Проблемы построения безопасной разработки (HelloConf MTS-2020)

Короткая ссылка: 202002076

Докладчик

Практики DevSecOps, что они могут дать компании и продуктовой команде.

Чем управляет информационная безопасность и чем она занимается.

Какие модели организации взаимодействия ИБ и команд.

DevSecOps это не модное слово, а необходимая реальность. Забота о безопасности потребителя всё больше ложиться на компании разрабатывающие информационные продукты. Сервисы и продукты не учитывающие ИБ при построении и обслуживании своих решений не будут востребованы потребителями.

Одна голова хорошо, а 3 лучше. Тесное взаимодействие разработки, безопасности и эксплуатации позволяют предотвращать уязвимости на самых ранних стадиях производства, снижая стоимость владения продукта и улучшая пользовательский опыт, а значит и прибыль.

Делай хорошо, плохо — само получиться. На всём процессе производства ПО необходимо заниматься устранениям уязвимостей:
устранение уязвимостей в коде,

выявление и устранение закладок,

устранение уязвимостей в сторонних компонентах (уязвимые библиотеки и тд),

скупка уязвимостей,

использование deploy dmz для доставки программ конечному пользователю,

развертывание в prod без уязвимостей в окружении и конфигурации,

защита процесса производства.

Как можно организовать DevSecOps — рассмотрим DevSecOps с трех сторон:
Как общекомандный сервис

DevSecOps внутри команды разработки

DevSecOps: как сервис для PaaS

Где взять столько сотрудников безопасности? Роль Security Champion — интерфейс в продуктовую команду по ИБ! Создание такой роли внутри команды, позволит снизит вложения компании в ИБ

Бизнес диктует свои правила развития методологий разработки ПО заключающиеся в ускорении поставки и повышении качества своих продуктов. Методологии DevSecOps позволяют объединить преимущества быстрой выкатки и безопасности, оптимизировать затраты компании, улучшить пользовательский опыт.