Secure development life cycle

Wat we doen

Elke regel code doorloopt: Ontwerp – Ontwikkeling – Test – Acceptatie – Productie.

Security zit in elke stap:

• Ontwerp – security by design met OWASP Top 10 als referentiekader; beveiligingseisen staan in de IB-paragraaf van de PRD (zie 8.26). Geen echte persoonsgegevens in ontwerpen: waar persoonsgegevens zichtbaar zullen zijn wordt dummy-data gebruikt. Ontwerpen staan in Figma; alleen goedgekeurde Figma-plug-ins.
• Ontwikkeling – feature branches, Docker-containers (local = live), style guides en secure coding verplicht (zie 8.28). Secrets horen niet in Git: GCP Secret Manager, Kubernetes Secrets (oudere projecten) of GitHub Secrets (CI).
• Test – geautomatiseerde tests in GitHub Actions; Dependabot voor dependencies. Code review verplicht voor elke merge naar beschermde branches.
• Acceptatie – staging-omgeving voor klantacceptatie. Apps: TestFlight (iOS) / Google Play testing.
• Productie – pas na expliciete goedkeuring van de product owner. Deployment via GitHub Actions, ook voor mobiele apps naar de stores.

Branch protection

• feature/* – PR naar develop, code review verplicht
• develop – protected, PR + review door geautoriseerde developer
• release/* – alleen version bumps, review door DevOps
• main – protected, alleen via release/hotfix PR, merge door DevOps na review (per discipline kan de branchstrategie afwijken; main is de standaard)
• hotfix/* – spoedfix vanaf main, review door DevOps

Omgevingsscheiding

Strikt gescheiden: lokaal, test, acceptatie/staging, productie. Docker zorgt voor consistentie (local = live). Nooit echte data in test/acceptatie.

Testbeleid

• Elk endpoint: minimaal 1 test
• Kritieke business logic: alle cases afgedekt
• Bugfixes: bug wordt testcase (regressiepreventie)
• Afwijkingen alleen met goedkeuring directie

NEN7510 zorgspecifiek

• Z4 — Medische apparatuur: beoordeling medisch hulpmiddel en kick-off-checklist voor zorgprojecten
• Z5 — Elektronische uitwisseling zorggegevens: beveiligde API-integraties met zorgstandaarden

Gaps

• Secrets in Git worden alleen door PR-review tegengehouden; GitHub secret scanning met push protection staat niet aan (verbeteractie ISMS-385).
• Security scanning in de pipeline is beperkt tot Dependabot; geen SAST (ISMS-380).
• De kick-off-checklist voor zorgprojecten wordt nog niet ingevuld (zie 5.08, Z4; ISMS-389).

Bewijs

• GitHub: branch protection rules en PR-reviews per repository
• GitHub Actions-workflows per repository
• Docker-configuratie per project-repository
• PRD per project (IB-paragraaf)