Как шаг за шагом организовать процесс внедрения статического анализа по ГОСТ Р 71207—2024: рассказываем простыми словами с отсылками на соответствующие пункты стандарта. Статья будет полезна компаниям, планирующим внедрять разработку безопасного ПО (РБПО) или проходить сертификацию по методике ВУ и НДВ ФСТЭК России.
Инструмент внедрили за неделю, а правила приёмки не написали вовсе. Это не преувеличение. За последний год картина в большинстве команд стала одинаковой: ИИ-ассистент стоит почти у каждого разработчика, его код ежедневно уходит в продукт, а общего стандарта «что считать принятым» у компании нет. Проверять успевают не всё, т.к. изменений стало в разы больше, а ревьюеров […]
Безопасность, добавленная в конце разработки, напоминает попытку встроить фундамент в уже построенный дом. Приходится ломать стены, чтобы проложить проводку, и платить за исправление ошибок в десятки раз больше, чем при их предотвращении. Seberd IT Base Почему проверка в конце жизненного цикла больше не работает
Часть 1 — С чего всё началось (и немного теории) Введение
DevSecOps часто воспринимают как набор инструментов, которые можно просто добавить в CI/CD. На практике же это не только техника, но и изменение процессов, ролей, метрик и подхода к безопасной разработке. При внедрении DevSecOps регулярно можно увидеть одну и ту же картину: компания решает «внедрить DevSecOps», покупает SAST-инструмент, встраивает его в пайплайн — и через месяц […]
Привет, Хабр! Меня зовут Натали Дуботолкова, и я старший инженер по разработке безопасного программного обеспечения в Basis. Компания занимается разработкой средств виртуализации – как классической, например, VDI, так и контейнерной. Моя же задача заключается в создании и поддержании процессов безопасной разработки наших продуктов. Расскажу о том, с чего мы начинали погружение в DevSecOps, какие алгоритмы […]