Sicurezza

Un meccanismo centralizzato di ispezione, compilazione e reporting del codice può offrire grandi vantaggi in termini di sicurezza e ridurre il time-to-market, liberando gli sviluppatori di applicazioni dalla scrittura di questa attività.

Considerate in che modo la vostra organizzazione segnala le vulnerabilità di sicurezza e i risultati dell'ispezione del codice. Ad esempio, i seguenti approcci alla segnalazione sono tipici:

• Interruzione della tubazione

• Messaggi di posta elettronica e dashboard

Se scegli di interrompere le fusioni e le distribuzioni a causa dei risultati della scansione di sicurezza, devi fornire due soluzioni:

• Un meccanismo chiaro per comunicare e risolvere il problema.

• Uno standard di scansione centrale reattivo in grado di tenere il passo con i cambiamenti degli standard Infrastructure as Code (IAC).

Immaginate uno scenario in cui la scansione di sicurezza centralizzata richieda erroneamente che un parametro della chiave di crittografia sia in un formato specifico per la creazione di una risorsa. (Una stringa Amazon Resource Name (ARN) è un esempio di risorsa.) Tuttavia, il team dell'applicazione deve creare dozzine di queste risorse e utilizza un for loop nell'IAc per trasmettere la chiave ARN. Ora, il requisito di sicurezza è soddisfatto, ma lo strumento di scansione non riflette accuratamente le buone pratiche di codifica. Questo approccio può causare ritardi nella distribuzione e frustrare gli sviluppatori.