Dasar praktik keamanan yang baik dimulai di organisasi Anda.
Membuat tim keamanan dan privasi
Buat tim keamanan dan privasi khusus serta tentukan pemimpin untuk organisasi ini.
- Bangun tim keamanan.
- Pastikan minimal ada satu karyawan yang bertanggung jawab atas keamanan, privasi, dan respons insiden.
- Tentukan misi dan cakupan untuk tim ini.
- Buat bagan organisasi dan deskripsi pekerjaan untuk: Pengelola Keamanan, Engineer Keamanan, Pengelola Insiden.
- Mempekerjakan karyawan atau kontraktor eksternal untuk mengisi peran ini.
- Menentukan siklus proses pengembangan keamanan (SDL). SDL Anda
harus mencakup area berikut:
- Persyaratan keamanan untuk produk.
- Analisis risiko dan pemodelan ancaman.
- Analisis statis dan dinamis aplikasi dan kode.
- Proses peninjauan keamanan akhir untuk produk.
- Respons insiden.
- Menilai risiko organisasi. Buat penilaian risiko dan kembangkan rencana untuk menghilangkan atau memitigasi risiko tersebut.
Proses verifikasi build
Evaluasi kesenjangan dalam proses persetujuan dan verifikasi build internal yang ada.
- Identifikasi celah dalam proses verifikasi build saat ini yang dapat menyebabkan dimasukkannya Aplikasi yang Berpotensi Membahayakan (PHA) ke dalam build Anda.
- Pastikan Anda memiliki proses peninjauan dan persetujuan kode, bahkan untuk patch internal ke AOSP.
- Tingkatkan integritas build dengan menerapkan kontrol di area berikut:
- Melacak perubahan. Melacak software engineer; menyimpan log perubahan.
- Menilai risiko. Menilai izin yang digunakan oleh aplikasi; memerlukan peninjauan manual atas perubahan kode.
- Monitor. Evaluasi perubahan yang dilakukan pada kode dengan hak istimewa.
Pelacakan perubahan kode sumber
Pantau modifikasi yang tidak disengaja pada kode sumber atau aplikasi pihak ketiga / biner / SDK.
- Menilai kemitraan. Nilai risiko bekerja sama dengan
partner teknis menggunakan langkah-langkah berikut:
- Tetapkan kriteria untuk cara menilai risiko bekerja sama dengan pemasok tertentu.
- Buat formulir yang menanyakan cara pemasok menyelesaikan insiden serta mengelola keamanan dan privasi.
- Verifikasi klaim mereka dengan audit berkala.
- Melacak perubahan. Catat perusahaan dan karyawan mana yang mengubah kode sumber dan lakukan audit berkala untuk memastikan hanya perubahan yang sesuai yang terjadi.
- Simpan catatan. Catat perusahaan mana yang menambahkan biner pihak ketiga ke build Anda dan dokumentasikan fungsi yang dilakukan aplikasi tersebut dan data yang dikumpulkannya.
- Merencanakan update. Pastikan pemasok Anda diwajibkan untuk menyediakan update software selama masa aktif produk Anda. Kerentanan yang tidak terduga mungkin memerlukan dukungan dari vendor untuk diatasi.
Memvalidasi integritas dan silsilah kode sumber
Periksa dan validasi kode sumber yang disediakan oleh produsen perangkat asli (ODM), update Over-the-air (OTA), atau operator.
- Kelola sertifikat penandatanganan.
- Simpan kunci di modul keamanan hardware (HSM) atau layanan cloud aman (jangan bagikan).
- Pastikan akses ke sertifikat penandatanganan dikontrol dan diaudit.
- Mewajibkan semua penandatanganan kode dilakukan di sistem build Anda.
- Cabut kunci yang hilang.
- Buat kunci menggunakan praktik terbaik.
- Menganalisis kode baru. Uji kode yang baru ditambahkan dengan alat analisis kode keamanan untuk memeriksa apakah ada kerentanan baru. Selain itu, analisis fungsi secara keseluruhan untuk mendeteksi ekspresi kerentanan baru.
- Tinjau sebelum dipublikasikan. Cari kerentanan keamanan
dalam kode sumber dan aplikasi pihak ketiga sebelum Anda mendorongnya
ke produksi. Misalnya:
- Mewajibkan aplikasi untuk menggunakan komunikasi yang aman.
- Ikuti prinsip hak istimewa terendah dan berikan serangkaian izin minimum yang diperlukan agar aplikasi dapat beroperasi.
- Pastikan data disimpan dan ditransfer melalui saluran yang aman.
- Pastikan dependensi layanan selalu yang terbaru.
- Terapkan patch keamanan ke SDK dan library open source.
Respons insiden
Android percaya pada kekuatan komunitas keamanan yang kuat untuk membantu menemukan masalah. Anda harus membuat dan memublikasikan cara bagi pihak eksternal untuk menghubungi Anda terkait masalah keamanan khusus perangkat.
- Buat kontak. Buat alamat email, seperti security@your-company.com atau situs dengan petunjuk yang jelas untuk melaporkan potensi masalah keamanan yang terkait dengan produk Anda (contoh).
- Buat Program Reward Pencarian Kerentanan (VRP). Dorong peneliti keamanan eksternal untuk mengirimkan laporan kerentanan keamanan yang memengaruhi produk Anda dengan menawarkan reward dalam bentuk uang untuk pengiriman yang valid (contoh). Sebaiknya beri peneliti reward yang kompetitif di industri, seperti $5.000 untuk kerentanan dengan tingkat keparahan Kritis dan $2.500 untuk kerentanan dengan tingkat keparahan Tinggi.
- Kontribusikan perubahan upstream. Jika Anda mengetahui masalah keamanan yang memengaruhi platform atau perangkat Android dari beberapa produsen perangkat, hubungi Tim Keamanan Android dengan mengajukan laporan bug keamanan.
- Mempromosikan praktik keamanan yang baik. Secara proaktif menilai praktik keamanan vendor hardware dan software yang menyediakan layanan, komponen, dan/atau kode untuk perangkat Anda. Minta vendor untuk bertanggung jawab dalam menjaga postur keamanan yang baik.