Rozšíření agilní metodiky Scrum o praktiky řízení bezpečnosti

Kristýna Strunecká

Bachelor's thesis

Extending Scrum Agile Methodology by Security Practices

Abstract:

Popularita agilních metodik v oblasti vývoje software je vysoká kvůli jejím přednostem, kterýmijsou flexibilita, orientace na zákazníka a průběžné dodávky hotového produktu. Tradičnímetody řízení bezpečnosti, z nichž většina vznikla v době vodopádového paradigmatuvývoje, nejsou vždy jednoduše aplikovatelné v prostředí iterativního vývoje. Cílem práce jeidentifikovat metody, které jsou kompatibilní s agilní metodikou Scrum. Tato práce analyzujerůzné metody zajištění bezpečnosti v průběhu vývoje software a možnosti jejich využití v agilním prostředí. Jejich využití zvyšuje bezpečnost vývoje a podporuje efektivitu procesů.Dílčím cílem práce je analyzovat způsob identifikace hrozeb, sběru bezpečnostních požadavkůa možnost automatizace těchto činností a jejich uplatnění v iterativním způsobu vývoje. Automatizaceje důležitá zejména pro DevOps týmy, které se vyznačují krátkým release cyklem,který by provádění manuálně vykonávaných činností ani neumožnil. Práce se rovněž zaměřujena volbu metod pro zajištění bezpečnosti s ohledem na velikost rizika napadení vyvíjenéaplikace, velikosti investice do zabezpečení a efektivitu procesů. Tyto faktory jsou zohledněnypři návrhu rozšíření metodiky Scrum o metody zajištění bezpečnosti, který je v práci označenýjako Scrum Security Extension (SSE). Použitelnost tohoto rozšíření je ověřena pomocírozhovorů s lidmi, kteří mají zkušenosti s agilním vývojem a řízením bezpečnosti v prostředívelkých společností.

Abstract:

Agile methodologies are popular due to many advantages such as flexibility, customer orientationand continuous delivery of products. Traditional methods of security managementoriginated largely during the era of waterfall development paradigm and they cannot be readilyapplicable to incremental methods of software development. This thesis aims to identifythe methods that are suitable for Scrum agile framework. Their use enhances security indevelopment and supports effective processes. One of the objectives is to analyse the way ofthreat identification, security requirements identification, and the automation of these processesfor use in iterative development. Automation is especially important for DevOps teamswith short release cycles that does not allow for time-consuming manual activities. The thesisalso explores the selection of methods of security assurance with respect to the risk of theapplication being targeted by attackers, investments into security and process effectiveness.These factors are taken into account in the proposal of Scrum Security Extension (SSE),which adds security controls to the Scrum framework. The usability of this extension was verified by interviews with people who have experience with agile development and security management in the large corporations.

Keywords

agilní vývoj, bezpečnost, rozšíření, Scrum, automatizace

Keywords

agile development, automation, security, extension, Scrum

Language used: Czech

Date on which the thesis was submitted / produced: 18. 9. 2019

Thesis defence

• Date of defence: 18. 6. 2020
• Supervisor: Michal Doležel
• Reader: Alena Buchalcevová

Vysoká škola ekonomická v Praze

Bachelor programme / field:
Aplikovaná informatika / Aplikovaná informatika