Agilt arbetssätt saknar definition. Ordet agile betyder lättrörlig, smidig, snabbfotad. Arbetssättet innebär korta iterativa cykler. I varje cykel kravställer, utvecklar, testar, och levererar man. Syftet är att korta avtånde till kunden.
Agila metoder är en uppsättning värderingar och principer för hur arbete bör organiseras. Tankarna formuleradae i det Agila manifestet år 2001 som en reaktion mot "vattenfallsmetoden". Det agila manifestet innehåller fyra grundläggande värderingar för agilt arbetssätt. Dessutom finns 12 principer. Läs mer här om dessa och säkerhet..
Vattenfallsmetoden, detta spöke för den agila världen bygger som alla spöken, på okunskap.
När Niel Armstrong satte sin fot på månen byggde det på en lång rad leveranser. Det var en mängd program där Apolloprogrommet var det sista. Bakom låg en iterativ metod med ständiga förbättringar, en agilt metod. I metoden var säkerhet centralt, Kennedys mål var "landing a man on the moon and returning him safely to Earth".
Regulatoriska krav och standarder inom säkerhet kräver en metod för kvalitet som med dokumentation bevisar säkerhet. Du måste leverera ett säkerhetsbevis. Beviset innebär att du ska visa att du arbetatat på rätt sätt, hittat rätt säkerhetskrav, byggt systemet enligt kraven och du använder systemet rätt.
Agila metoder innebär kontinuerlig anpassning till omvärlden med kontinuerliga leveranser. Detta innbär att du kontinuerligt även ska följa metoden kvalitet och vid varje leverans leverera ett säkerhetsbevis.
ISO 2700I ställer krav mot ett system för att hantera informationssäkerhet, Information Security Management System(ISMS). Systemet ställer krav på ledarskap, systematisk riskanalys och riskhantering, utvärdering och förbättring samt dokumentation som bevisar säkerhet. Liknande metoder gör att du kan flyga säkert.
Arbetar du efter SAFe innebär kraven i ISO 27001 att du måste lägga till en beprövad metod för kvalitet. Metoden är inget spöke och är ingen byrokratisk vattenfallsmetod. Tvärt om är ständig förbättring en grund i ISO 27001.
ISO 27001 är en internationell standard som hjälper dig med informationssäkerhet. Den syftar till att skydda informationens konfidentialitet, riktighet och tillgänglighet. ISO 27001 ställer krav på en PDCA-process där kontinuerlig hantering av risker är centralt.
Jag har skapat en "ISO-27000 for dummies" där jag med pilotperspektivet föröker göra standarden lätt att förstå.
ISO 27001 ställer krav att orgoansitionen som vill skydda sin information ska ha ett säkerhetssystem, ett "Information Security Management System" (ISMS). Kraven rör ledarksap, instruktioner, personal, riskhantering, mätning, utvärdering och förbättring.
SAFes lösning på compliance är ett ”Lean QMS” (Quality Management System). Den goda nyheten är att ett QMS är precis vad ett ISMS är. Dessutom är ju ISO 27001 just krav ställda mot ett ISMS.
SAFe är ett ramverk från företaget Scaled agile inc. Ramverket stödjer agilt arbetssätt med utveckling i "Development Value Streams". Dessa levererar system till verksamheten, "Operational Value Streams". ISO 27001 ställer krav som ska skydda information i hela organisationen, alla organisationens värdeströmmar.
SAFe syftar till samverkan mellan verksamhet och IT. SAFe delar upp IT-utveckling i tre nivåer, portfölj, program och team. Varje nivå har sin kanbanboard / scrumboard, i dessa och mellan nivåerna flödar arbetsuppgifter / krav.
SAFe har huvudsakligen två artiklar som tar upp hur du skapar säkerhet. Dessa är: "Building in Quality and Compliance" samt "Compliance".
Artiklarna är inte lika konkreta som ISO 27001 är. De belyser vikten av att hantera risker, kvalitet och compliance kontinuerlig integrerat i rutinaktiviteter. Lösning och compliance ska byggas inkrementellt.
Relaterat ett ISMS inför SAFe begreppet "Lean QMS". Ett "Lean QMS" ska enligt SAFe möta de lila kraven i bilden. Dessa krav motstrider ej ISO 27001.
SAFe vs ISO 27001. Det är en match på sju ronder mellan agilt och informationssäkerhet, en för varje kapitel i ISO 27001: Sammanhang, Ledarskap, Planering, Support, Operativy, Utvärdering och Förbättring.
SAFe som är ett ramverk med mycket dokumentation- Det jämförs med ISO 27001, standarden med kraven mot ett säkerhetssystem. För varje kapitel identifieras hur du med SAFe kan lösa kraven i kapitlet
DevOps (”development” och ”operations”) baseras på principerna i Lean och Agilt. Det är en agil metod där ett och samma team utvecklar, driftar, testar, integrerar och övervakar applikationen i ett flöde.
Det finns ingen unik definition av "DevOps", än mindre en beskrivning av metoden. Tanken är att göra teamen som utvecklar ansvariga för helheten. De ansvarar för alla produktionsfrågor och nödvändiga ändringar. I DevOps releasar och distribuerar ett team applikationen till produktionsmiljö. Inga andra team behöver involveras.
DevSecOps är ett agilt arbetssätt där även Security integreras i DevOps. DevSecOps handlar om att tänka på säkerhet för både applikation och infrastruktur från början. Dessutom automatiseras visst arbete.
Mycket påminner om Safety, Security & Privacy by design. Du kan dra nytta av IEC 61508, DO-178, EN 50128 och ISO 26262. Detta är sedan länge etablerade standarder för säker mjukvara inom industri, flyg, järnväg och bilar.
DevSecOps är mindre definiera än DevOps. Detta gör en analys relaterat ISO 27001 svår. DevSecOps syftar till att utveckla och drifta säkra IT-system. ISO 27001 syftar till informationssäkerhet för en organisation inklusive system.
Tänk flyg. Du ska ta dig säkert från Stockholm till Paris. Att resan blir säkert hänger inte enbart på mjukvaran i flygplanets styrsystem. Det finns en mängd kompeneter där mjukvaran i styrsystemet bara är en liten del. På en hög nivå består systemet av flygplan, flygledning, piloter, kabinpersonal, manualer, simulatorer o s v.
Alla standarder inom säkerhet ställer krav på att du dokumenterar. Dokumenten ska visa att du har gjort det som krävs för att skapa säkerhet. I detta ingår en säkerhetsplan, planen visar hur du tänkt arbeta.
Om du arbetar agilt och ändrar ditt arbetssätt i nya sprintar så ändrar du din säkerhetsplan.Det samma gäller annan dokumentation t ex ”Statement of Applicability”. Var gång du driftsätter en ny release måste det skapas nya säkerhetsbevis. Detta riskerar att skapa stora mängder arbete med dokumentation.
I DevSecOps arbetar du kontinuerlrigt med arkitektur, krav och säkerhet. Om du arbetar modellbaserat kan du kontinuerligt bygga grundenför den dokumentation som krävs för att följa olika standarder.
Genom att bygga modeller av säkerhetsdokumenten så kan du effektivisera arbetet. Du kan automatiskt skapa all dokumentation. På detta sätt kan du kontinuerligt planera och sköta riskahantering m m.
Att trycka in ISO 27001 i en organisation stöter på problem. Som beskrivet ovan är ISO 27001 en iterativ PDCA-process, precis som agila ramverk.
Ension har utvecklat en metod där du låter det i ISO 27001 obligatoriska revisionsarbetet driva ett agilt införande där du nyttjar tanken med MVP för att ta dig mot certifiering.
Ension har sammanställt en presentation att använda som en introduktion till informationssäkerhet och agilt arbete. ISO 27001 och SAFe. Bilderna som pdf är länkade i bilden.
Hur du i detalj bygger och implementerar metodik för säkerhet ligger utanför scoopet för den här artikeln. Ension hjälper dig gärna, se säkerhetsexpert.