NIST’in Secure Software Development Framework (SSDF) proje sayfası, SP 800-218 SSDF Sürüm 1.1’i güvenli yazılım geliştirme için temel pratikler çerçevesi olarak sunuyor. SSDF’nin hedefi, yayımlanan yazılımdaki güvenlik açığı sayısını azaltmak, sömürüldüğünde oluşacak etkiyi sınırlamak ve açıkların kök nedenlerini önlemek. Çerçeve; BSA, OWASP ve SAFECode gibi kaynaklarla ilişkilendirilen pratikleri, risk temelli planlama ve sürekli iyileştirme için ortak bir dil hâline getiriyor.
SSDF 1.1 dört pratik grubuna dayanıyor
Çerçeve, Prepare the Organization (PO), Protect the Software (PS), Produce Well-Secured Software (PW) ve Respond to Vulnerabilities (RV) olmak üzere dört gruptan oluşuyor. Her pratik; görevler, örnek uygulamalar ve referans öğeleriyle ayrıntılandırılıyor. Bu yapı, güvenliği yalnızca kod inceleme aşamasına sıkıştırmıyor: Kuruluşun hazırlanmasından yazılımın korunmasına, güvenli üretimden yayımlanmış üründeki zafiyetlere yanıt verilmesine kadar yaşam döngüsünü kapsıyor.
Üretken yapay zekâ için ek profil devreye giriyor
Proje sayfası, üretken yapay zekâ ve çift kullanımlı temel modeller için SSDF’ye ek pratik ve notlar getiren SP 800-218A Community Profile’ı da final profil olarak öne çıkarıyor. Bu profil, temel çerçevenin yerine geçen ayrı bir geliştirme yöntemi olarak değil, belirli teknoloji risklerini SSDF bağlamında ele alan ek bir katman olarak okunmalı. SP 800-218 içindeki Executive Order 14028 madde 4e eşlemeleri ve Community Profiles bölümü, kuruluşların mevcut güvenli geliştirme iş akışını ilgili politika ve üçüncü taraf profilleriyle karşılaştırmasına yardımcı oluyor.