HP, IBM, Microsoft, Telecom, Poste? tutti allegramente sulla Sicurezza Applicativa

Ok, sarò cattivello ma dopo aver assistito al 2° OWASP Day mi sono fatto un'idea abbastanza chiara di quello che sta succedendo.

Durante la conferenza, Telecom fa il suo intervento su come sia incentrata la loro attività nell'offrire servizi di Sicurezza Applicativa a terzi, e, nel pomeriggio anche IBM conferma questa linea (non scordate che IBM ha acquisito Watchfire).

Se consideriamo che gli stessi servizi li offrono Poste, HP (che ha acquisito Spidynamics e utilizza SCA Fortify) e Microsoft la cosa comincia a preoccuparmi.

Perché?

Perché il SSDLC (Secure Software Development Life Cycle) è diventato un vero e proprio business con cui vendere servizi a PA e Aziende. Con la storia della sicurezza ti vendono anche: QA sul software e sui processi aziendali, network security, consulting, vulnerability assessment, presidi per l'operational. E tutto questo non certo a due lire!

Gestire un buon SSDLC può sicuramente richiedere delle risorse esterne preparate ed è giusto appoggiarsi a grandi player di mercato se non se ne ha la forza, ma:

1. siamo sicuri che questi grandi player siano veramente all'avanguardia rispetto al SSDLC?
2. l'obiettivo del SSDLC è quello di farlo diventare proprio dell'azienda, quindi il servizio di consulting esterno dovrebbe servire solo all'inizio per poi tramutarsi in un know-how interno e acquisito.
3. quante di queste aziende che forniscono servizi in questo senso hanno una vera tradizione di SSDLC interno aziendale? Del resto sono anche aziende che sviluppano sistemi applicativi...

Provo a rispondere nell'ordine:

1. No. Di queste aziende forse solo Microsoft è all'avanguardia in questo campo e numerosi sono i ricercatori in Microsoft che evangelizzano e che hanno fatto storia in questo senso: Michael Howard ne è un esempio;
2. Credo che l'approccio del management italiano sia quello di delegare la sicurezza all'esterno comprendendo molto poco l'aspetto fondamentale del SSDLC, ovvero l'acquisizione del know-how interno. Anche perché costa tempo e volonta!
3. Anche qui forse solo Microsoft lo fa. VISTA è stato riscritto interamente secondo le regole del SSDLC (in realtà dal SP2 di XP). Le altre aziende secondo me rivendono "scopiazzature" di articoli e libri quali: "Software Security" di Gary McGraw e di Micheal Howard, con qualche accenno ovviamente anche ad OWASP.

Per concludere il SSDLC deve divenire patrimonio di tutti gli attori coinvolti nello sviluppo all'interno di un'azienda o PA. Ben vengano player esterni, ma che servano unicamente come supporto per formazione e setup iniziale o comunque come supporto nelle diverse fasi.

La sicurezza applicativa non può essere certo delegata all'esterno!