Вчера на одном достаточно кулуарном мероприятии по ИБ общались с друзьями из разных продуктовых команд безопасности по поводу темы управления уязвимостями. Тема, конечно, очень большая и нас как вы понимаете в первую очередь интересовала область касаемая уязвимостей в пакетах образов контейнеров.

Если раньше можно было часто слышать про zero tolerance к уязвимостям, то теперь эта риторика постепенно сходит.

Давайте рассмотрим такой самый распространенный случай (разработчики не дадут соврать):
1) Обновили feed - в проде есть critical.
2) Есть задача обновиться на последнюю версию.
3) При обновлении выясняется, что там несколько high или другой critical.

И вот эту ситуацию решает кто как с учетом как у них работают или не работают security gates и механизмы принятия рисков ...

Давайте в комментариях поделимся своим опытом и своим взглядом на эту ситуацию.

P.S. С удивлением для себя открыл, что некоторым проще жить с той багой что уже на проде, чем как-то обходить security gates и выкатывать новое.

P.S.S. А сегодня будем рады пообщаться в рамках CISO Forum 2024 ;)