DevSecOps
Bezpečnost jako součást vývoje, ne kontrola před vydáním.
Zabudujeme kontroly do vývojového řetězce tak, aby se zranitelnosti ukázaly už při prvním commitu a nasazení proběhlo bez ručního odklikávání.
Co dodáváme
Kontroly ve vývojovém řetězci
Analýza kódu, závislostí, tajemství a kontejnerů. Výsledky přímo vývojářům, ne do PDF.
Bezpečný provoz
Zabezpečení Kubernetes, pravidla jako kód, sledování za běhu.
Dodavatelský řetězec
Soupis komponent, podepisování artefaktů, kontrola licencí. Podklad pro NIS2 i pro zákazníky.
Kdy to dává smysl
Bezpečnostní kontrola brzdí vydání
Dny čekání před každým vydáním.
Zákazníci chtějí soupis komponent
A vy ho skládáte ručně.
Kontejnery a cloud bez pravidel
Každý tým nasazuje po svém.
Chcete bezpečnost měřit
Ne o ní jen mluvit.
Jak postupujeme
Zjistíme
Přehled současného řetězce, model hrozeb, porovnání s dobrou praxí.
Navrhneme
Postup po krocích: nejdřív to, co přinese nejvíc za nejméně práce.
Nasadíme
Nejdřív kontroly tajemství a závislostí, potom statická a dynamická analýza, podepisování a pravidla.
Provozujeme
Měsíční přehled metrik, třídění nálezů, cvičení a školení vývojářů.
Otázky
Zpomalí to vývoj?
Dobře nastavené kontroly běží souběžně se sestavením a vývoj téměř nezdrží. Odpadne ruční kontrola před vydáním.
Odkaz na tuto otázkuJaké nástroje používáte?
Nezávisle na výrobci. Pro menší týmy otevřené nástroje, pro větší komerční. Vybíráme podle technologií, které používáte.
Odkaz na tuto otázkuKolik to stojí?
Zavedení je projekt s pevnou cenou, provoz nástrojů se počítá na vývojáře a měsíc.
Odkaz na tuto otázkuSouvisí to s NIS2?
Ano. Zákon vyžaduje řízení rizik dodavatelského řetězce a soupis komponent je jeho základ.
Odkaz na tuto otázkuSouvisející obsah
Chcete to probrat?
Probereme to s někým, kdo to dělá. Bez prezentace, s konkrétními otázkami k vašemu prostředí.
Domluvit konzultaci