الغرض وتغطية المنتج
يجب النظر في الأمن طوال تطوير وصيانة برنامج NexCommand ، وسير عمل AI ، والتكامل والتكوينات الموردة. تغطي هذه السياسة الكود ، وتعاريف البنية التحتية ، والنماذج ، والمطالبات ، وخطوط أنابيب الاسترجاع ، والموصلات ، وحزم الجهات الخارجية ، وإصدار القطع الأثرية. ينطبق أيضًا على التطوير الخارجي والإصلاحات الطارئة.
استخدم الـ NIST إطار تطوير البرمجيات الآمنة كمرجع لتنظيم ممارسات التنمية. لا يعتمد استخدامه منتجًا أو يثبت أنه لا يحتوي على نقاط ضعف. يجب أن يحدد كل مشروع الممارسات والأدلة المناسبة لتقنيته ومعلوماته وتأثيره المحتمل.
التخطيط والاحتياجات واستعراض التهديدات
تعيين مالك منتج ومراجع أمني مختص. تسجيل الاستخدام المقصود، وحساسية البيانات، وحدود الثقة، وأدوار المستخدمين، والارتباطات الحرجة، ومعايير القبول. تحديد حالات سوء الاستخدام، وتصعيد الامتيازات، وتسريب البيانات، والحقن (injection)، واختراق سلاسل التوريد، وفقدان التوافر ذات الصلة بالتصميم. مراجعة التغييرات التي تطرأ على تلك الافتراضات مع تقدم العمل.
يجب أن تكون متطلبات الأمان قابلة للاختبار ومرتبطة بأدلة القبول. حدد البيانات أو الأنشطة المحظورة في بيئات التقييم. بالنسبة لأنظمة الذكاء الاصطناعي ، قم بمعالجة المحتوى المسترجع غير الموثوق به والاستخدام غير الآمن للأدوات والأذونات المصدر ومعالجة المخرجات المولدة. تجنب استخدام موجه باعتباره الحماية الوحيدة لإجراء يحتاج إلى حدود ترخيص قابلة للتنفيذ.
التنفيذ الخاضع للرقابة والارتباطات
استخدام المستودعات المعتمدة وضوابط الوصول والتغييرات التي يمكن تتبعها ومراجعة النظراء المناسبة. حماية الفروع وبناء الهويات والأسرار. يجب على المطورين عدم وضع بيانات إنتاج العملاء أو بيانات الاعتماد أو المعلومات التقنية الخاضعة للرقابة في القضايا العامة أو تركيبات الاختبار أو أدوات ترميز الذكاء الاصطناعي غير المعتمدة. بيئات منفصلة وفقًا للمخاطر وواجبات العملاء.
تسجيل مكونات الطرف الثالث ونماذجه ومصدره وتراخيصه وإصداراته. مراجعة حالة الصيانة ونقاط الضعف المعروفة والتزامات التوزيع. عندما تكون هناك حاجة إلى SBOM أو مخزون مكافئ ، احتفظ به لخط الأساس الذي تم تسليمه. تحقق من القطع الأثرية للمورد وتقييد تحديثات التبعية من خلال المراجعة الخاضعة للرقابة ؛ يجب ألا يتجاوز التحديث التلقائي عمليات التحقق من القبول المطلوبة.
بوابات التحقق والإفراج
حدد الاختبار المناسب للنظام: مراجعة التعليمات البرمجية ، التحليل الآلي ، فحوصات التبعية ، الكشف السري ، مراجعة التكوين والاختبارات الوظيفية أو الخصوم المستهدفة. رفض الوصول إلى الاختبار ، عزل المستأجر ، معالجة الفشل ، تسجيل الدخول والانتعاش عند الاقتضاء. تتبع النتائج للتخلص من المخاطر وإعادة الاختبار ؛ الماسح الضوئي المارة وحده لا يثبت سلوكًا آمنًا.
تتطلب النتائج الحرجة غير المحلولة المعالجة، أو الاستخدام المقيد، أو رفض الإصدار الموثق. يجب أن يكون لأي خطر متبقٍ مقبول مالك مختص وألا ينتهك القانون أو العقد. يجب أن يحدد سجل الإصدار الإصدارات، والتغييرات، والاختبارات، والقيود المعروفة، والموافقات، وتعليمات النشر. تحقق من أن الحزمة لا تحتوي على أسرار تطوير أو مواد غير ضرورية للعميل.
سلامة البناء والنشر
حماية بيئة البناء ووثائق التفويض، والحد من الذين يمكن إنشاء أو نشر الإصدارات والحفاظ على التتبع من المصدر إلى قطعة أثرية. استخدام التحقق من السلامة والتوقيع حيثما يقتضي ذلك التصميم أو العقد المقبول. جعل التراجع، والهجرة التكوين ومتطلبات التوافق صريحة. تسجيل الانحرافات العميل محددة من خط الأساس القياسي.
تتطلب التحديثات الخاصة بالأنظمة المنفصلة مسار نقل معتمدًا وفحص البرامج الضارة والتحقق من المستلم وأدلة التثبيت. يجب أن يكون للإصلاحات الطارئة مراجع مسؤول وسجل للتغيير ، مع اختبار متابعة يتناسب مع الحدث. لا تغير بهدوء نموذجًا أو سلوك واجهة برمجة التطبيقات أو افتراض الإذن الذي يؤثر على قبول العميل.
معالجة الضعف ودعم دورة الحياة
الحفاظ على مسار لتلقي مخاوف الضعف وتقييم المصداقية والتأثير وتحديد الإصدارات المتأثرة وتنسيق المعالجة. يجب على المراسلين الخارجيين طلب تبادل آمن من خلال اتصل بنا; لا تمنح هذه الصفحة أي تفويض لإجراء اختبارات اقتحامية. احمِ معلومات المُبلغ وتجنب كشف بيانات العملاء في التنبيهات العامة.
تحديد الإصدارات المدعومة، وصيانة التبعيات، والتواصل بشأن انتهاء الدعم في الاتفاقية ذات الصلة. تزويد العملاء بمعلومات عملية حول التخفيف من حدة المشكلات الجوهرية والترقية منها. تنسيق الإفصاح مع الأطراف المتضررة والالتزامات القانونية. يجب أن تساهم الإصلاحات الأمنية، والدروس المستفادة من الحوادث، وأنماط العيوب المتكررة في عمليات التصميم والاختبار المستقبلية.
السجلات والاستثناءات والمراجعة
يجب على مالك الوثيقة الاحتفاظ بالسجلات اللازمة لإثبات التنفيذ: المتطلبات المعمول بها والمسؤوليات المحددة والتدريب والموافقات والاستثناءات والمراجعات والإجراءات التصحيحية. يجب التحكم في الوصول إلى السجلات والاحتفاظ بها بموجب جدول الاحتفاظ المعمول به وحمايتها من التعديل أو التخلص غير المصرح به. تحظى المتطلبات القانونية ومتطلبات الاحتفاظ الخاصة بالعقد بالأسبقية على الحذف الروتيني.
يجب أن يحدد الاستثناء نطاقه، والسبب التجاري، والمخاطر، والتدابير التعويضية، والموافق المسؤول، وتاريخ الانتهاء. يجب الموافقة عليه قبل المضي قدماً في النشاط المتأثر ومراجعته عند تغير الظروف. لا يمكن لأي استثناء أن يصرح بسلوك غير قانوني، أو يزيل التزاماً تعاقدياً، أو يخفي عدم مطابقة. يجب تصعيد القضايا غير المحلولة إلى الإدارة التنفيذية والمستشار المهني ذي الصلة.
يقوم مالك السياسة بمراجعة هذه السياسة سنويًا على الأقل وبعد إجراء تغيير قانوني أو تجاري أو منتج أو حادث. تتطلب المراجعات الموافقة المصرح بها ومراقبة الوثائق. إجراءات الدعم وتعيينات المسؤولية وأدلة التنفيذ هي سجلات خاضعة للرقابة. يجب أن تحدد بيانات الاعتماد أو الامتثال التعاقدي نطاقها والأدلة الداعمة.