В прямом эфире обсудим внедрение практики DevSecOps.
Казалось бы, что тут сложного? Берем отдел разработки и снабжаем его разнообразными инструментами, которые помогают выявлять бреши в безопасности. Но, как говорится, чем дальше в лес, тем больше дров. Задача, которая поначалу кажется легко реализуемой, обрастает таким количеством нюансов, что начинает пугать.
Приглашенные эксперты – практики с реальным опытом выстраивания DevSecOps в организациях из ТОП-10 банков и финтеха. Во время эфира мы разберем большую часть «подводных камней», обсудим, с чего же начать выстраивание процессов DevSecOps, как не бросить затею на полпути, кого стоит привлекать и вовлекать и как выбирать подходящие решения.
КЛЮЧЕВЫЕ ВОПРОСЫ ДИСКУССИИ:
- Выстраивание SSDLC. Существует ли «волшебная таблетка», или все зависит от индивидуальных особенностей процессов разработки?
- Кадры. Откуда брать специалистов AppSec, как найти общий язык с разработчиками и мотивировать их писать безопасный код? Кто должен оценивать уровень безопасности разрабатываемого приложения?
- Статический анализ кода. Как правильно выбирать решение SAST? На что обратить внимание в ходе пилотов и как оценить разные анализаторы кода, если ты еще «не в теме»?
- Кастомизация правил сканирования SAST. Это вообще кому-нибудь нужно? И если да, то зачем?
- Как определить необходимое количество и комбинацию инструментов безопасности для различных проектов? Как понять, что пора переходить к внедрению следующего инструмента, если внедрение происходит поэтапно?
- Практический опыт решения сложностей при внедрении безопасности в цикл разработки. Как это было?
Приглашенные эксперты:
- Артем Бачевский, исполнительный директор в AppSec, Сбер
- Иван Елкин, сооснователь компании Vulners.com
- Федор Курносов, независимый эксперт
- Алексей Гуськов, независимый эксперт
Модераторы:
- Анна Архипова, ведущий менеджер по развитию продуктовых решений, ITD Group
