Polityka bezpieczeństwa PhotoRobot SDLC

Dokument ten definiuje Politykę Bezpieczeństwa PhotoRobot SDLC. Szczegółowo opisuje wymagania dotyczące bezpieczeństwa stosowane przez cały cykl życia tworzenia oprogramowania w PhotoRobot oraz wspiera zgodność z naszymi zobowiązaniami kontraktowymi wynikającymi z DPA i SLA.  

‍

‍

Zasady

• Zabezpieczenie przez projekt
• Najmniejszy dostęp do kodu i infrastruktury
• Obowiązkowa kontrola kodu
• Zarządzanie zależnościami i podatnościami

‍

‍

Workflow tworzenia

• Cały kod przechowywany w kontroli wersji
• Zmiany przeglądane za pomocą pull requestów
• Potoki CI wymuszają automatyczne testy

‍

‍

Zarządzanie zależnościami

• Regularne skanowanie podatności
• Przestarzałe biblioteki były aktualizowane proaktywnie
• Dozwolone są tylko zaufane źródła pakietów

‍

‍

Budowa i wdrożenie

• Wdrożenia za pomocą kontrolowanych potoków CI/CD
• Dostępne mechanizmy cofania
• Rejestry audytowe prowadzone dla wdrożeń

‍

‍

Zarządzanie tajemnicami

• Sekrety przechowywane bezpiecznie (Google Secret Manager)
• Brak zakodowanych sekretów w repozytoriach
• Rotacja wymuszona dla czułych

‍

‍

Testy

• Testy jednostkowe, integracyjne i regresyjne
• Testy bezpieczeństwa uwzględnione, gdy to możliwe

‍

‍

Zarządzanie wydaniami

• Changelog utrzymywany
• Wydania wersjonowane
• Kontrolowane wdrażanie dużych aktualizacji