В феврале появилась свежая версия Secure Software Standard (скачать можно по ссылке).
Данная реализация идет на замену стандарту PA DSS, который будет актуален до 2022 года.
Краткое ознакомление позволило сформулировать перечень требований, которые указаны ниже.
Прописанные навыки для каждой роли.
Критерии оценки компетенций персонала.
Ежегодная проверка компетенций.
Подтверждение соответствия требованиям отраслевых стандартов.
Процессы и документация.
Стратегия безопасной разработки ПО.
Анализ кода.
Наличие показателей эффективности критериев анализа мер безопасности.
Критичные активы выделены и описаны.
Описание рисков и угроз.
Анализ решений с открытым исходным кодом, если применимо.
Регулярное тестирование, анализ и устранение уязвимостей.
Анализ ПО, влияние изменений.
Поддерживать версионность и контролировать целостность.
Безопасность данных.
Безопасная конфигурация ПО.
Наличие каналов и процессов отслеживания угроз.
Пентетсы и Баг Баунти
SO/IEC 27034 Application Security Guidelines • Building Security In Maturity Model (BSIMM) • OWASP Software Assurance Maturity Model (OpenSAMM) • NIST Special Publication 800-160 and its Appendixes
Иное.
Как видно, есть достаточно пересечений как с PA DSS так и с PCI DSS, но в несколько более широком ключе процессов ориентированных на разработку.
){kind=link}