System
Informationssäkerhet och säker utveckling
Säker kod från första commit
Säker utveckling är de aktiviteter och kontroller som byggs in i alla leveransprojekt för att säkerställa att lösningen redan vid go-live uppfyller säkerhets-, integritets- och efterlevnadskrav. Säkerhet kan inte läggas till efteråt. Det är jämförbart med hur tillgänglighet både är en specialiståtagande och ett inbyggt kvalitetskrav i all utveckling.
Vad ingår
- Hotmodellering enligt STRIDE eller motsvarande
- Säkerhetsarkitektur, autentisering, behörighet, kryptering, loggning, audit trail
- Secure coding review, SAST, beroendegranskning, hemligheter i kod
- SBOM-generering enligt CycloneDX eller SPDX (CRA-krav)
- Kryptografisk signering av artefakter (sigstore/Cosign)
- Säkerhetsdokumentation som följer leveransen och blir kundens egen vid handover
- KLASSA-klassning som styr nivå av kontroll per uppdrag
Vanliga frågor
- KLASSA är SKR:s ramverk för säkerhetsklassning av information i offentlig sektor. Vi använder KLASSA-resultatet för att kalibrera nivå av kontroll per uppdrag, högre klassning, fler granskningspunkter, mer dokumentation.
- Software Bill of Materials, en strukturerad lista av alla mjukvaru komponenter i en applikation. CRA kräver SBOM för programvara med digitala element från 11 december 2027 (förordningen trädde i kraft 12 november 2024). Vi genererar SBOM automatiskt i bygg- pipelinen så den följer varje release. Läs [/kunskap/sbom-vad-och-varfor](/kunskap/sbom-vad-och-varfor).
- Ja, i leveransprojekt. Nivån av kontroll skalar med KLASSA-klassning och kontraktskrav, för en intern blogg är det lättare, för en e-tjänst i offentlig sektor mer omfattande. Säkerhetsarbetet är aldrig på/av, bara skalat.
Vad är KLASSA-klassning?
Vad är SBOM och varför behövs det?
Är säkerhetsarbetet alltid med?
Vill ni veta mer?
Boka ett kort samtal med en kundansvarig.