Защищаем конвейер. Четыре столпа безопасности
В ИТ очень любят автоматизацию и ускорение. Особенно, если эти автоматизации позволяют на самом деле ускорить Time to Market, не отставать от конкурентов (а то и обгонять их) и свести к минимуму влияние человеческого фактора. Одним из способов автоматизации, если мы говорим о разработке и развитии ПО, является использование конвейера — автоматизированной последовательности шагов, которые проходит код, попадая из заботливых рук разработчика на целевые окружения. Именно конвейер проводит код через все нужные проверки, автоматически сообщает о найденных ошибках. То есть скорость, масштабируемость и прозрачность — все это сильно помогает и дисциплинирует. С точки зрения безопасности у людей порой немного смещается фокус — все смотрят на сам программный продукт, выходящий из этого конвейера (на его стабильность, надежность и уровень ИБ), но при этом забывают про сам конвейер . А как на самом деле с ним дела? Почему мы в нем настолько уверены? Можем ли мы точно дать гарантию, что наш собственный производственный узел нас нигде не обманет и не станет фактором компрометации? Как вы поняли, сегодня поговорим о безопасности конвейера. Меня зовут Владимир Ковтунов, я начальник отдела безопасности разработки и автоматизации в департаменте ИБ Группы Rubytech. Под катом — четыре столпа, на которых мы строим ИБ своих конвейеров для B2G-проектов, и общие советы, которые пригодятся вам, если вы занимаетесь аналогичными вещами.
https://habr.com/ru/companies/rubytech/articles/1095416/
#информационная_безопасность #гост #b2g #конвейер #circleci #несанкционированный_доступ #codecov #solarwinds #ролевой_доступ