Please enable JavaScript.

Coggle requires JavaScript to display documents.

Процессы DevSecOps, DevSecOps, Новых пользователей можно сразу приучать к…

- - - - Оптимизация языков
        
        Отключение лишних правил
        
        На основе критичности (смысла)
        
        На основе МУиН
        
        Пересечение с другими инструментами
        
        Доработка существующих
        
        Определение языков, требующих тюна
        
        Определение цели тюна
        
        Формирование выборки проектов для тестов
        
        Онбординг кверей своими силами
        
        Онбординг кверей силами вендора
        
        Выключение ненужных правил (устарело, неэффективная логика, дублируются)
        
        Выключение правил по МУиН
        
        Тестирование кверей на ПРОМе
        
        Принятие решения о результатах тестирования
        
        Формирование пресетов при необходимости
        
        Использование VCS для отслеживания изменений кверей
        
        Снижено число FP инструмента, повышена точность инструмента для TP
        
        Уменьшен техдолг команд
        
        Снижение нарузки на линии поддержки
        
        Улучшение репутации команды AppSec
        
        Формирование областей (языков), которые можно покрыть новыми инструментами
    - - Формирование списка языков/технологий, которые не покрываются/неэффективны используемыми инструментами или выработка решения о пилоте в рамках проверки чего-то нового с для сравнения
        
        Выбор инструментов для пилота
        
        Выборка проектов для пилотов
        
        Подготовка инфры
        
        Пилот, анализ результатов
        
        Повышения эффективности нахождения TP
        
        Снижение техдолга
    - - Формирование кейсов
        
        Передача вендору,
        контроль, отчетность
        
        Формирование кейсов в рамках онбординга
        
        Получение исходного кода с FP
        
        Отправка вендору и установка совместно сроков обработки
        
        Анализ обратной связи от вендора
        
        Обратная связь от вендора по инструменту: улучшение, отключение кверей
        
        Потенциально снижение FP и увеличение TP
        
        Снижение нагрузки на команду AppSec по тюну кверей
        
        Инфраструктура для тестов
        (менеджеры, аудитор)
        
        Проработаны требования к нашей инфраструктуре
        
        Заведены заявки на доступы
        
        Получение/неполучение техники
        
        Более эффективное тестирование новых версий CheckMarx
        
        Тестирований наработок команды SAST у себя, а не на ПРОМе
  - - - Проверка SAST
        
        Выявление возможных
        нарушений
        
        Pentest/DAST
        
        Фиксирование, результаты
  - - - Проверка на правильность причины
        
        Доработка шаблона/формы по добавлению в исключения
        
        Возможно введение проверки на правильность исключения по отсутствию поддержки языка инструментом (+ требования, как проверять)
        
        Прозрачная статистика по исключениям и причинам
        
        Отстуствие "левых" команд в исключениях. Проверка команд, пытающихся подключиться, на правильность заявленной причины
    - - Проверка работы над дефектами
        
        Проработка плана работы над дефектами для команд, которые попали во временное исключение
        
        Проверка и контроль за триажом багов
        
        Уменьшение уязвимостей в ПРОМе. Команды, которые на данный момент не сканируются по причине временного исключения, проводят работу над дефектами
    - - Формирование требований, что из данного опросника надо, добавление новых требований при необходимости
        
        Редактирование опросника
        
        При автоматизации добавления в исключения проработать удобный формат получения данных от команд
        
        Снижение времени на анализ проблематики обращения
        
        При автоматизации снижение времени на добавления в исключения
  - - - Сокращение и упрощение лишних действий для работы AppSec
        
        Возможность реализовывать требуемые активности
- - - - Пользователи получают необходимые новости об изменениях в области AppSec и работе инструмента
  - - - Доработка шаблона в Сбердруг (введение типизации проблемы, единый шабон требуемых файлов для анализа)
        
        Уменьшение времени на анализ и установления проблемы обращения, запрашивание требуемых файлов
        
        Возможность собирать статистику по темам обращений
    - - Создание доски в Jira для тикетов по поддержке с необходимыми нам требованиями
        
        Настройка и введение ролевой модели
        
        Настройка доски под наши нужды
        
        Уменьшение времени на анализ и установления проблемы обращения, запрашивание требуемых файлов, упрощение коммуникации с командами, поскольку устранены мешающие факторы нынешней доски
    - - Проведение обучения для 1,2 линий
        
        Анализ заявок, которые, по мнению пользователей, неудовлетворительно сделаны
        
        Формирование областей, которые 1/2ые линии могут улучшить для повышения эффективности (по запросу)
        
        Подготовка примеров, проведение обучения, митапов
        
        Уменьшение вопросов и обращений от пользователей, снижение эскалаций
        
        Улучшение репутации команды AppSec
      - Взаимодействие поддержки с вендором
        
        Выявление знаний, сведений об инструменте, вопросов, которые могут быть полезны 2ой линии от вендора
        
        Заведение тикетов на вендоров
        
        Предоставление возможности взаимодействия вендора и 2ой команды поддержки при необходимости по вопросам сопровождения инструмента
        
        Команда поддержки накапливает базу знаний, глубже погружена в работу инструмента и эффективнее реагирует на инциденты/вопросы от пользователей
        
        Снижение затрат на передачу фактуры вендору
      - Передача части задач на 1,2 линии
        
        Выявление кейсов, с которыми пользователи обращаются в почту
        
        Анализ причин и проблематики, группировка
        
        Проработка групп, которые сейчас на 3ей линии и могут быть выполнены без ущерба качества 1ой линией и тех, которые по ошибкам приходят вместо 1ой линии на 3ю линию
        
        Передача на 1ую линию таких вопросов
        
        Уменьшение нагрузки на 3ю линии в области поддержки пользователей
    - - Выявление областей, которые могут быть автоматизированы при взаимодействии с SALM (например, скрипт по добавлению в исключения)
        
        Написание скриптов/внесение задач на команду SALM
        
        Определение эффективной среды выполнения (в случае скрипта)
        
        Тестирование и ввод функционала в эксплуатацию
        
        Доработка шаблонов обращений от пользователей под требуемый формат для скриптов
        
        Автоматизация однотипных действий
  - - - Проработка ОС и кейсов от пользователей каждый квартал
        
        Выявление наиболее выжных кейсов от команд с помощью: обратной связи от команд напрямую, тематик обращений, через отзывы в заявках, опросники и др. способами
        
        Возможное вынесение проблем, которые мы могли бы взять в работу на голосование команд, для выявления приоритетных задач
        
        Формирование бэклога и устранение проблем
        
        Уменьшение вопросов и обращений от пользователей, снижение эскалаций
        
        Улучшение репутации команды AppSec
  - - - Выявление наиболее критичных кверей (самописные) без описания
        
        Наполнение страницы полезной информацией (общая информация об узявимости, практики решения и, возможно, практики решения именно в рамках CheckMarx)
        
        Уменьшение вопросов от пользователей по решению дефектов
        
        Улучшение знаний пользователей, чтобы такие дефекты не появлялись в будущем
        
        Улучшение репутации команды AppSec
  - - - Формирование видео-инструкции по процессу подключения
        
        Формирование видео-инструкции по логу нахождению ошибок в джобе в дженкинс
        
        Формирование видео-инструкции по триажу багов и работе в CheckMarx
        
        Меньше нагрузка на линии поддержки
        
        Снижение времени на получение требуемой информации при решении заявок
        
        Меньше глупых вопросов со стороны разработки при обращении
      - On_demand как песочница или механизм скана нерелизных веток
- - - - Наполнение пустых страниц
        у кверей
        
        Определение страниц без описания (выборка)
        
        Проработка контента (ссылки на портал, OWASP)
        
        Залитие описаний на страницы
        
        Снижение вопросов от пользователей по вопросу триажа
        
        Повышение осведомленности команд разработки
        
        Улучшение репутации команды AppSec
      - Примеры исправления по
        шаблонам CheckMarx
        
        Определение критичных правил
        
        Определение конструкций в CheckMarx, которые приняты для исправления уязвимостей
    - - Экспресс-курс по безопасной разработке
        
        Введение обязательного курса для разработчиков или ознакомительной базы перед доступом к CheckMarx
      - Примеры предотвращения уязвимостей
        в зависимости от типа АС
      - Примеры исправления уязвимостей
        
        Определение наиболее критичных правил
        
        Примеры исправления уязвимостей для разных языков
  - - - Ответы на вопросы, сакссес-кейсы
        
        Сбор наиболее важных вопросов
        
        Конкретизация цели митапа, ожидаемого результата
        
        Сбор фактуры
        
        Проведение митапа
        
        Оценка результатов
        
        Планирование следующих митапов (серии циклов)
        
        Снижение вопросов от пользователей по вопросам AppSec
        
        Повышение осведомленности команд разработки
        
        Улучшение репутации команды AppSec
    - - Эксплуатация (объяснение) уязвимости,
        найденной инструментом и/или отклоненной командой в NE
        
        Конкретизация цели митапа, ожидаемого результата
        
        Выбор жертв, подготовка фактуры (если нужно, втихаря)
        
        Проведение митапа
        
        Оценка результатов
        
        Повышение осведомленности команд разработки в практике AppSec
        
        Уменьшение спорных обращений от команд
        
        Улучшение репутации команды AppSec
  - - - Есть какие-то идеи
        
        Уменьшение нагрузки на 3ю линии в области поддержки пользователей
        
        Снижение вопросов от пользователей по процессу триажа
        
        Принятие рисков команд на команду разработки *
    - - Необходимо подумать
        
        Команды понимают положительную роль и необходимость практики AppSec в Банке
        
        Команды мотивированы к продуктивному сотрудничеству с AppSec, триажу багов и мотивация это положительная
        
        Команды эффективно производят триаж и исправление багов, пишут безопасный код