DevSecOps — уже не тренд, а необходимость
Растет количество атак
Более 20% кибератак связаны с уязвимостями веб-приложений. Финансовые потери от инцидентов составляют десятки миллионов рублей, а репутационный ущерб сохраняется долгие годы.
Усиливается контроль
Требования по безопасной разработке прописаны в нормативных документах ФСТЭК для компонентов ГИС (государственных информационных систем), объектов КИИ, а также в нормативах Банка России.
Увеличиваются штрафы
Проблема веб-сервисов — утечки персональных данных пользователей. Штрафы за первую утечку — от 3 млн рублей, за повторную — от 20 млн.
DevSecOps позволяет решить комплекс проблем ИТ и ИБ
Как это работает
Безопасная разработка — это непрерывный процесс, который сопровождает все этапы работы над продуктом. Процесс не останавливается на выходе релизной версии: он продолжается в течение всего жизненного цикла продукта.
- Планирование — мы проводим анализ и предварительную оценку состояния безопасности, выбираем оптимальные инструменты и моделируем угрозы.
- Сборка — во время разработки проверяем код с помощью инструментов статического (SAST) и композиционного (SCA) анализа. Они помогают найти ошибки, уязвимости, сторонние библиотеки и компоненты, проблемы с лицензиями. На этапе подготовки ПО к запуску подключаем инструменты класса DAST, которые обнаруживают уязвимости в работающем приложении.
- Тестирование — кроме стандартных тестов сканируем уязвимости, проводим пентесты и регрессионное тестирование (повторно проверяем ПО на наличие ошибок в процессе внесения изменений и доработки). Используем фаззинг — передаем приложению неправильные или случайные данные.
- Развертывание и релиз — частично продолжает процессы предыдущего этапа: мы проверяем среды установки продукта, политики безопасности и конфигурации. Настраиваем WAF.
- Мониторинг — финальная стадия, здесь отслеживаем ошибки и проблемы с безопасностью. Проводим на регулярной основе после выпуска ПО.
Безопасная разработка позволяет бизнесу узнать об уязвимостях до того, как о них узнают злоумышленники
Запросить консультациюМы предлагаем
Построение процесса DevSecOps
Встроим ИБ в CI/CD процесс, трансформируем технологические процессы, интегрируем новые инструменты с существующими системами и настроим измеряемые метрики.
Построение центра компетенций DevSecOps
Поможем сформировать перечень мероприятий по безопасной разработке, разработаем регламенты, подготовим семинары для команды, поможем с обучением и внутренним маркетингом проекта среди разработчиков.
Анализ защищенности
Проведем общий анализ безопасности приложения и его сред, проведем пентест.
Оценку зрелости приложений и процессов
Оценим объем технологических и организационно-процессных практик, проанализируем зрелость приложений и процессов разработки при помощи модели CAF (Crosstech AppSec Framework), разработанной в нашей команде.
Архитектурный консалтинг
Поможем выбрать решения для развития существующих приложений и проектирования новых, а также развить подход к построению «экосистем продуктов».
Сертификацию цикла разработки
Поможем пройти аудит, разработать документацию, внедрить практики и гарантированно получить сертификат соответствия по ГОСТ 56939.
Наши инструменты
Внедряемые решения
Связанные решения
Запросить консультацию
