamo passati dal design
sprint nello sprint di implementazione
quindi abbiamo nove mesi di quelli carini
e poi abbiamo un rilascio e ho dovuto
rompere con loro piuttosto delicatamente che questo era
non quello che molti di noi chiamerebbero agili ma
hanno spiegato di avere stand-up giornalieri
fanno le iterazioni di due settimane che hanno
le carte delle storie che hanno post- it devono
fare agile e Dan ha detto prima di lui
Stavo parlando di te che conosci il mondo
di quei vecchi processi di progettazione è come
la tua generazione di genitori di IT vivo
che ogni giorno in molti modi non lo è
andato è appena spostato nel governo
che è qualcosa che mi terrorizza
perché il governo sta costruendo questi
sistemi sta costruendo un sistema
gestisce i tuoi prestiti agli studenti
sta pagando i benefici ogni giorno che è
gestendo le dichiarazioni dei redditi che sta assicurando
che sei legalmente autorizzato a guidare a
la macchina e quei sistemi sono difficili da cambiare
e non dovrebbe essere il caso che lo sappiamo
le vite di quella gente cambiano che vogliamo
per cambiare il modo in cui il governo interagisce
con le persone e questa è una cosa reale
cosa così è diventata tutta una sicurezza
incubo dal punto di vista della sicurezza
cosa facciamo come risolviamo questo io?
pensa che sia un nuovo mondo coraggioso
ed è qualcosa che vado in giro a parlare
alle squadre di sicurezza sulla sicurezza deve
sia di abilitazione non può più pensare
stesso come il dipartimento che dice di no
non può più essere la persona che ti dice
devo ottenere l’ approvazione da parte mia per
tutto ciò che fai devono essere
un’organizzazione come Shannon ha detto che
sono strumenti di costruzione che stanno costruendo
sistemi e modi per abilitare il
l’organizzazione è il team di sviluppo e
i team di prodotto effettivamente fanno cosa
vogliono fare e farlo in un bene
modo sicuro abbiamo fatto una revisione di agile
siamo andati a progetti attraverso il governo
attraverso un intero gruppo di progetti agili
e abbiamo fatto qualche recensione come stai
sicurezza all’interno del tuo progetto agile
perché è un argomento difficile e lì
non eravamo molti esperti a riguardo, così noi
volevo sapere che sappiamo che ci sono un grande
numero di progetti là fuori che sono
facendo agile che sono all’interno del governo
all’interno di questo ambiente accreditato come
stai interagendo con loro il
la più grande scoperta costante che abbiamo trovato
non c’era assolutamente alcuna coerenza in
come lo stanno facendo ogni singolo
progetto aveva un approccio diverso per
farlo e questo non è necessariamente un
cosa negativa perché è nuova e ogni
uno di quei progetti stava provando
cose diverse e ci stiamo connettendo
i progetti insieme ci stanno permettendo
loro provano tutte le cose diverse provano
ipotesi su come la sicurezza dovrebbe funzionare
alcuni progetti che stiamo facendo agilmente
sistema non rilasciando e facendo il sign-off
ogni tre mesi o facendo qualche processo
altri abbiamo un progetto in cui il
progetto è stato letteralmente firmato per andare
in produzione in una chat nel pub di
la sera con uno degli anziani
dirigenti hanno preso l’esecutivo per
al pub gli hanno dato delle birre e
sono andati dal modo in cui possiamo che mettere in
produzione ha detto sì e si scopre
quando abbiamo scavato in quello perché quello
mi preoccupava un po ‘abbiamo scavato dentro
e abbiamo scoperto che il sistema stesso era
era un sistema front-end che avrebbe permesso
per inserire alcune informazioni e
produrrebbe una e-mail sul retro
è andato a un servizio esistente gestito
le queste prenotazioni che significavano lì
non c’erano implicazioni di sicurezza per questo
perché ha creato esattamente la stessa cosa
sistema come potresti interagire se tu
appena inviato via email la gestione del caso
squadra in ogni caso e la persona che hanno preso
il pub hanno spiegato questo – hanno detto
non pensiamo questo ho fino ad alcun rischio di
il pronto soccorso al prodotto possiamo metterlo in diretta
e la persona è andata sì, certo che puoi
il motivo per cui si avrebbe bisogno di chiedere e
ha spiegato che gli è stato detto dal
dipartimento di sicurezza che il loro sistema
ha dovuto essere testato con piena penetrazione mostrato
ogni implementazione di sicurezza tutti quelli
dettagli per andare a vivere che non lo è
sensato quindi la maggior parte delle squadre non lo sa
come fare questo e stiamo cercando di sentire
a modo nostro
quindi cosa facciamo abbiamo deciso di iniziare
parlare alla gente e realizzare il
liste di controllo e regole non funzionano per
è così che è arrivato il governo del Regno Unito
in questo pasticcio, ma quello che funziona è
principi che cosa dice il lavoro
la gente fa buone pratiche in questo modo
possono iniziare a lavorare cose e cose
tenere a mente quindi abbiamo pubblicato false
principi c’è un URL orrendo
lì che puoi andare a dare un’occhiata
Mi rifiuto di dire la parola C che è nel
al centro ma è tutto
gestione del rischio di informazione più di
sicurezza ma è davvero importante
la cosa fondamentale è che hanno guardato e detto
molto simile al manifesto agile loro
avere valori di abilitare il business
su governance e processo che è a
diciamo che governance e processo hanno un posto
ma non se non lo fa se ti impedisce
dall’abilitare l’azienda informata
le decisioni dovrebbero essere prese da competenti
persone che tipo di cose
ora sono scesi otto principi per accettare
incertezza che non arriverete mai
è giusto che non costruirai mai
il perfetto pezzo di software sicuro a
molte persone in sicurezza pensano che tu possa
ma non puoi farlo, le persone devono accettare
quell’incertezza accetta che un certo
punto che stai dicendo che ho fatto tutto
Penso di poter fare e noi andremo a fare
di più ma vediamo cosa possiamo fare
in secondo luogo, la sicurezza deve essere parte di
la squadra e con ciò non intendiamo
incorporato nella squadra, ma abbiamo bisogno di media
che le persone della sicurezza devono essere parte
della comprensione della squadra
missione che è quella di fornire valore loro
bisogno di capire che in alcuni casi noi
incorporare persone della sicurezza nella squadra in
altri casi abbiamo un team di sicurezza che
consigliare un numero di progetti e io sono
cercando di essere abilitati , ma la sicurezza ha
essere parte della squadra e qualcuno nel
la squadra deve essere in grado di dire che sto indossando
il cappello di sicurezza che sto facendo quelli che sono
avendo quei pensieri che sto avendo
conversazioni dalla sicurezza per essere sicuri
succede
i team delle organizzazioni devono capire
i rischi di nuovo sono andato a parlare con un
dipartimento del governo ho parlato con il
il team di sviluppo e io sono così
quali sono le versioni di OpenSSL in esecuzione
hai distrutto il cuore
team di sviluppo e le operazioni
le persone sedute lì non sappiamo cosa fare
vuoi dire che non conosci bene la versione
di OpenSSL che noi che corriamo in
produzione che è classificata e nessuna di
noi abbiamo il permesso di sapere
un bambino che conosci e stai ancora andando
perché è classificato il team di sicurezza
fatto un controllo di tutte le versioni che ho
mai vendere hanno trovato alcuni vulnerabili
versioni e sono preoccupati se loro
ci ha detto che potremmo sapere come sfruttarlo
così hanno classificato il ritrovamento così noi
non so che ero okay così vai
oscuralo perché l’hai fatto che non lo facciamo
le informazioni per uscire e tu hai
per spiegare gentilmente a loro sei consapevole
che gli aggressori conoscono le uniche persone
stai impedendo di sapere questo
le informazioni sono le brave persone ma
questo non è il modo in cui la mentalità della sicurezza
è venuto da molte di queste persone usate
lavorare nei militari a cui erano abituati
lavoro nella comunità di intelligence loro
usato per compartimentalizzare di
informazioni utilizzate per non condividere e
insegnando loro quelle squadre che sono abilitate
che sono informati e capaci di fare
quella roba è incredibilmente importante
qualcosa che dobbiamo fare dobbiamo
essere in grado di fidarsi del processo decisionale in
squadre che non ho mai incontrato uno sviluppatore o un
Operatore persona in una squadra agile che
solo volenti o nolenti prende decisioni e
Dice che sarà davvero divertente se io
downgrade di OpenSSL per scoprire che abbiamo
a bordo , non lo fanno
in realtà
beh non me lo ammettono quando sono
intorno ma devi fidarti di
il processo decisionale là l’altra cosa è
la sicurezza fa parte di tutto ciò che puoi
penso che la sicurezza riguardi il firewall ma
non si tratta del design del tuo
L’intero servizio riguarda tutto
che tu fai l’altro è quell’utente
l’esperienza è davvero importante così
la sicurezza è davvero molto importante
sicurezza che degrada l’utente
esperienza abbiamo ricerche ora
dimostra che se fai mettere le persone davvero
password complesse e password
regole in cui scrivono le password
luoghi insicuri come Google Documenti o simili
su post-it o post-it non sono come
effettivamente insicuro come il loro inserimento
linea da qualche parte il numero di persone che
in realtà li memorizza in una bozza di e-mail o
inseriscili in un documento Google condiviso
con l’ intera organizzazione con il loro
lunga e complessa password ed è così
alcuni di questi ha funzionato è fatto dalle persone
quello e quello è perché la sicurezza
il team ha detto di migliorare la sicurezza che aggiungeremo
queste regole complesse l’esperienza dell’utente
questioni se si vuole un sistema sicuro che
deve essere più facile da usare in modo sicuro
modo che è da usare in modo insicuro
i team di gestione dovrebbero essere in grado di controllare
le loro decisioni Questo è davvero facile
uno per una buona squadra di sviluppo agile voi
può guardare il registro di commit Git e trovare
fuori chi ha fatto cosa e quando quando il
le fusioni sono state fatte chi ha fatto l’unione e
chi l’ha firmato e quali sono andati
in riduzione abbiamo tutta questa roba
e in realtà quando mostriamo cosa facciamo
in squadre agili a persone di sicurezza
sono spesso stupiti perché loro
vorrei che avessero quel livello di informazione
comprensione del loro tradizionale
sistemi che pensano di averlo ora con
il database di gestione del cambiamento ma loro
non mi piace il loro comitato consultivo sul cambiamento
registra ciò che è successo ma risulta
non essere mai veramente accurato su cosa
è successo mentre ora prendiamo la storia e la nostra
il sistema di distribuzione automatico lo sa
questo e poi capire il quadro generale
di sicurezza d’impatto è più che solo il
servizio individuale che stai facendo se io
il mio servizio visualizza le prime sei cifre
della tua carta di credito come un modulo
verifica ma uno dei tuoi servizi
visualizza le ultime sei cifre insieme
i nostri servizi probabilmente ti danno abbastanza
informazioni per ottenere il credito di qualcuno
la carta non è una buona cosa, ecco perché
PCI dice che dovresti sempre solo renderizzare il tokenize
fino agli ultimi quattro, quindi siamo
coerente su ciò che lo capisce
conta davvero cosa vuol dire
ci sono un sacco di pratiche che abbiamo
stiamo facendo stiamo lavorando con diversi
progetti che cercano di aiutarli a fare un po ‘di
questo abbiamo provato un sacco di cose diverse
cose queste sono le cose che sono
lavorando così lontano, immagina di essere
iniziando con il nuovo progetto il primo
cosa da fare scegliere un modello di sicurezza che
è appropriato al tuo progetto in realtà
conta che se stai costruendo il nucleare
sistemi di controllo
probabilmente non usi una cosa agile
dove pubblichi conosci ogni coppia
di ore senza alcun controllo di sorta
non è un modello di sicurezza appropriato
d’altra parte se quello che sto costruendo
è informazioni pubbliche su cosa
potrebbe essere la prossima vacanza in banca
probabilmente non ha bisogno del livello di
controllare che il sistema di controllo nucleare
ha lì ci sono scale lì così
scegliere un modello che non è appropriato
solo con uno che è, volenti o nolenti, quando
si avvia il progetto una delle chiavi
cose che mancano a molte persone
condividendo con la squadra
quali sono le minacce che minaccia il modello
cosa sta avendo qualcosa nel tuo github
repository qualcosa che dice al team
che mi importa chi è probabile che
attaccare il sistema sarà
addetti ai lavori cosa posso tirarne fuori un po ‘
i sistemi governativi ti permettono di ottenere
soldi fuori sappiamo che le bande criminali
e persone a cui piacciono i sistemi Deford
indirizzare quelli in particolare così noi
sapere che tipo di cose potrebbero fare
possiamo capire i fatti lì altri
i sistemi non hanno quella minaccia che abbiamo
stato in grado di fare alcune cose in
governo possiamo standardizzare alcuni di
così abbiamo un modello di minaccia standard
quello dice che la maggior parte dei servizi governativi sono
sempre di interesse per le persone che vogliono
ottenere che tu conosci l’hacker generale
comunità che vogliono solo farlo per il
divertente lì
lei vuole darci noi vogliono essere
in grado di comprometterlo per mettere
alcuni HTML non stanno cercando nulla
altrimenti questo è un effetto standard per noi
ci sono altri effetti standard che noi
Conoscere bande criminali organizzate e
certe cose su cui lavorano
sistemi di governo in modo che possiamo dire ai più
i servizi qui sono una minaccia abbastanza standard
il modello ora lo personalizza ora prendi ciò che
conosci il tuo servizio e la tua visione
e dire oh sì che posso pensare che
e dillo a tutta la squadra perché a
sviluppatore che prende una decisione dovrei
scrivi questo codice se dovessi prenderne altri dieci
minuti su questo codice è importante se
capiscono che cosa le minacce sono per
il servizio educare quelli
i decisori politici per i rischi che sono
prendendo puoi tirarne fuori dieci milioni
Sterlina un miliardo di sterline cinquecento
sterline dal servizio senza alcun
altri controlli quali sono i rischi che
stai prendendo e assicurati di esserlo
prendere le decisioni appropriate e poi
quelle decisioni sul rischio devono essere prese in
la squadra dal team il proprietario del prodotto
chiunque tu sia , qualunque cosa tu stia facendo
con la tua caduta di scrum d’acqua o
Kanban o qualcosa di impronunciabile
Welsh non importa ciò che è agile
la metodologia scusa chiunque sia un uomo
non importa quale metodologia
stai usando qualcuno nella squadra dovrebbe
fare quelle decisioni di rischio qualcuno
nella squadra dovrebbe essere comprensivo
ogni storia che gioco probabilmente aggiunge rischi
il sistema o attenua il rischio nel
sistema e poi pensi cosa faccio
a riguardo quando ho quella carta e basta
dice che voglio conservare i dettagli bancari e
quello aggiunge un sacco di rischi che quello di qualcuno
andando a venire e cercare di ottenere quelli
dettagli bancari cosa devo fare per questo e
iniziamo a tornare a questa ISO 27001
tipo di linguaggio questo è dove sicurezza
la gente capisce un po ‘di questo lavoro
parlare di ciò che facciamo riguardo ai rischi siamo noi
evitare i rischi, quindi possiamo dire non giochiamo
la storia non è così importante
in realtà memorizzare i dettagli delle persone
non è così importante che potremmo trasferire
il rischio potremmo dire perché dovremmo archiviare
i dettagli bancari della gente compriamo solo
striscia o PayPal o qualche altra persona
chi può conservarlo per noi e loro possono possederlo
il rischio di mantenere quel database noi
può semplicemente andare facile per noi abbiamo un’API
possiamo dire che sì, tu vuoi accettare
quel rischio pensiamo di poterlo fare
assolutamente bene
e infatti non siamo preoccupati che lo faremo
gioca la storia com’è o possiamo dire forse
attenuiamo il rischio in qualche modo forse
facciamo alcune azioni alle quali aggiungiamo ulteriore lavoro
quella storia per crittografare il database in
memorizzare solo le informazioni tokenizzate a
separalo e la cosa che noi
vedere un bel po ‘è chi sceglie è
persone che scelgono di accettare temporaneamente
il vero
la gente dice che accetterò il rischio
per ora perché non penso che sia di nessuno
andando a trovarlo nel prossimo mese ma
aggiungeremo tre storie all’arretrato
per le prossime due iterazioni che lo faranno
aggiungi controlli extra mentre passano e
questo è davvero importante
decisione di essere in grado di fare molto
persone che fanno sicurezza in tradizionale
mondi non possono farlo a tutti che è un
impossibile trasferirmi da qualcuno di loro se lo avessi
devo lasciarlo lì per un anno e a
metà conosco le persone che conosci
molte persone li trovano e li scoprono
le cose più velocemente di così
ma non possono muoversi più velocemente di una settimana
o due ed è qui che importa come
molto conosco le mie minacce
quanto velocemente queste persone si muovono quanto
informazioni telogen in modo che facciano che tipo
di raccolta stanno facendo sul mio sistema
quanto è alto il mio sistema è dal vivo
o la gente a parlarne
quali controlli di ordinamento possiamo usare
la sicurezza delle informazioni le persone parlano di a
insieme di essi. In genere li dividiamo
in due contromisure cose attivi
che scoraggia le persone che rilevano
cosa stanno facendo e cose simili
impedire loro di farlo firewall
avvisare i sistemi roba del genere e
questi avvertimenti come piccole avvertenze che è
entrare in una shell quando si accede e si
dice che hai appena effettuato l’accesso a
il sistema governativo e la CIA stanno andando
per inseguire coloro che effettivamente lavorano
abbastanza bene in molti casi reattivo
contromisure che correggono
rispondere o recuperare da un’intrusione
cose che dicono che sono stato rilevato
perché so cosa sta succedendo su
la macchina mi limiterò a masterizzare la macchina
e iniziare una nuova perché è così
questo è un meccanismo di recupero che possiamo avere
quelle persone di sicurezza tradizionali
capire questo è tutto roba loro
dovrebbe essere in grado di sentire che devi fare
ma ce ne sono molti di più
non questi sono quelli secondo me sono
davvero chiave che ne sentirete ancora
più tardi anti personas quelli che stai facendo
agile che fa personas per il tuo agile
proietta le mani se lo fai così
sai chi sono i tuoi utenti normali chi
le persone ti attaccheranno
abbiamo personaggi per i truffatori che dicono
cose come quanti soldi sono loro
disposti a spendere quanto tempo sono loro
disposto a spendere dove stanno andando
vai anti-persona aiutaci a solidificare
alcune cose intorno a storie intorno al
tipo di abuso le persone potrebbero fare così possiamo
scrivi in modo improprio per abusare di casi come anti
usare i casi come un criminale per da voglio
cambia i dettagli bancari di qualcuno così ottengo
pagato l’importo piuttosto che loro
quei casi di abuso sono davvero preziosi
per spiegare al business cosa
potrebbe succedere ma anche tu puoi iniziare
pensando a cose interessanti tu
può fare con loro una volta che hai iniziato
elaborando quello che sono lo sviluppo
le squadre tendono a individuare questi eventi
Non mi piace farlo a mano ogni
tempo ho una sorta di set di strumenti nel mio
tasca posteriore che posso iniziare a usare
attaccare alberi o un altro che voglio
usare finisco abbastanza rapidamente
ma sono nelle diapositive è un modo di
dicendo come qualcuno potrebbe attaccare il
sistema inizi a identificare quali cose
abilita ogni livello e poi puoi
scegli qualcosa di molto in alto e dì
se ci lamentiamo o facciamo questo il
opzione meno attraente che la gente non gradirà
Io categorizzo tutto ciò che mi consente
dare la priorità alle decisioni di sicurezza in rosso
collaborando hai sentito un po ‘su questo come
squadra ben agile dovrebbe essere squadra rossa
dovresti fare dei giorni di gioco che dovresti
fare tutte quelle cose
test di penetrazione automatizzato non c’è
la ragione ogni volta che mi impegno
codebase che non dovrei essere in grado di eseguire
una serie di test di penetrazione molto semplici
che confermano nello stesso modo in cui il mio unit test
fai che non abbia fatto qualcosa di stupido
perché so di essere stato uno sviluppatore per
10 12 anni conosco il tipo di codice I
scrivere con test automatici mi dà
la stampella per assicurarsi che non lo sia
facendo cose stupide ne ho abbastanza
questo per abbastanza tempo che scrivere un SQL
piano di iniezione è qualcosa che tu
mai fare di proposito ma quando lo sei
scrivendo quel codice finalmente quello che vuoi
entrare nell’ultimo Dorian per il
amministrazione quindi vai al pub
è quando tende a scivolare nell’avere
qualcosa che lo troverà e ti lascerà
sapere davvero aiuta e ognuno di quelli
sono cose che dovrebbero essere secondo me
automatizzati dovrebbero essere cose che tu
può continuamente automatizzare in modo tale che DevOps
velocità quando ottieni il tempo del tuo ciclo
stair going So che non ho rotto il
caso di abuso perché ancora non funziona
passare posso scrivere test automatici per
facendo ciò dovrebbero essere integrati a
la squadra quando rompe la squadra
capisce che cosa si è rotto e come farlo
e devono essere ripetibili nel
allo stesso modo in cui siamo cresciuti
Garanzia della qualità e come quella roba
lavora per assicurarci di averli
test ripetibili che tutti
capisce che la squadra può possederlo
ti permettono di dire come squadra siamo
stiamo costruendo un software più sicuro
facendo questo molto meglio è
praticamente tutto ciò che dirò
dovresti scoprire molto di più su come
per fare alcune delle cose più tardi grazie
molto
non dimenticare di valutare la sessione
tu
DevOps incontra la sicurezza quindi per coloro che
non mi hai mai visto prima
Sono Paul di Michael Brunton, per favore
ricorda di valutare il discorso che mi dà
il feedback ho intenzione di mettere in guardia voi ora
tendono a parlare abbastanza velocemente, mi scuso
fai avanzare chiunque mi abbia visto prima
saprò quanto velocemente di solito parlo e
quelli che mi hanno visto prima e no
mi riconosco abbastanza, mi sono tagliato i capelli
ho i capelli lunghi per gli ultimi dieci
anni e questo è un nuovo look per me così
Sono qui dal governo e lo sono
detto che questo è probabilmente il secondo
dichiarazione più terrificante al mondo
Vengo dal governo Sono qui per aiutare
l’unica cosa che è più terrificante
di questa affermazione è questa che è
Vengo dalla sicurezza e sono qui per aiutare
Non vengo dalla sicurezza, lavoro per il
servizio digitale del governo quanti di
hai sentito parlare di GDS o del governo
servizio digitale Sono molto soddisfatto
questo è più di metà di te
quelli che non hai il governo
il servizio digitale è stato istituito come parte di
l’ ufficio del governo significa che tipo di
lavoro per la regina in un certo strano
modo che io non possa dire quale sia la sua opinione
è sulla InfoSec o cose del genere cos
lei non me lo dice ma posso uscire
e rappresentano l’ufficio del governo in giro
governo il governo digitale
il servizio stesso è stato creato per provare e
prendere i sistemi informatici del governo che io
che molte persone inglesi si riferirebbero a
come schifo il più delle volte questo è ciò che è nostro
ha detto il ministro quando lo ha impostato come noi
avere alcuni dei peggiori IT del mondo
sistemi che il GDS è stato creato per provare e
portare persone intelligenti da tutto il mondo
servizio civile e commerciale
organizzazioni per aiutare a costruire governo
sistemi che erano più semplici e più chiari
più velocemente abbiamo iniziato questo costruendo gov
Regno Unito che è il front-end del
governo è come la gente ottenere l’accesso a
domanda per la patente di guida richiesta di
i benefici scoprono che sai se
sono dovuti alla maternità paga scoprire come
valutare un andare in tribunale, se lo desiderano
prendi un tribunale per le controversie e prendine un po ‘
soldi indietro tutto quel tipo di cose uno
delle cose che è abbastanza comune
attraverso il governo è il governo fa a
un sacco di cose molto diverse ma
la maggior parte delle persone che devono impegnarsi con
il governo non lo fa volontariamente
non farlo nel momento in cui lo desiderano
e spesso non fanno qualcosa
è molto divertente se vuoi visitare
una persona cara che sta andando in prigione
attraverso quel processo di governo
questo processo ti rende difficile la vita
ed è già un momento abbastanza difficile per
tu l’altra cosa è quel governo
ha una certa tradizione con sicurezza così
quando porti dentro un gruppo di ero solito
dire hippy dai capelli lunghi che è divertente
quando avevo i capelli lunghi quando leggi un
un gruppo di hippy dai capelli lunghi che lo sono
sta per venire a fare questa cosa DevOps
e inizia a costruire sistemi che iterano
veloce che costruisce velocemente le persone di sicurezza
tipo di punto in risate e gov UK
è riuscito a correre anelli intorno ad alcuni di loro
arrivando abbastanza presto e dicendo
costruiremo questo sito e
stiamo andando a costruire nel prossimo
otto mesi e in pratica hanno detto
sì, torneremo tra circa un anno
tempo in cui hai finito di sapere
traccia la tua architettura e
ti daremo qualche consiglio a quel punto
in circa quattro mesi abbiamo avuto
qualcosa dal vivo e sul web e noi
stavano iterando su di esso continuamente all’interno
otto mesi siamo stati in grado di lanciare
AlphaDog di e e mostrarlo e alcuni di
quelle persone non hanno avuto la possibilità di farlo
interagire abbastanza velocemente perché potremmo
muoversi più velocemente della loro inerzia
permettere loro di interferire con ciò che noi
stavano facendo e quello era davvero
davvero importante ma significa che noi
perso su certe cose
abbiamo molto divorziato da noi
comunità della sicurezza in un governo in
molti modi perché molti di loro non l’hanno fatto
vogliono impegnarsi con noi hanno pensato che
eravamo pazzi di questa roba che stavamo parlando
circa noi distribuiamo sei volte al giorno il
Sono stato lavorato nei dipartimenti dove
si schierano due volte l’ anno e pensano
è veloce
sono abbastanza contenti del fatto loro
distribuire due volte l’anno, non una volta all’anno
perché è quello che hanno usato per la distribuzione
una volta all’anno possono farlo due volte a
anno che distribuiamo sei volte al giorno loro
c’è così oltre la loro comprensione
che fa una grande differenza quindi uno di
le cose che sto per mostrarti è questo
quando iniziamo ad impegnarci nella sicurezza
team questo è quello che abbiamo trovato lo stato di
sicurezza delle informazioni nel 2015 che cos’è
quella gente di sicurezza inizia a parlare
e tutto torna indietro intorno
1999 Standard britannico 77 99 era un
standard istituito anche dal governo del Regno Unito
ha avuto tutte le persone della sicurezza che
stanno lavorando attraverso la sicurezza delle informazioni
e ha detto se prendiamo tutto ciò che tu
lo fanno tutti e lo standardizziamo allora
tutti faranno davvero la sicurezza
bene e quello che è successo è stato il resto di
il tipo di mondo guardato ci è voluto
preavviso e lo hanno trasformato in
standard internazionale 27001 che è
lo standard di sicurezza che le persone tendono
essere colpito in testa con esso è un
libro molto molto spesso di circa un milione
diff
pratiche di sicurezza che tu sei tu
dovrebbe fare per ogni sicurezza delle informazioni
sistema e la maggior parte della gente lo tratta come un
lista di controllo include parole speciali come
approvazione per operare per effettivamente
eseguire il servizio che si deve arrivare
approvazione da qualche parte devi ottenere
accreditamento per i servizi che desideri
eseguire quella è la prova che quello che hai detto
stavi per costruire e cosa tu
costruito è in realtà la stessa cosa e il
team di sicurezza quando hanno esaminato il tuo
i disegni originali ora possono vedere di cosa si tratta
in un mondo in cui cambiamo il nostro sistema
sei volte al giorno l’accreditamento diventa un
concetto molto difficile per noi per andare a ma
Immagino che molti di voi non abbiano mai
doveva passare attraverso un accreditamento
processo è quello giusto qui chiunque abbia
per accreditare il software su un normale
base coppia tecnologia finanziaria VMware
le persone lavorano con quel tipo di governo
roba che vorrei immaginare un bel po ‘di voi
ho visto la certificazione in vari modi
punti e in particolare un tipo di
certificazione che arriva tempo e
ancora una volta in sicurezza delle informazioni e
nel software PCI che qui deve andare
attraverso un processo di conformità PCI che
ho apprezzato quel processo tieni la mano
nessuno mai
nessuno gode mai di quel processo ciò che è
questo perché perché alla gente non piace quello
elaborare il modello tradizionale sembra a
un po ‘ come questo, mi viene in mente un
idea di portarlo al team di sicurezza o
il team di certificazione che può correre un rischio
analisi di esattamente quale sarà la mia idea
sarà che è un cancello che non sono autorizzato a
progredire ulteriormente fino alla sicurezza
la squadra ha dato il loro okay, quindi andiamo a
fase di progettazione
qualcuno progetterà il sistema e noi
avere una recensione di design è la mia architettura
accettabile lo costruirò sul
il giusto tipo di strumenti sono i fornitori
accettabile di nuovo un altro cancello che siamo
poi andrò in una fase di programmazione persone
lo codificherà se c’è un cambiamento in
requisiti che probabilmente dovremo tornare indietro
un passo in cui facciamo il design torniamo indietro
attraverso di essa che andremo a codificarlo siamo
andando a correre nei test dopo che abbiamo avuto
una revisione del codice passiamo attraverso il
la penetrazione meravigliosa mette alla prova quelli
porte di grande valore che otteniamo
prima di un carico da mettere in produzione e
poi una volta che l’abbiamo fatto, come facciamo?
con i cambiamenti nel governo facciamo ciò che
cambia con ITIL tutti amano ITIL
La mia parte preferita è che ho deciso
Voglio dare la priorità a un cambiamento che dovremmo fare
qui ho fatto una valutazione del cambiamento
che la valutazione del cambiamento è valutata da a
cambiare scheda di valutazione quindi devo
aspetta il consiglio per me in alcuni
organizzazioni governative che il consiglio di amministrazione può
incontrare mensile che è abbastanza utile
quindi se me lo sono perso per un giorno devo
aspetta 28 giorni
per il comitato consultivo sul cambiamento entra in gioco
una volta che il comitato consultivo sul cambiamento ha affermato
sì, questo è un cambiamento sensato che dobbiamo
vai a cambiare programmazione e costruzione
autorizzazione che devo ottenere
autorizzazione a programmare il mio cambiamento se io
ottenere l’autorizzazione per pianificare la modifica
Devo davvero ottenere
autorizzazione per implementare la modifica
questo è impostato per spulciare il cambiamento e
poi finalmente devo postare l’attrezzo
e chiudi il cambiamento prima di fare il
implementazione effettiva nel prodotto in
produzione quando andiamo a incontrare il governo
dipartimenti e diciamo che distribuiamo sei volte
una giornata che pensano che facciamo che sei
volte al giorno e lascia che ti faccia entrare in un
piccolo segreto non lo facciamo davvero
sesta volta oggi
ma facciamo un po ‘ perché si scopre a
cambiare in mare è un cambiamento
la scheda di autorizzazione è in realtà molto
simile alla richiesta pull di github qualcuno
nel team ha guardato a quel cambiamento
e ha detto sì che è appropriato il
processo di pianificazione in realtà quando ho chiesto
il team operativo può premere il
schiera il bottone e dicono che aspetta, aspetta
non siamo nel bel mezzo di un incidente
premilo ancora è in realtà lo stesso
elaborare questi principi che tipo ITIL
di venire con loro non sono in realtà
che male è solo che non ho ancora visto
un’implementazione di loro che non lo fa
mi fa venire voglia di pugnalarmi in faccia
è così raro che trovi questo e quando
andiamo ai dipartimenti governativi che facciamo
Trova onestamente queste situazioni
i dipartimenti governativi hanno parlato di
prima dove si distribuiscono due volte l’anno
si scopre che distribuiscono sei volte a
anno per una serie di motivi verrò
di nuovo a fare il dispiegamento lì se io
avere una distribuzione pianificata in marzo loro
avere un periodo di prova di tre mesi per
che il software non avrete cambiamenti
quel software per i tre mesi precedenti
allo schieramento a marzo quindi è il
software che è stato scritto da dicembre quindi
per i sei mesi precedenti a dicembre sono
la scrittura del codice, ma io non sono autorizzato a
cambia il disegno prima di quello sei
mesi quindi devo tornare in giro
circa giugno dell’anno prima del quale è il
punto limite per ottenere il mio cambiamento in
il prossimo marzo quindi se voglio cambiare
qualcosa in produzione devo sapere
alcuni nella regione di 15 mesi in
anticipare ciò in cui voglio cambiare
produzione quando abbiamo fatto un lavoro molto veloce
analisi di quel processo di come fanno
quel processo che abbiamo scoperto era
circa il 95 percento dei cambiamenti nel
la precedente versione non lo ha seguito
processo sono stati sponsorizzati attraverso di esso
da un dirigente che ha detto che va bene
puoi passare e puoi entrare dentro
il processo del lago perché non funziona
e sapevano che non funzionava e molto
di loro hanno cercato di incolpare la sicurezza per questo
agile cambia tutto quando usciamo
e dire che dovresti fare dovresti
seguire una metodologia agile il
metodologia agile se è possibile
dovrebbe avere la A maiuscola ma quando lo diciamo
le persone dovrebbero fare tutto
stiamo dicendo loro che faccio solo ciò che è
necessario in questo momento in un mondo in cui tu
devono pianificare le modifiche in 15 mesi
avanzare
questo è piuttosto un concetto strano che siamo
dicendo di rilasciarlo, rilasciarlo davvero
presto tiralo fuori di fronte alle persone
stiamo dicendo di fare un prodotto minimo vitale
iterare su quel processo e stiamo dicendo
concentrarsi sulla focalizzazione del flusso sul focus del tempo del ciclo
non su quante cose ho avuto
produzione con quella versione ma attenzione
a muoversi molto molto piccoli cambiamenti
attraverso il sistema il più velocemente possibile
e ottenere il tempo di ciclo da un capo all’altro I
incontrato un dipartimento governativo a settimana
fa chi mi ha detto che stanno facendo agile e
Ero tipo oh, è davvero bello
cosa stai facendo in giro saremo
Sto lavorando in due settimane di Sprint
fantastico cosa mi piace che cosa hai rilasciato
questa settimana che non abbiamo rilasciato
qualsiasi cosa come te non ha rilasciato
tutto ciò che stai facendo nella tua
gli spiriti sono come oh siamo nei sei
un sesto uno degli sprint di progettazione in
dopo due mesi siamo passati dal design
sprint nello sprint di implementazione
quindi abbiamo nove mesi di quelli carini
e poi abbiamo un rilascio e ho dovuto
rompere con loro piuttosto delicatamente che questo era
non quello che molti di noi chiamerebbero agili ma
hanno spiegato di avere stand-up giornalieri
fanno le iterazioni di due settimane che hanno
le carte delle storie che hanno post- it devono
fare agile e Dan ha detto prima di lui
Stavo parlando di te che conosci il mondo
di quei vecchi processi di progettazione è come
la tua generazione di genitori di IT vivo
che ogni giorno in molti modi non lo è
andato è appena spostato nel governo
che è qualcosa che mi terrorizza
perché il governo sta costruendo questi
sistemi sta costruendo un sistema
gestisce i tuoi prestiti agli studenti
sta pagando i benefici ogni giorno che è
gestendo le dichiarazioni dei redditi che sta assicurando
che sei legalmente autorizzato a guidare a
la macchina e quei sistemi sono difficili da cambiare
e non dovrebbe essere il caso che lo sappiamo
le vite di quella gente cambiano che vogliamo
per cambiare il modo in cui il governo interagisce
con le persone e questa è una cosa reale
cosa così è diventata tutta una sicurezza
incubo dal punto di vista della sicurezza
cosa facciamo come risolviamo questo io?
pensa che sia un nuovo mondo coraggioso
ed è qualcosa che vado in giro a parlare
alle squadre di sicurezza sulla sicurezza deve
sia di abilitazione non può più pensare
stesso come il dipartimento che dice di no
non può più essere la persona che ti dice
devo ottenere l’ approvazione da parte mia per
tutto ciò che fai devono essere
un’organizzazione come Shannon ha detto che
sono strumenti di costruzione che stanno costruendo
sistemi e modi per abilitare il
l’organizzazione è il team di sviluppo e
i team di prodotto effettivamente fanno cosa
vogliono fare e farlo in un bene
modo sicuro abbiamo fatto una revisione di agile
siamo andati a progetti attraverso il governo
attraverso un intero gruppo di progetti agili
e abbiamo fatto qualche recensione come stai
sicurezza all’interno del tuo progetto agile
perché è un argomento difficile e lì
non eravamo molti esperti a riguardo, così noi
volevo sapere che sappiamo che ci sono un grande
numero di progetti là fuori che sono
facendo agile che sono all’interno del governo
all’interno di questo ambiente accreditato come
stai interagendo con loro il
la più grande scoperta costante che abbiamo trovato
non c’era assolutamente alcuna coerenza in
come lo stanno facendo ogni singolo
progetto aveva un approccio diverso per
farlo e questo non è necessariamente un
cosa negativa perché è nuova e ogni
uno di quei progetti stava provando
cose diverse e ci stiamo connettendo
i progetti insieme ci stanno permettendo
loro provano tutte le cose diverse provano
ipotesi su come la sicurezza dovrebbe funzionare
alcuni progetti che stiamo facendo agilmente
sistema non rilasciando e facendo il sign-off
ogni tre mesi o facendo qualche processo
altri abbiamo un progetto in cui il
progetto è stato letteralmente firmato per andare
in produzione in una chat nel pub di
la sera con uno degli anziani
dirigenti hanno preso l’esecutivo per
al pub gli hanno dato delle birre e
sono andati dal modo in cui possiamo che mettere in
produzione ha detto sì e si scopre
quando abbiamo scavato in quello perché quello
mi preoccupava un po ‘abbiamo scavato dentro
e abbiamo scoperto che il sistema stesso era
era un sistema front-end che avrebbe permesso
per inserire alcune informazioni e
produrrebbe una e-mail sul retro
è andato a un servizio esistente gestito
le queste prenotazioni che significavano lì
non c’erano implicazioni di sicurezza per questo
perché ha creato esattamente la stessa cosa
sistema come potresti interagire se tu
appena inviato via email la gestione del caso
squadra in ogni caso e la persona che hanno preso
il pub hanno spiegato questo – hanno detto
non pensiamo questo ho fino ad alcun rischio di
il pronto soccorso al prodotto possiamo metterlo in diretta
e la persona è andata sì, certo che puoi
il motivo per cui si avrebbe bisogno di chiedere e
ha spiegato che gli è stato detto dal
dipartimento di sicurezza che il loro sistema
ha dovuto essere testato con piena penetrazione mostrato
ogni implementazione di sicurezza tutti quelli
dettagli per andare a vivere che non lo è
sensato quindi la maggior parte delle squadre non lo sa
come fare questo e stiamo cercando di sentire
a modo nostro
quindi cosa facciamo abbiamo deciso di iniziare
parlare alla gente e realizzare il
liste di controllo e regole non funzionano per
è così che è arrivato il governo del Regno Unito
in questo pasticcio, ma quello che funziona è
principi che cosa dice il lavoro
la gente fa buone pratiche in questo modo
possono iniziare a lavorare cose e cose
tenere a mente quindi abbiamo pubblicato false
principi c’è un URL orrendo
lì che puoi andare a dare un’occhiata
Mi rifiuto di dire la parola C che è nel
al centro ma è tutto
gestione del rischio di informazione più di
sicurezza ma è davvero importante
la cosa fondamentale è che hanno guardato e detto
molto simile al manifesto agile loro
avere valori di abilitare il business
su governance e processo che è a
diciamo che governance e processo hanno un posto
ma non se non lo fa se ti impedisce
dall’abilitare l’azienda informata
le decisioni dovrebbero essere prese da competenti
persone che tipo di cose
ora sono scesi otto principi per accettare
incertezza che non arriverete mai
è giusto che non costruirai mai
il perfetto pezzo di software sicuro a
molte persone in sicurezza pensano che tu possa
ma non puoi farlo, le persone devono accettare
quell’incertezza accetta che un certo
punto che stai dicendo che ho fatto tutto
Penso di poter fare e noi andremo a fare
di più ma vediamo cosa possiamo fare
in secondo luogo, la sicurezza deve essere parte di
la squadra e con ciò non intendiamo
incorporato nella squadra, ma abbiamo bisogno di media
che le persone della sicurezza devono essere parte
della comprensione della squadra
missione che è quella di fornire valore loro
bisogno di capire che in alcuni casi noi
incorporare persone della sicurezza nella squadra in
altri casi abbiamo un team di sicurezza che
consigliare un numero di progetti e io sono
cercando di essere abilitati , ma la sicurezza ha
essere parte della squadra e qualcuno nel
la squadra deve essere in grado di dire che sto indossando
il cappello di sicurezza che sto facendo quelli che sono
avendo quei pensieri che sto avendo
conversazioni dalla sicurezza per essere sicuri
succede
i team delle organizzazioni devono capire
i rischi di nuovo sono andato a parlare con un
dipartimento del governo ho parlato con il
il team di sviluppo e io sono così
quali sono le versioni di OpenSSL in esecuzione
hai distrutto il cuore
team di sviluppo e le operazioni
le persone sedute lì non sappiamo cosa fare
vuoi dire che non conosci bene la versione
di OpenSSL che noi che corriamo in
produzione che è classificata e nessuna di
noi abbiamo il permesso di sapere
un bambino che conosci e stai ancora andando
perché è classificato il team di sicurezza
fatto un controllo di tutte le versioni che ho
mai vendere hanno trovato alcuni vulnerabili
versioni e sono preoccupati se loro
ci ha detto che potremmo sapere come sfruttarlo
così hanno classificato il ritrovamento così noi
non so che ero okay così vai
oscuralo perché l’hai fatto che non lo facciamo
le informazioni per uscire e tu hai
per spiegare gentilmente a loro sei consapevole
che gli aggressori conoscono le uniche persone
stai impedendo di sapere questo
le informazioni sono le brave persone ma
questo non è il modo in cui la mentalità della sicurezza
è venuto da molte di queste persone usate
lavorare nei militari a cui erano abituati
lavoro nella comunità di intelligence loro
usato per compartimentalizzare di
informazioni utilizzate per non condividere e
insegnando loro quelle squadre che sono abilitate
che sono informati e capaci di fare
quella roba è incredibilmente importante
qualcosa che dobbiamo fare dobbiamo
essere in grado di fidarsi del processo decisionale in
squadre che non ho mai incontrato uno sviluppatore o un
Operatore persona in una squadra agile che
solo volenti o nolenti prende decisioni e
Dice che sarà davvero divertente se io
downgrade di OpenSSL per scoprire che abbiamo
a bordo , non lo fanno
in realtà
beh non me lo ammettono quando sono
intorno ma devi fidarti di
il processo decisionale là l’altra cosa è
la sicurezza fa parte di tutto ciò che puoi
penso che la sicurezza riguardi il firewall ma
non si tratta del design del tuo
L’intero servizio riguarda tutto
che tu fai l’altro è quell’utente
l’esperienza è davvero importante così
la sicurezza è davvero molto importante
sicurezza che degrada l’utente
esperienza abbiamo ricerche ora
dimostra che se fai mettere le persone davvero
password complesse e password
regole in cui scrivono le password
luoghi insicuri come Google Documenti o simili
su post-it o post-it non sono come
effettivamente insicuro come il loro inserimento
linea da qualche parte il numero di persone che
in realtà li memorizza in una bozza di e-mail o
inseriscili in un documento Google condiviso
con l’ intera organizzazione con il loro
lunga e complessa password ed è così
alcuni di questi ha funzionato è fatto dalle persone
quello e quello è perché la sicurezza
il team ha detto di migliorare la sicurezza che aggiungeremo
queste regole complesse l’esperienza dell’utente
questioni se si vuole un sistema sicuro che
deve essere più facile da usare in modo sicuro
modo che è da usare in modo insicuro
i team di gestione dovrebbero essere in grado di controllare
le loro decisioni Questo è davvero facile
uno per una buona squadra di sviluppo agile voi
può guardare il registro di commit Git e trovare
fuori chi ha fatto cosa e quando quando il
le fusioni sono state fatte chi ha fatto l’unione e
chi l’ha firmato e quali sono andati
in riduzione abbiamo tutta questa roba
e in realtà quando mostriamo cosa facciamo
in squadre agili a persone di sicurezza
sono spesso stupiti perché loro
vorrei che avessero quel livello di informazione
comprensione del loro tradizionale
sistemi che pensano di averlo ora con
il database di gestione del cambiamento ma loro
non mi piace il loro comitato consultivo sul cambiamento
registra ciò che è successo ma risulta
non essere mai veramente accurato su cosa
è successo mentre ora prendiamo la storia e la nostra
il sistema di distribuzione automatico lo sa
questo e poi capire il quadro generale
di sicurezza d’impatto è più che solo il
servizio individuale che stai facendo se io
il mio servizio visualizza le prime sei cifre
della tua carta di credito come un modulo
verifica ma uno dei tuoi servizi
visualizza le ultime sei cifre insieme
i nostri servizi probabilmente ti danno abbastanza
informazioni per ottenere il credito di qualcuno
la carta non è una buona cosa, ecco perché
PCI dice che dovresti sempre solo renderizzare il tokenize
fino agli ultimi quattro, quindi siamo
coerente su ciò che lo capisce
conta davvero cosa vuol dire
ci sono un sacco di pratiche che abbiamo
stiamo facendo stiamo lavorando con diversi
progetti che cercano di aiutarli a fare un po ‘di
questo abbiamo provato un sacco di cose diverse
cose queste sono le cose che sono
lavorando così lontano, immagina di essere
iniziando con il nuovo progetto il primo
cosa da fare scegliere un modello di sicurezza che
è appropriato al tuo progetto in realtà
conta che se stai costruendo il nucleare
sistemi di controllo
probabilmente non usi una cosa agile
dove pubblichi conosci ogni coppia
di ore senza alcun controllo di sorta
non è un modello di sicurezza appropriato
d’altra parte se quello che sto costruendo
è informazioni pubbliche su cosa
potrebbe essere la prossima vacanza in banca
probabilmente non ha bisogno del livello di
controllare che il sistema di controllo nucleare
ha lì ci sono scale lì così
scegliere un modello che non è appropriato
solo con uno che è, volenti o nolenti, quando
si avvia il progetto una delle chiavi
cose che mancano a molte persone
condividendo con la squadra
quali sono le minacce che minaccia il modello
cosa sta avendo qualcosa nel tuo github
repository qualcosa che dice al team
che mi importa chi è probabile che
attaccare il sistema sarà
addetti ai lavori cosa posso tirarne fuori un po ‘
i sistemi governativi ti permettono di ottenere
soldi fuori sappiamo che le bande criminali
e persone a cui piacciono i sistemi Deford
indirizzare quelli in particolare così noi
sapere che tipo di cose potrebbero fare
possiamo capire i fatti lì altri
i sistemi non hanno quella minaccia che abbiamo
stato in grado di fare alcune cose in
governo possiamo standardizzare alcuni di
così abbiamo un modello di minaccia standard
quello dice che la maggior parte dei servizi governativi sono
sempre di interesse per le persone che vogliono
ottenere che tu conosci l’hacker generale
comunità che vogliono solo farlo per il
divertente lì
lei vuole darci noi vogliono essere
in grado di comprometterlo per mettere
alcuni HTML non stanno cercando nulla
altrimenti questo è un effetto standard per noi
ci sono altri effetti standard che noi
Conoscere bande criminali organizzate e
certe cose su cui lavorano
sistemi di governo in modo che possiamo dire ai più
i servizi qui sono una minaccia abbastanza standard
il modello ora lo personalizza ora prendi ciò che
conosci il tuo servizio e la tua visione
e dire oh sì che posso pensare che
e dillo a tutta la squadra perché a
sviluppatore che prende una decisione dovrei
scrivi questo codice se dovessi prenderne altri dieci
minuti su questo codice è importante se
capiscono che cosa le minacce sono per
il servizio educare quelli
i decisori politici per i rischi che sono
prendendo puoi tirarne fuori dieci milioni
Sterlina un miliardo di sterline cinquecento
sterline dal servizio senza alcun
altri controlli quali sono i rischi che
stai prendendo e assicurati di esserlo
prendere le decisioni appropriate e poi
quelle decisioni sul rischio devono essere prese in
la squadra dal team il proprietario del prodotto
chiunque tu sia , qualunque cosa tu stia facendo
con la tua caduta di scrum d’acqua o
Kanban o qualcosa di impronunciabile
Welsh non importa ciò che è agile
la metodologia scusa chiunque sia un uomo
non importa quale metodologia
stai usando qualcuno nella squadra dovrebbe
fare quelle decisioni di rischio qualcuno
nella squadra dovrebbe essere comprensivo
ogni storia che gioco probabilmente aggiunge rischi
il sistema o attenua il rischio nel
sistema e poi pensi cosa faccio
a riguardo quando ho quella carta e basta
dice che voglio conservare i dettagli bancari e
quello aggiunge un sacco di rischi che quello di qualcuno
andando a venire e cercare di ottenere quelli
dettagli bancari cosa devo fare per questo e
iniziamo a tornare a questa ISO 27001
tipo di linguaggio questo è dove sicurezza
la gente capisce un po ‘di questo lavoro
parlare di ciò che facciamo riguardo ai rischi siamo noi
evitare i rischi, quindi possiamo dire non giochiamo
la storia non è così importante
in realtà memorizzare i dettagli delle persone
non è così importante che potremmo trasferire
il rischio potremmo dire perché dovremmo archiviare
i dettagli bancari della gente compriamo solo
striscia o PayPal o qualche altra persona
chi può conservarlo per noi e loro possono possederlo
il rischio di mantenere quel database noi
può semplicemente andare facile per noi abbiamo un’API
possiamo dire che sì, tu vuoi accettare
quel rischio pensiamo di poterlo fare
assolutamente bene
e infatti non siamo preoccupati che lo faremo
gioca la storia com’è o possiamo dire forse
attenuiamo il rischio in qualche modo forse
facciamo alcune azioni alle quali aggiungiamo ulteriore lavoro
quella storia per crittografare il database in
memorizzare solo le informazioni tokenizzate a
separalo e la cosa che noi
vedere un bel po ‘è chi sceglie è
persone che scelgono di accettare temporaneamente
il vero
la gente dice che accetterò il rischio
per ora perché non penso che sia di nessuno
andando a trovarlo nel prossimo mese ma
aggiungeremo tre storie all’arretrato
per le prossime due iterazioni che lo faranno
aggiungi controlli extra mentre passano e
questo è davvero importante
decisione di essere in grado di fare molto
persone che fanno sicurezza in tradizionale
mondi non possono farlo a tutti che è un
impossibile trasferirmi da qualcuno di loro se lo avessi
devo lasciarlo lì per un anno e a
metà conosco le persone che conosci
molte persone li trovano e li scoprono
le cose più velocemente di così
ma non possono muoversi più velocemente di una settimana
o due ed è qui che importa come
molto conosco le mie minacce
quanto velocemente queste persone si muovono quanto
informazioni telogen in modo che facciano che tipo
di raccolta stanno facendo sul mio sistema
quanto è alto il mio sistema è dal vivo
o la gente a parlarne
quali controlli di ordinamento possiamo usare
la sicurezza delle informazioni le persone parlano di a
insieme di essi. In genere li dividiamo
in due contromisure cose attivi
che scoraggia le persone che rilevano
cosa stanno facendo e cose simili
impedire loro di farlo firewall
avvisare i sistemi roba del genere e
questi avvertimenti come piccole avvertenze che è
entrare in una shell quando si accede e si
dice che hai appena effettuato l’accesso a
il sistema governativo e la CIA stanno andando
per inseguire coloro che effettivamente lavorano
abbastanza bene in molti casi reattivo
contromisure che correggono
rispondere o recuperare da un’intrusione
cose che dicono che sono stato rilevato
perché so cosa sta succedendo su
la macchina mi limiterò a masterizzare la macchina
e iniziare una nuova perché è così
questo è un meccanismo di recupero che possiamo avere
quelle persone di sicurezza tradizionali
capire questo è tutto roba loro
dovrebbe essere in grado di sentire che devi fare
ma ce ne sono molti di più
non questi sono quelli secondo me sono
davvero chiave che ne sentirete ancora
più tardi anti personas quelli che stai facendo
agile che fa personas per il tuo agile
proietta le mani se lo fai così
sai chi sono i tuoi utenti normali chi
le persone ti attaccheranno
abbiamo personaggi per i truffatori che dicono
cose come quanti soldi sono loro
disposti a spendere quanto tempo sono loro
disposto a spendere dove stanno andando
vai anti-persona aiutaci a solidificare
alcune cose intorno a storie intorno al
tipo di abuso le persone potrebbero fare così possiamo
scrivi in modo improprio per abusare di casi come anti
usare i casi come un criminale per da voglio
cambia i dettagli bancari di qualcuno così ottengo
pagato l’importo piuttosto che loro
quei casi di abuso sono davvero preziosi
per spiegare al business cosa
potrebbe succedere ma anche tu puoi iniziare
pensando a cose interessanti tu
può fare con loro una volta che hai iniziato
elaborando quello che sono lo sviluppo
le squadre tendono a individuare questi eventi
Non mi piace farlo a mano ogni
tempo ho una sorta di set di strumenti nel mio
tasca posteriore che posso iniziare a usare
attaccare alberi o un altro che voglio
usare finisco abbastanza rapidamente
ma sono nelle diapositive è un modo di
dicendo come qualcuno potrebbe attaccare il
sistema inizi a identificare quali cose
abilita ogni livello e poi puoi
scegli qualcosa di molto in alto e dì
se ci lamentiamo o facciamo questo il
opzione meno attraente che la gente non gradirà
Io categorizzo tutto ciò che mi consente
dare la priorità alle decisioni di sicurezza in rosso
collaborando hai sentito un po ‘su questo come
squadra ben agile dovrebbe essere squadra rossa
dovresti fare dei giorni di gioco che dovresti
fare tutte quelle cose
test di penetrazione automatizzato non c’è
la ragione ogni volta che mi impegno
codebase che non dovrei essere in grado di eseguire
una serie di test di penetrazione molto semplici
che confermano nello stesso modo in cui il mio unit test
fai che non abbia fatto qualcosa di stupido
perché so di essere stato uno sviluppatore per
10 12 anni conosco il tipo di codice I
scrivere con test automatici mi dà
la stampella per assicurarsi che non lo sia
facendo cose stupide ne ho abbastanza
questo per abbastanza tempo che scrivere un SQL
piano di iniezione è qualcosa che tu
mai fare di proposito ma quando lo sei
scrivendo quel codice finalmente quello che vuoi
entrare nell’ultimo Dorian per il
amministrazione quindi vai al pub
è quando tende a scivolare nell’avere
qualcosa che lo troverà e ti lascerà
sapere davvero aiuta e ognuno di quelli
sono cose che dovrebbero essere secondo me
automatizzati dovrebbero essere cose che tu
può continuamente automatizzare in modo tale che DevOps
velocità quando ottieni il tempo del tuo ciclo
stair going So che non ho rotto il
caso di abuso perché ancora non funziona
passare posso scrivere test automatici per
facendo ciò dovrebbero essere integrati a
la squadra quando rompe la squadra
capisce che cosa si è rotto e come farlo
e devono essere ripetibili nel
allo stesso modo in cui siamo cresciuti
Garanzia della qualità e come quella roba
lavora per assicurarci di averli
test ripetibili che tutti
capisce che la squadra può possederlo
ti permettono di dire come squadra siamo
stiamo costruendo un software più sicuro
facendo questo molto meglio è
praticamente tutto ciò che dirò
dovresti scoprire molto di più su come
per fare alcune delle cose più tardi grazie
molto
non dimenticare di valutare la sessione
tu
Please follow and like us: