BSIMM (Building Security In Maturity Model), yüzlerce kurumun yazılım güvenliği programında fiilen ne yaptığını gözlemleyip bu faaliyetleri kataloglayarak oluşturulan tanımlayıcı bir olgunluk modelidir. Kurumlara ne yapmaları gerektiğini söylemek yerine, sahada gerçekten yapılanı ölçer ve bir kuruma kendini benzer sektördeki firmalarla kıyaslama zemini sunar.

BSIMM, olması gerekeni buyuran bir standart değil, kurumların gerçekte yaptığını gözlemleyip ölçen bir aynadır.

Tanımlayıcı Modelin Anlamı

BSIMM’i çoğu çerçeveden ayıran nokta, öngörücü değil betimleyici oluşudur. İçeriği, araştırmacıların belirli aralıklarla katılımcı kurumlarla yaptığı görüşmelerden derlenir ve her yeni sürüm, o dönemde yaygınlaşan uygulamaları yansıtır. Böylece bir faaliyetin modelde yer alması, onun teorik olarak iyi olmasından değil, olgun programlarda yaygın biçimde gözlemlenmesinden kaynaklanır.

Yapısı

Model, faaliyetleri dört ana alan altında düzenler: yönetişim, istihbarat, güvenli geliştirme çemberi ve dağıtım. Bu alanlar on iki uygulamaya, uygulamalar da her biri belirli bir olgunluk seviyesine yerleştirilmiş somut faaliyetlere bölünür. Bir kurum kendi yaptıklarını bu haritaya işaretleyerek hangi alanlarda güçlü, hangilerinde zayıf olduğunu görsel bir profil olarak çıkarır.

SAMM ile Karşılaştırma

BSIMM sık sık OWASP SAMM ile birlikte anılır, çünkü ikisi de yazılım güvenliği olgunluğunu ölçer ama zıt felsefelerden hareket eder. SAMM öngörücüdür ve bir kuruma hedeflemesi gereken uygulamaları reçete eder; BSIMM ise mevcut durumu betimler ve akranlarla kıyas sunar. Birçok kurum ikisini birlikte kullanır: nereye gideceğini SAMM ile planlar, nerede durduğunu BSIMM ile ölçer.

Geliştirme Döngüsündeki Yeri

BSIMM’in ölçtüğü faaliyetlerin büyük kısmı, kodun tasarımdan dağıtıma kadarki yolculuğuna güvenliği yerleştirmeyi konu alan Güvenli yazılım geliştirme yaşam döngüsü pratikleriyle örtüşür. Model, bu pratiklerin tek tek varlığından çok, kurum genelinde ne kadar yerleşik ve tekrarlanabilir olduğunu değerlendirir.

Aynı olgunluk mantığı yalnızca yazılıma değil, güvenlik operasyonlarına da uygulanır; bir SOC’un yeteneklerini ölçen SOC olgunluk modeli benzer bir kıyaslama zemini kurar. Kurumların güvenlik operasyonlarını bu tür modellerle ölçüp adım adım geliştirmesine SOC olgunlaştırma çalışmalarımızla destek oluyoruz.