Yleiskuvaus
Tietoturva ja tietosuoja tuodaan tuotekehitysprosessiin tekemällä ne näkyväksi työnohjauksessa. Yleisellä tasolla tärkein perusperiaate on esitetty kuvassa 2.
Kuva 2: Tietoturvan ja tietosuojan tuominen tuotekehitysprosessiin
Tietoturva- ja tietosuojatyö alkaa kokonaisketterän kehitysmallin portfolio- ja suunnittelutasoilla. Näillä tasoilla luodaan edellytykset suurimpien tietoturvavaatimusten noudattamiselle.
Uhkamallinnus
Valtaosa käytännön suunnittelun ja toteutuksen tietoturva- ja tietosuojatyöstä tuodaan näkyväksi tuotteen tehtävälistalla (product backlog). Tärkein työtehtävä on uhkamallinnus (threat modelling), jonka avulla yleensä löydetään suurin osa muista tarpeellisista tietoturva- ja tietosuojatehtävistä.
Uhkamallinnuksen tarve sidotaan yksittäisiin tuotteen tehtävälistan tehtäviin. Suositeltava tapa on valita tiimille sopiva tehtäväkoko, johon uhkamallinnus liitetään aina oletusarvoisesti erillisenä tikettinä tai hyväksyntäkriteerinä. Tuotetiimi tai tuoteomistaja suorittaa tarvearvioinnin (triage) ja voi sen tuloksen perusteella tehdä päätöksen, että uhkamallinnusta ei suoriteta. On suositeltavaa, että tuotetiimi tai tuoteomistaja dokumentoi päätöksen esimerkiksi kommenttina tikettiin.
Tuotetiimi suorittaa uhkamallinnuksen ja lisää sen perusteella löytyneet uudet tietoturva- ja tietosuojatehtävät tehtävälistalle.
Kirjaamisen lisäksi tuotetiimi luokittelee (label) löydetyt tietoturva- ja tietosuojatehtävät yhteisesti sovittuihin luokkiin, ja linkittää ne siihen toteutustehtävään, johon ne liittyvät. Näin organisaation tietoturva- ja tietosuojahenkilöstö voi seurata tietoturva- ja tietosuojatöiden kertymistä ja etenemistä. Lisäksi mahdollisessa auditointitilanteessa on helpompi löytää todisteet tehdystä työstä, kun ne on luokiteltu ja linkitetty.
Tärkeimmät käsikirjassa mainitut tietoturva- ja tietosuojatehtävät ovat uhkamallinnus, tietosuojavaikutusten arviointi, tietoturva-arkkitehtuurin ylläpito ja tietoturvatestaus. Näiden tehtävien välinen suhde on tiivis. Käytännössä kaikissa tehtävissä on yhteisiä osa-alueita, ja ne hyötyvät toisistaan näiltä osin - sama työ tehdään vain yhden kerran. Tärkeimpien tietoturva- ja tietosuojatehtävien välinen suhde on esitetty kuvassa 3.
Kuva 3: Tärkeimpien tietoturva- ja tietosuojatehtävien välinen suhde