VE VÝVOJI · SOUKROMÉ PILOTY SE PŘIPRAVUJÍ
Náprava zranitelností a bezpečnostní podklady
Nález, návrh opravy a ověřené nasazení jsou různé stavy. Bracemont vyvíjí postup, který je rozlišuje od prvního pozorování až po zkontrolovanou zprávu s podklady.
Probrat rozsah pilotu →Dohledatelný záznam pro kontrolujícího
Zpráva má každý nález spojit s revizí nebo prostředím, metodou ověření, pozorovanými podklady a omezeními posouzení. Nepotvrzení kandidáti zůstávají odděleni od potvrzených nálezů.
Užitečný záznam také vysvětluje rozhodnutí o nápravě: co se změnilo, kdo to zkontroloval a co nový test skutečně prokázal. Před sdílením musí být citlivý obsah redigován.
Od návrhu k novému testu
Bracemont vyvíjí návrhy nápravy a úzce zaměřené pull requesty pro opravy závislostí. Každou opravu kontroluje a slučuje člověk; výstup modelu neopravňuje k merge.
Nový test musí určit revizi, prostředí a provedenou kontrolu. Úspěšné CI ani merge nedokazují nasazení opravy do produkce a opakovaná kontrola zdrojového kódu neprokazuje odstranění zranitelnosti v běžící aplikaci.
Co připravit pro pilot
Určete původní nález, dotčenou revizi, navrženou změnu a osoby oprávněné ke kontrole a schválení. Dohodněte, jaké podklady příjemce potřebuje a jaké prostředí lze použít pro nový test.
Externí sdílení vyžaduje schválení přesné zprávy a jejího příjemce člověkem. Registrace zájmu o pilot neopravňuje ke zveřejnění nálezů ani klientských informací.
Dostupnost a omezení
Postup je ve vývoji a dostupnost pilotů není potvrzena. Syntetické ověření jednoho kroku nedokládá dokončený cyklus nápravy u klienta.
Zpráva je podkladem pro posouzení, nikoli certifikací nebo zárukou souladu. Mapování kontrol je v pozdějším plánu; Bracemont netvrdí, že zákazníka certifikuje nebo nahrazuje auditora.