💥 OpenSSF Scorecard — инструмент здоровья OSS-проектов #опытэкспертов

Материалом поделился Виктор Бобыльков, директор по кибербезопасности MWS Cloud, в рамках образовательного курса «Директор по кибербезопасности 8.0».

При выборе Open Source-компонента многие команды смотрят на популярность проекта, количество звезд на GitHub или активность сообщества. Но этих критериев недостаточно для оценки рисков.

OpenSSF Scorecard — инструмент, который позволяет автоматически оценить безопасность Open Source-проекта и получить его «балл здоровья». Он автоматически анализирует проект через GitHub API и оценивает его по 18 проверкам в трех категориях:

1. Практики безопасности проекта (Holistic Security Practices)
2. Риски исходного кода (Source Code Risk)
3. Риски процесса сборки (Build Process Risk)

Среди критериев оценки:

1. Защищена ли основная ветка (Branch Protection)
2. Проводится ли обязательное code review
3. Зафиксированы ли зависимости (Pinned Dependencies)
4. Подписываются ли релизы (Signed Releases)
5. Используется ли статический анализ кода (SAST)
6. Есть ли открытые и неустраненные CVE

По результатам формируется итоговый балл от 0 до 10.

💥 Как использовать OpenSSF Scorecard в работе CISO?

1. Включать минимальный порог Scorecard в политику использования Open Source
2. Проверять новые зависимости перед включением в стек
3. Регулярно отслеживать изменение баллов у уже используемых компонентов
4. Использовать публичные дашборды Scorecard для быстрой проверки
5. Для внутренних OSS-проектов компании — внедрить Scorecard как KPI команд разработки
6. Для критичных вендоров — запрашивать Scorecard в RFI/RFP

Многие команды разработки сами публикуют бейджи OpenSSF Scorecard для своих проектов и используют их как показатель зрелости процессов безопасности.

Важно понимать не только какие инструменты использовать, но и как принимать решения с учетом требований регуляторов и собственной ответственности.

Именно этим вопросам посвящен третий модуль программы «Директор по кибербезопасности 8.0».

Программа модуля доступна в записи. Изучайте её на сайте и присоединяйтесь к обучению 🙌🏻

#ДиректорПоИБ