regulacja
NIST SSDF i OWASP SAMM
Klienci pytają, jak bezpiecznie rozwijają Państwo oprogramowanie, a Cyber Resilience Act wkrótce będzie tego wymagał dla każdego produktu z elementami cyfrowymi? Complass prowadzi Państwa przez 42 zadania NIST SSDF, pokazuje poziom dojrzałości według OWASP SAMM i łączy jedno z drugim z CRA oraz IEC 62443-4-1.
Czym jest NIST SSDF?
Secure Software Development Framework (SSDF) to dobrowolne ramy amerykańskiego National Institute of Standards and Technology (NIST SP 800-218). W czterech grupach i 42 zadaniach opisuje, jak producenci bezpiecznie rozwijają oprogramowanie i reagują na podatności. OWASP SAMM to otwarty model dojrzałości bezpieczeństwa oprogramowania z 15 praktykami i poziomami od 0 do 3. Certyfikatów dla żadnego z nich nie ma.
Complass nie jest powiązany z NIST ani z OWASP Foundation. Angielskie teksty zadań pochodzą z NIST SP 800-218, utworu rządu federalnego USA, który można swobodnie wykorzystywać. OWASP SAMM (owaspsamm.org) podlega licencji CC BY-SA 4.0; Complass podaje wyłącznie nazwy praktyk, a poziomy opisuje własnymi słowami.
Aktualność treści:
Czy dotyczy to nas?
SSDF dotyczy producentów i twórców oprogramowania, także oprogramowania układowego i oprogramowania w maszynach i urządzeniach: przedsiębiorstw, których klienci chcą mieć potwierdzenie bezpiecznego rozwoju, dostawców agencji federalnych USA oraz wszystkich, którzy chcą w praktyce wdrożyć wymagania Cyber Resilience Act dotyczące rozwoju.
SSDF nie jest obowiązkowy i nie zastępuje ani CRA, ani IEC 62443-4-1. Uzupełnia je jako praktyczna lista zadań; wiele zadań mają Państwo już wdrożonych, jeśli rozwijają Państwo produkty według IEC 62443-4-1.
Niniejszy przegląd nie zastępuje porady prawnej. Rozstrzygający jest tekst prawny lub normatywny; w Complass stosowalność sprawdza się za pomocą wskazówek opartych na odnośnikach do przepisów.
Podstawy
- NIST SP 800-218Secure Software Development Framework (SSDF) wersja 1.1, luty 2022; wersja 1.2 jako projekt od grudnia 2025
- OWASP SAMM v2Software Assurance Maturity Model, licencja CC BY-SA 4.0
Kluczowe terminy
Ustawowych terminów dla SSDF nie ma. Kto oferuje w UE produkty z elementami cyfrowymi, powinien mieć na uwadze terminy Cyber Resilience Act; SSDF pomaga na czas wdrożyć wymagania dotyczące rozwoju i obsługi podatności. Zalecamy powtarzać ocenę SAMM co roku.
Jak Complass pomaga
- 5faz
- 10kroków z przewodnikiem
- 3szablonów dokumentów
- 42wymagań w katalogu
Prowadzenie w pięciu fazach
Zakres, przygotowanie organizacji, ochrona oprogramowania i bezpieczne jego wytwarzanie, reagowanie na podatności, ocena poziomu dojrzałości.
42 zadania ze wskazówką wdrożeniową
Każde zadanie z oficjalnym identyfikatorem, oryginalnym sformułowaniem NIST, krokami, minimalnym zakresem, typowymi dowodami i poziomami według OWASP SAMM.
Szablony
Polityka bezpiecznego rozwoju oprogramowania, ocena dojrzałości SAMM i plan usprawnień.
Wdrożyć raz, wykazywać wielokrotnie
Oceny i dowody z CRA, IEC 62443-4-1 i ISO 27001 Complass proponuje do przejęcia dla SSDF.
Fazy w module
- Punkt wyjścia i zakres
- Przygotowanie organizacji (PO)
- Chronić oprogramowanie i bezpiecznie je tworzyć (PS, PW)
- Reagowanie na podatności (RV)
- Ocenić dojrzałość według OWASP SAMM
Katalog: NIST SSDF 1.1 – 42 zadania
Pasujące moduły
Zarządzanie zgodnością
Wdrażanie regulacji krok po kroku: fazy, szablony, piramida dokumentów, katalogi, analiza luk, cele i plan działań aż po audyt w portalu audytora.
Dowiedz się więcejZarządzanie ryzykiem
Rejestr ryzyk z oceną jakościową lub ilościową, apetytem na ryzyko i planem postępowania, powiązany z zasobami, podatnościami i incydentami.
Dowiedz się więcejZarządzanie zasobami
Zasoby IT i OT w jednym miejscu, rejestrowane bez agentów, z SBOM, komunikatami producentów, końcem wsparcia, uzgadnianiem licencji, tożsamościami, powiązaniami i strefami według IEC 62443-3-2.
Dowiedz się więcejCzęsto zadawane pytania
Czy istnieje certyfikat SSDF?
Nie. Ani SSDF, ani OWASP SAMM nie podlegają certyfikacji. Complass pomaga opisać i udokumentować stan wdrożenia i poziom dojrzałości.
Czy dzięki SSDF spełniamy Cyber Resilience Act?
Nie automatycznie. SSDF obejmuje wiele wymagań dotyczących rozwoju i obsługi podatności, a Complass pokazuje powiązanie z załącznikiem I. Ocena zgodności według CRA pozostaje odrębnym zadaniem.
Po co SAMM, skoro mamy SSDF?
SSDF mówi, co należy zrobić; SAMM pokazuje, na ile jest to utrwalone. Dzięki poziomom od 0 do 3 można mierzyć postępy i wyznaczać cele.
Rozwijamy już według IEC 62443-4-1. Czy musimy wszystko wprowadzać od nowa?
Nie. Przez wspólne działania Complass proponuje przejęcie ocen i dowodów. Każdą propozycję sprawdzają Państwo, zanim ją potwierdzą.
Przetestuj Complass na własnych danych
Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.