Кабы не было AppSec, или Что делать, когда он есть
В прямом эфире обсудим внедрение практики DevSecOps.
Казалось бы, что тут сложного? Берем отдел разработки и снабжаем его разнообразными инструментами, которые помогают выявлять бреши в безопасности. Но, как говорится, чем дальше в лес, тем больше дров. Задача, которая поначалу кажется легко реализуемой, обрастает таким количеством нюансов, что начинает пугать.
Приглашенные эксперты – практики с реальным опытом выстраивания DevSecOps в организациях из ТОП-10 банков и финтеха. Во время эфира мы разберем большую часть «подводных камней», обсудим, с чего же начать выстраивание процессов DevSecOps, как не бросить затею на полпути, кого стоит привлекать и вовлекать и как выбирать подходящие решения.
КЛЮЧЕВЫЕ ВОПРОСЫ ДИСКУССИИ:
- Выстраивание SSDLC. Существует ли «волшебная таблетка», или все зависит от индивидуальных особенностей процессов разработки?
- Кадры. Откуда брать специалистов AppSec, как найти общий язык с разработчиками и мотивировать их писать безопасный код? Кто должен оценивать уровень безопасности разрабатываемого приложения?
- Статический анализ кода. Как правильно выбирать решение SAST? На что обратить внимание в ходе пилотов и как оценить разные анализаторы кода, если ты еще «не в теме»?
- Кастомизация правил сканирования SAST. Это вообще кому-нибудь нужно? И если да, то зачем?
- Как определить необходимое количество и комбинацию инструментов безопасности для различных проектов? Как понять, что пора переходить к внедрению следующего инструмента, если внедрение происходит поэтапно?
- Практический опыт решения сложностей при внедрении безопасности в цикл разработки. Как это было?
Приглашенные эксперты:
|
|
Артем Бачевский, исполнительный директор в AppSec, Сбер Внедряет практики безопасной разработки в крупных масштабах (несколько тысяч систем и столько же команд разработки). |
|
|
Иван Елкин, Application Security Lead в компании Exness Последние несколько лет возглавлял направление Application Security в компании QIWI, внедрял SDLC практики, писал системы оркестрации сканеров. Также является сооснователем компании Vulners.com, занимающейся созданием систем безопасности в направлении vulnerability management. |
|
|
Федор Курносов, независимый эксперт Реализовал практику AppSec в ГПБ, начав с внедрения процесса практики OSS сразу в режиме блокирования библиотек и продолжив автоматизированным процессом сборки кода проверками SAST и SCA. Сейчас управляет детализацией применяемых практик в части подстройки под команды разработки. Под его руководством анализ кода используется в 37 продуктовых командах, ежедневно проходят проверки более 300 сборок. |
|
|
Алексей Гуськов, независимый эксперт Бизнес-партнёр, капитан топовой CTF-хак-команды с богатым опытом в суровой энтерпрайз безопасности, подтверждённым сотнями секьюрных продуктов. |
Модераторы:
|
|
Анна Архипова Ведущий менеджер по развитию продуктовых решений, ITD Group |