Политика безопасности PhotoRobot SDLC

Этот документ определяет политику безопасности PhotoRobot SDLC. В нём подробно описаны требования к безопасности, применяемые на протяжении всего жизненного цикла разработки программного обеспечения в PhotoRobot, а также поддержка соблюдения наших договорных обязательств по DPA и SLA.  

‍

‍

Принципы

• Обеспечение по дизайну
• Минимальный доступ к коду и инфраструктуре
• Обязательный пересмотр кодекса
• Управление зависимостью и уязвимостями

‍

‍

Рабочий процесс разработки

• Весь код хранится в контроле версий
• Изменения проверяются через pull requests
• CI-конвейеры обеспечивают автоматизированные тесты

‍

‍

Управление зависимостью

• Обычное сканирование уязвимостей
• Устаревшие библиотеки обновляются проактивно
• Разрешены только доверенные источники пакетов

‍

‍

Сборка и развертывание

• Развертывание через контролируемые CI/CD конвейеры
• Доступны механизмы отката
• Журналы аудита, ведённые для развертывания

‍

‍

Управление секретами

• Секреты, хранящиеся в безопасности (Google Secret Manager)
• Никаких жёстко закодированных секретов в репозиториях
• Вращение для чувствительных клавиш обязательно

‍

‍

Тестирование

• Тестирование единиц, интеграции и регрессии
• Тесты безопасности включены при применении

‍

‍

Управление релизами

• Журнал изменений поддерживается
• Версионные релизы
• Контролируемые запуски для крупных обновлений