mjukvarusäkerhet

Mjukvarusäkerhet är den disciplin som handlar om att skydda mjukvarusystem mot hot som kan äventyra konfidentialitet, integritet och tillgänglighet. Den omfattar hela livscykeln från krav och design till implementering, distribution och drift. Målet är att minska risker genom att bygga in säkerhet i processen och i varje komponent av systemet.

Grundläggande principer inkluderar att arbeta enligt säker utvecklingslivscykel (SDLC), genomföra hotmodellering och riskbedömning tidigt, samt att hantera säkerhet i beroenden och tredje parts-komponenter. Att tillämpa principen om minsta privilegium, försvar i flera lager, säkra standarder och kryptografiska skydd är centralt. Det finns också ett fokus på att kunna spåra och kontrollera vad som används i mjukvaran via verktyg som programvarubill of materials (SBOM) och kodsignering.

Vanliga hot inkluderar sårbarheter i kod, osäkra beroenden, API-sårbarheter, konfigurationsfel och leveranskedjans svagheter. OWASP Top 10 används ofta som referensram för att identifiera och prioritera risker i webbapplikationer. Praktiska skydd innefattar autentisering och auktorisering, kryptering, integritetsskydd, säkra loggar och övervakning samt mekanismer för felhantering och återställning.

I arbetsrutinerna ingår statisk och dynamisk kodanalys, fuzzing, kodgranskning, sårbarhetsskanning, penetrationstestning och kontinuerlig patch- och uppdateringshantering. Incidenthantering, lärande efter incidenter och tydlig ansvarsfördelning är viktig för att förbättra säkerheten över tid. Mångsidiga standarder och ramverk som ISO/IEC 27001, ISO/IEC 27034 och branschpraxis samt regelverk påverkar hur mjukvarusäkerhet organiseras och verifieras.

---