Сегодня мы выступили на ТБ форуме - наш инженер DevSecOps Натали Дуботолкова поделилась опытом перехода «Базиса» на безопасную разработку в рамках дискуссии «От сертификации СЗИ к сертификации разработки безопасного программного обеспечения (РБПО)».

Натали рассказала, как методология DevSecOps позволила автоматизировать контроль ИБ разработки и сократить время реагирования на проверку. Важным этапом развития практик РБПО в «Базис» стал переход от применения сканеров уязвимостей с открытым исходным кодом к отечественным альтернативам. В этом «Базис» опирается на продукты Института системного программирования РАН. Мы используем их инструменты - статического и динамического анализа и фаззинга Svace и Crusher, а также осваиваем Natch - инструмент определения поверхности атаки.

«Найти небезопасный код - это одна проблема, более сложная задача - понять возможность эксплуатации определенной уязвимости, рассчитать вероятные векторы атак и последствия. В этом нам помогают отечественные решения», - рассказала Натали Дуботолкова.

Как активный участник сообщества Центра компетенций ФСТЭК мы выступаем за внедрение процессов и инструментов РБПО. С DevSecOps обеспечение безопасности становится частью процесса, а не финальным этапом, что повышает надежность ПО. Для «Базис» это особенно важно, поскольку мы обеспечиваем работу более 95% процессов в Единой государственной облачной системе. Более 120 государственных информационных систем и сервисов, а также более 700 компаний – от крупных корпораций до малых и средних предприятий – уже используют наши решения.

https://basistech.ru