Iso27001 2022 revision #121
Conversation
Flyttet gammelt innhold til lokal docs/Old og ignorerer denne.
…, samt artikkel om kompetanseheving
askaret
requested review from
0x767676,
JohnSverreSolem,
josteitv,
soofstad,
netr0m and
thomasreite
as code owners
… det kommer senere...
|
Bare så jeg husker: Legg til noe om bruk av cdn, ref f.eks. https://sansec.io/research/polyfill-supply-chain-attack |
…ss, minus introartikler
…har landet revisjonen
|
@askaret; revisjonen er stort sett fullført for nå. Vil bruke litt tid i neste uke for å krympe innholdet på noen artikler, evt splitte opp i flere der det gir mening. Kan du ta en kikk og se om det er ting som mangler eller ikke hører hjemme? |
docs/01_planlegge/introduction.md
Outdated
| @@ -3,10 +3,10 @@ | |||
| <div className="row category-into"> | |||
| <div className="column"> | |||
| <p> | |||
| Fokuset på sikkerhet starter allerede på planleggingsstadiet, enten det gjelder roadmap, features eller prosjekter. Har vi noen tanker om hvilke sårbarheter, angrepsflater, sensitive data eller integrasjoner vi bør holde et ekstra øye på? Det er i denne fasen man må <a href="/security_champion/security_champion_startpoint#1-skap-bevissthet">skape bevissthet</a> rundt disse temaene og en Security Champion bør involveres tidlig. | |||
| Det viktigste vi kan gjøre før vi skriver en eneste kodelinje er å gå opp ansvarsfordelingen mellom oss og kunden, samt klassifiseringen av løsning og data: Hvilke krav stiller kunden og hvilke krav kommer det fra lovverk eller andre parter? | |||
There was a problem hiding this comment.
Burde man allerede i introduksjonen introdusere applikasjonssikkerhet og at en må ta høyde for denne praksisen i leveranser vi har for kunder? Mao. en forventning til at AppSec blir en integrert del av leveransene.
There was a problem hiding this comment.
Gjorde et forsøk på oppdatert tekst:
Det viktigste vi kan gjøre før vi skriver en eneste kodelinje er å gå opp ansvarsfordelingen mellom oss og kunden, samt klassifiseringen av løsning og data: Hvilke krav stiller kunden og hvilke krav kommer fra lovverk eller andre parter? Kompetanse innenfor applikasjonssikkerhet (AppSec) bør være på banen allerede i denne fasen for å sikre at en ivaretar krav og forventninger til sikkerhet.
No description provided.