Как внедрить требования к безопасной разработке кода: опыт Контур.Staffcop
Безопасная разработка для Контур.Staffcop (системы расследования инцидентов внутренней инфобезопасности) — это не отдельная проверка перед релизом, а процесс, который команда постепенно встраивает в работу с кодом. С одной стороны, это связано с требованиями регулятора и подготовкой продукта к сертификации. С другой — помогает находить уязвимости раньше, до того как код попадёт в общую ветку, пройдёт все стадии разработки и дойдёт до пользователя.В команде уже тестируют инструменты для разных видов анализа: статического, композиционного, динамического, фаззинга и поиска секретов. Один из первых подробно разобранных этапов — пилот статического анализатора кода. Читать далее