Wstęp
W przypadku technologii finansowych bezpieczeństwo nie jest jedynie jednym z punktów, które należy zaznaczyć; stanowi raczej kręgosłup firmy. Zaufanie staje się najważniejszym atutem, ponieważ produkt dotyczy jednej z dwóch rzeczy – pieniędzy lub tożsamości. To właśnie sprawia, że Appricotsoft (dojrzała firma zajmująca się tworzeniem oprogramowania w branży technologii finansowych) koncentruje się na wdrażaniu bezpieczeństwa jako elementu projektu swojego produktu, od pierwszej linii kodu, a nie traktuje go jako dodatek.
Niezależnie od tego, czy tworzysz aplikacje bankowości mobilnej, portfele cyfrowe, czy łączysz bramki płatnicze, bezpieczeństwo musi być ciągłe, a nie reaktywne. W tym artykule opisano kroki bezpiecznego cyklu rozwoju oprogramowania (Secure Software Development Lifecycle – SDLC) dostosowanego do potrzeb branży FinTech, w tym jak wdrożyć modelowanie zagrożeń, przeprowadzać przeglądy kodu, przeprowadzać automatyczne skanowanie, zarządzać tajnymi danymi i przygotować się na incydent bez wywoływania paniki.
Dlaczego cykl życia oprogramowania (SDLC) jest ważny w branży technologii finansowych
Firmy z branży technologii finansowych często padają ofiarą hakerów. Interfejsy API mogą ujawniać poufne dane osobowe (PII); dane uwierzytelniające użytkowników muszą być odpowiednio zabezpieczone; a zgodność z przepisami, takimi jak PSD2, PCI-DSS i RODO, wymaga niezwykle rygorystycznych standardów.
Zalety bezpiecznego cyklu życia oprogramowania (SDLC):
- Wbudujesz zabezpieczenia w swoją aplikację od początku do końca, zamiast dodawać je później;
- Nie poniesiesz żadnych kosztów związanych z przeróbką aplikacji ze względu na problemy z bezpieczeństwem lub, co gorsza, naruszenie prywatności;
- Możesz spełnić wymagania dotyczące zgodności i audytu, a jednocześnie mieć możliwość szybkiego wypuszczenia produktu na rynek;
- Możesz budować zaufanie między użytkownikami, partnerami i inwestorami.
Inwestowanie w bezpieczne cykle życia oprogramowania (SDLC): Czym są bezpieczne cykle życia oprogramowania?
Appricotsoft korzysta z Unison Framework, czyli zorientowanego na sztuczną inteligencję środowiska, które kładzie nacisk na dyscyplinę produktu, przejrzystość i praktyczne bezpieczeństwo od początku do końca.
1. Wczesne modelowanie zagrożeń (fazy dopasowania i planowania)
Zanim zaczniemy kodować, przeprowadzamy modelowanie zagrożeń w celu określenia możliwych wektorów ataku na naszą aplikację i opracowujemy model zagrożeń, wykonując następujące kroki:
- Określ, jakie dane będą przechowywane i czy będą podlegać kontroli dostępu do tych danych.
- Określ, co się stanie, jeśli ktoś spróbuje zmanipulować transakcję, np. wykorzystując fałszywe żądanie uzyskania dostępu do informacji o płatności.
Dzięki modelowaniu zagrożeń możemy:
- Poznaj nasze najważniejsze aktywa (szczegóły dotyczące płatności i dane KYC).
- Udokumentuj przepływ informacji i możliwe punkty naruszeń.
- Przygotujmy wstępne środki zaradcze, określając opcje, które zostaną zastosowane w celu złagodzenia potencjalnego ataku (np. szyfrowanie, ograniczanie przepustowości, kontrola dostępu do interfejsu API itp.).
Narzędzia do wykorzystania na wczesnych etapach rozwoju należą: struktura modelowania zagrożeń STRIDE, tablice do modelowania zagrożeń, sesje oceny ryzyka dla interesariuszy oraz wspólna ocena ryzyka.
2. Przeglądy kodu i protokoły PR (faza kompilacji)
Programiści Appricotsoft wykorzystują sztuczną inteligencję (AI), aby przyspieszyć rozwój oprogramowania, sugerując szablony kodu lub szybko identyfikując łatwe do usunięcia problemy. Istnieją jednak rygorystyczne procedury przeglądu kodu dla całego kodu generowanego przez AI (tj. cały kod generowany przez AI będzie sprawdzany przez człowieka).
W momencie, gdy deweloper złoży wniosek o scalenie kodu, jego kod przejdzie przez następujący proces:
- Starszy programista przeprowadzi pierwszą ręczną kontrolę swojego kodu,
- Kod programisty zostanie sprawdzony pod kątem listy kontrolnej bezpiecznych praktyk kodowania (np. brak zakodowanych na stałe tajemnic, poprawne praktyki serializacji itp.),
- Kod programisty nie zostanie scalony bez obustronnej zgody.
Narzędzia W procesie przeglądu kodu w fazie kompilacji wykorzystywane są m.in. Github + Code Owners oraz statyczne listy kontrolne. Na życzenie możliwe jest przeprowadzenie dogłębniejszych inspekcji za pomocą SonarQube.
3. Zautomatyzowane SAST i DAST (kompilacja + walidacja)
Podczas kodowania SAST sprawdza luki w zabezpieczeniach, takie jak luki w zabezpieczeniach kodu SQL injection czy XSS, natomiast DAST automatycznie skanuje środowiska testowe w poszukiwaniu luk w zabezpieczeniach, które mógłby wykorzystać atakujący.
Zintegrowanie tych skanów z procesem CI/CD zapewnia:
- Identyfikacja luk w czasie rzeczywistym
- Programiści mogą naprawiać luki w zabezpieczeniach przed umieszczeniem kodu w środowisku produkcyjnym.
- Uczynienie bezpieczeństwa częścią procesu budowy, a nie czynnikiem ograniczającym szybkość budowy.
Oto kilka popularnych opcji: Snyk, SonarCloud, OWASP ZAP, skanowanie kodu GitHub.
4. Skanowanie zależności/bezpieczeństwo łańcucha dostaw
Wiele aplikacji fintech korzysta z bibliotek firm trzecich do tworzenia aplikacji. Biblioteki te stanowią zagrożenie, ponieważ skompromitowana biblioteka może potencjalnie narazić platformę na ataki, nawet jeśli kod nie ma luk w zabezpieczeniach.
Dlatego my:
- Użyj automatycznych narzędzi do skanowania bibliotek (np. Dependabot lub Snyk)
- Prowadź zatwierdzoną listę bibliotek
- Automatycznie blokuj wszystkie nowe biblioteki dodawane za pomocą żądań scalenia, chyba że znajdują się na zatwierdzonej liście bibliotek
Zależności są szczególnie ważne przy tworzeniu aplikacji bankowości mobilnej wykorzystujących komponenty typu open source lub podczas integracji z bramkami płatniczymi.
5. Bezpieczne zarządzanie sekretami
Jeśli przechowywałeś klucze API w pliku .env i zatwierdzałeś je w Git, nie jest to już dobra praktyka.
Odeszliśmy od tego, wykorzystując następujące rozwiązania:
- Kontekstowe sejfy tajne środowiska (na przykład AWS Secrets Manager lub HashiCorp Vault)
- Nigdy nie wpisuj sekretów do swojego kodu, nigdy!!
- Dodaj haki przed zatwierdzeniem, aby zapobiec przypadkowemu wyciekowi sekretów ze środowiska programistycznego
Stosując się do tych zasad, ograniczysz liczbę wektorów ataków, szczególnie w środowiskach CI/CD.
6. Przeprowadzanie testów penetracyjnych przed uruchomieniem (w fazie walidacji)
Testy penetracyjne mają na celu symulację rzeczywistych ataków na Twoje środowisko i zapewnienie Ci pewności podczas uruchamiania aplikacji. W Appricotsoft:
- Przeprowadzi testy penetracyjne białej/czarnej skrzynki
- Testy penetracyjne dotyczące uwierzytelniania, obsługi sesji, przepływów płatności i bezpieczeństwa API
- Skorzystaj z usług zewnętrznych partnerów zajmujących się testowaniem penetracyjnym, aby uzyskać niezależne wyniki testów penetracyjnych
Po przeprowadzeniu testów penetracyjnych nie będziemy wstrzymywać żadnych kolejnych wydań. Zamiast tego będziemy na bieżąco przeglądać wyniki testów przez cały okres trwania wydań i wykorzystywać te wyniki jako ocenę jakości.
7. Decyzja o podjęciu działań w podręczniku reagowania na incydenty (faza uruchomienia i rozwoju)
Żaden system nie jest idealny, dlatego ważne jest, aby reagować szybko i jasno. Aby skutecznie reagować na incydenty, nasz proces reagowania na incydenty wykorzystuje:
- Zdefiniowane podręczniki dla typowych typów zagrożeń
- Utworzona sala wojenna w Slacku lub Teams
- Zdefiniowane role: triaż, komunikacja i rozwiązywanie problemów
- Ugruntowany proces analizy pośmiertnej, który pozwala zidentyfikować, co zadziałało, a co nie, dzięki czemu możemy uniknąć podobnych incydentów w przyszłości
Jesteśmy transparentni w stosunku do naszych klientów, wiedząc, że zaufanie buduje się poprzez transparentność.
Kultura jakości i bezpieczeństwa
Bezpieczeństwo naszego kodu opiera się nie na magii, lecz na kulturze jakości, a sposób, w jaki rozwijamy nasze nawyki, pozwoli nam osiągnąć tę podstawową wartość: sprawić, by coś było niesamowite, właściwe i autentyczne.
W Appricotsoft bezpieczeństwo zaczyna się od wykorzystania przez nasze zespoły inżynierskie modelu Unison, w którym bezpieczeństwo jest zintegrowane z procesem rozwoju, a nie tylko umieszczane na końcu dokumentu. Nasze rozwiązania AI nadal zapewniają wsparcie każdemu z naszych programistów, chociaż ostatecznie to oni odpowiadają za wynik swoich projektów. Jakość jest integralną częścią naszego całego cyklu rozwoju oprogramowania. Każda wydana przez nas wersja została zweryfikowana, przetestowana i jest gotowa do wersji demonstracyjnej; a każdy programista musi zawsze spełniać nasze standardy jakości.
Nie stosujemy mikrozarządzania. Nie odkładamy kwestii bezpieczeństwa na “później”. Postępujemy właściwie, aby zapewnić bezpieczeństwo od samego początku.
Powiązane materiały do czytania
Wybór odpowiedniego partnera Fintech – Na co zwrócić uwagę przy zlecaniu na zewnątrz tworzenia oprogramowania fintech.
Audyt przed prezentacją – Dlaczego należyta staranność techniczna może zadecydować o powodzeniu lub porażce kolejnej rundy finansowania.
Podsumowanie: Bezpieczeństwo jako przewaga konkurencyjna
Korzystając z usług finansowych, największą wartość ma zaufanie związane z solidnymi zabezpieczeniami firmy chroniącymi dane klientów. Coraz częściej znaczenie bezpieczeństwa wpływa na postawy użytkowników. Chociaż nie wszyscy użytkownicy mówią o bezpieczeństwie, wielu z nich je wyczuwa. W rezultacie oczekują oni godnej zaufania firmy, gdy mają do czynienia z instytucją finansową, i często wybierają konkurencję, kierując się opinią o firmie bardziej godnej zaufania, a nie o konkurencji.
Appricotsoft koncentruje się na wspieraniu założycieli firm i liderów branży fintech w tworzeniu wysokiej jakości oprogramowania, które spełnia zarówno ich potrzeby biznesowe, jak i wymagania bezpieczeństwa. Jeśli rozwijasz produkt lub świadczysz usługę z dostępem do poufnych danych, przetwarzaniem płatności lub jakąkolwiek inną usługą związaną z tożsamością, chętnie omówimy z Tobą możliwość stworzenia Twojego produktu w bezpieczny, szybki i niezawodny sposób.
