Uygulama Güvenliği Programı ve DevSecOps
Statik ve dinamik analiz, yazılım bileşen analizi ve güvenli kod incelemesi, kurumun geliştirme sürecine yerleştirilir. Araç seçimi, CI/CD entegrasyonu, bulgu yönetimi ve ekip eğitimiyle birlikte, sürdürülebilir bir uygulama güvenliği programı kurulur.
Kime Uygun
- Kendi yazılımını geliştiren ve güvenliği geliştirme sürecinin bir parçası hâline getirmek isteyen kurumlar
- Güvenlik araçlarına sahip olmakla birlikte bunları etkin kullanamayan veya çok sayıda yanlış pozitifle uğraşan ekipler
- Uygulama güvenliği sorumluluğunun tek bir kişide toplandığı organizasyonlar
Kapsam
- Mevcut araçların, süreçlerin ve ekip yapısının analiz edilmesi
- Statik analiz (SAST), dinamik analiz (DAST) ve yazılım bileşen analizi (SCA) araçlarının seçilmesi ve CI/CD hattına entegre edilmesi
- Güvenli kod incelemesinin yürütülmesi
- Tehdit modelleme çalışmalarının yapılması
- Güvenlik şampiyonları programının kurulması ve geliştirici eğitimlerinin verilmesi
- Bulgu yönetimi sürecinin tasarlanması ve sonuçlarının izlenmesi
Yöntem
Çalışma Aşamaları
Analiz
Geliştirme akışı, kullanılan araçlar ve mevcut bulgu yönetimi süreci incelenir.
Tasarım
Araç zinciri, kalite kapıları ve bulgu akışı tasarlanır; yanlış pozitif oranı daha bu aşamada sınırlandırılır. Kalite kapıları, geliştirme hızını düşürmeyecek biçimde kurgulanır ve kademeli olarak devreye alınır.
Uygulama
Entegrasyonlar, triyaj kuralları ve ekip eğitimleri hayata geçirilir. Uygun görülen durumlarda triyaj için yapay zekâ destekli bir ajan devreye alınır.
Ölçüm
Düzeltme süresi, bulgu eğilimi ve kalite kapısı geçiş oranı gibi ölçütler tanımlanır ve program bu ölçütler üzerinden izlenir.
Teslim Edilenler
- Program tasarımı ve uygulama yol haritası
- Kurulmuş ve çalışır durumda araç zinciri
- Bulgu yönetimi süreci ve ölçüm panosu
- Geliştirme ekipleri için eğitim
Süre
Temel kurulum dört ila sekiz hafta sürer; program yönetimi desteği istenirse periyodik hizmet olarak devam eder.
Kapsam Dışı
- Uygulamaların sızma testi bu çalışmanın kapsamı dışındadır; istenirse ayrı bir çalışma olarak planlanır.
- Bulguların giderilmesi geliştirme ekipleri tarafından gerçekleştirilir; uygulama çalışması bu çalışmanın kapsamı dışındadır.
İletişim
Talebinizi Değerlendirmekten Memnuniyet Duyarız
İhtiyacınızı iletişim formu veya e-posta ile iletebilirsiniz; kapsamın henüz netleşmemiş olması bir engel değildir. Her talep doğrudan kurucu tarafından değerlendirilir ve iki iş günü içinde yazılı olarak yanıtlanır. İlk görüşmede ihtiyaç dinlenir, kapsam ve yöntem birlikte belirlenir.