Secure Software Foundation nieuwe stap tegen cybercrime

De strijd tegen cybercrime gaat een volgend hoofdstuk in met de lancering van een nieuwe standaard voor veilige software. De standaard van de onlangs opgerichte Secure Software Foundation helpt ontwikkelaars veilige software te ontwikkelen. Daarnaast biedt de standaard de mogelijkheid de veiligheid van bestaande softwareoplossingen te toetsen.

“Een standaard gaat zeker helpen in de strijd tegen hackers”, zegt interim bestuurslid Wim Goes van de foundation. “Hoe meer er eenduidig wordt gewerkt, hoe meer kennis we op doen voor de beveiliging.” Goes, behalve bestuurslid ook quality director bij softwaretestbedrijf SQS, denkt dat het goed is dat de vrijheid van ontwikkelaars wat wordt teruggedrongen. “Dat is in het belang van de veiligheid. Je kunt je als bedrijf geen software incidenten veroorloven.” Steeds meer bedrijfswaarde bevindt zich in software en de komende jaren neemt dit alleen maar toe.

“Hackers zijn er op uit om software te laten crashen. Op die manier krijgen ze informatie om te kunnen inbreken in systemen. Door volgens de standaard te werken, geef je ze gewoon minder kans. Of kun je bij een digitale aanval bepaalde delen van je systeem met gevoelige informatie beter beschermen.”

Betrouwbare software

Aantoonbaar betrouwbare software speelt een steeds belangrijkere rol. Zowel in de Digitale Agenda als de Nationale Cyber Security Strategie van de overheid is de ontwikkeling van veilige software ter bestrijding van cybercriminaliteit één van de belangrijkste onderwerpen. De nieuwe standaard is bedoeld als leidraad voor de hele softwareketen, waaronder opdrachtgevers.

Onveilige software is echter moeilijk te herkennen. Je kunt als gebruiker dan ook niet weten of je veilige of onveilige software gebruikt. “Bovendien kan het vaak helemaal geen kwaad om onveilige software te gebruiken, totdat er natuurlijk een moment komt dat het misgaat. Maar daar kan best een hele tijd overheen gaan”, aldus Koen Sandbrink van het National Cyber Security Centre.

Sandbrink trekt de vergelijking met het bouwen van een kantoor. “Daar weet je van tevoren hoeveel vierkante meter je nodig hebt, wat de architectonische kenmerken moeten zijn, hoe vluchtwegen lopen, noem maar op. Voor software security bestaan zulke eisen niet.”

Fred Hendriks van iComply, initiatiefnemer van de Secure Software Foundation, noemt het probleem een witte vlek in ICT-land. “Ontwikkelde software wordt pas bij oplevering getest op zwakke plekken en lekken.”

Strijd is nog lang niet gestreden

De Secure Software Foundation benadrukt dat de strijd tegen cybercrime nog lang niet is gestreden. Een wereldwijde standaard is namelijk nog niet beschikbaar. “We willen wel voorop lopen. Daarom hebben we het kader in het Engels ontwikkeld.”

Volgens Goes is het belangrijk om nu snel door te pakken. “SQS is nauw bij de ontwikkeling van de standaard betrokken. Medewerkers zijn opgeleid om bij bedrijven te helpen het framework te implementeren en om de certificerings audits te doen. We lopen voorop en zijn een grote, internationale speler op het gebied van software quality en testen. Wij kunnen zorgen voor de afstemming tussen bedrijven."

De afgelopen periode is het ‘Framework Secure Software’ als pilot met succes getest bij diverse software-ontwikkelorganisaties. De standaard is bijna volledig gericht op het veilig produceren van het product. De applicatie, inclusief code, is daarom aanvullend op bestaande (proces)normen zoals de ISO normen. De Secure Software Foundation neemt de uitgifte, verdere ontwikkeling en bewaking van de open standaard voor haar rekening.

Alle belanghebbenden in de keten

Het framework richt zich op alle belanghebbenden in de softwareketen. Opdrachtgevers krijgen met dit framework de mogelijkheid aangereikt criteria voor veilige software in hun lijst van vereisten op te nemen, zonder dat ze zelf inhoudelijke experts hoeven te zijn. Zij kunnen hiermee de softwareleverancier vragen om aan te tonen dat hun software veilig is, eventueel door de software te laten certificeren. Het moeten toepassen van het framework kan ook worden benoemd in het aanbestedingtraject.

Software-ontwikkelorganisaties kunnen de criteria van het framework gebruiken bij het bouwen van applicaties. Projectmanagers, testers en externe partijen kunnen de kwaliteit met betrekking tot de veiligheid gedurende het ontwikkeltraject meten.

Reviewers en auditoren kunnen de criteria uit het Framework Secure Software gebruiken om de veiligheid van de geproduceerde software te beoordelen en hierover aan de opdrachtgevers te rapporteren op begrijpelijke wijze. De audit voor het uitreiken van het Secure Software Certificaat kan enkel door een door de stichting gecertificeerde auditpartij worden uitgevoerd.

Fred Hendriks: “100% veiligheid is onmogelijk, maar met het framework is het mogelijk om te controleren of er voldoende security is geïmplementeerd.”

Secure Software Foundation

De onlangs opgerichte Secure Software Foundation heeft tot doel de ontwikkeling van veilige software te bevorderen. Dit doet de stichting onder andere door het beheren en ontwikkelen van het Framework Secure Software. Daarnaast is de Secure Software Foundation uitgever en kwaliteitsbewaker van het Secure Software Certificate. Met dit certificaat kunnen software-ontwikkelorganisaties aan gebruikers en klanten aantonen dat hun software betrouwbaar ontwikkeld is.

Het Secure Software Certificate kan worden verkregen wanneer bij de ontwikkeling van de software aan alle aspecten van het Framework Secure Software is voldaan.

Voor het aanvragen van het Secure Software Certificaat moet de software worden beoordeeld door een van de door de Secure Software Foundation aangewezen officiële inspectie/audit-instellingen. Hierbij moet het audit-rapport worden afgetekend door een Registered Secure Software Auditor (RSSA™).

Gedurende het certificeringsproces worden zowel de ontwikkelde applicatie (ontwerp en code) als de borging in de organisatie onderzocht. Wanneer de auditor de invulling van alle aspecten uit het Framework als voldoende beoordeelt, zal hij de Secure Software Foundation verzoeken een Secure Software Certificate af te geven voor de onderzochte applicatie(s).

Met de nieuwe standaard voor veilige software hoopt de Software Secure Foundation een belangrijke stap te zetten in de strijd tegen cybercrime. Hierbij wordt gekozen voor een vorm van preventie, die volgens de stichting beter is als genezing.