18 июня 2025 | Radisson Blu Belorusskaya, Москва | зал "Шопен" | 11:00 — 16:10

Доверенные корпоративные репозитории и контроль кода

Важно контролировать и проверять весь код, который интегрируется в корпоративные системы. Бесконтрольное использование сторонних репозиториев, особенно Open Source, может привести к внедрению уязвимостей и безопасности. Конференция — о том, как защитить код: подходы к правильному формированию, наполнению и использованию корпоративных репозиториев кода для предотвращения появления уязвимостей в приложениях.

* Open Source: где заканчивается доверие и начинается контроль?
* Какой минимум контроля должен быть в CI/CD, чтобы считать код “с хорошей родословной”?
* Что сегодня делает репозиторий доверенным?
* Примеры из практики, когда код пришёл “из ниоткуда”
* ⁠Можно ли автоматизировать доверие к коду или это всегда ручной процесс?
* ⁠Где компании чаще всего теряют контроль над происхождением кода?
* ⁠Как прививать культуру “код должен быть с родословной” среди разработчиков?

Участники:
Иван Глушков (АНО "Открытый Код"), Алексей Хорошилов (ИСП РАН) и др.

Евгений Тодышев, руководитель направления безопасной разработки, Уральский центр систем безопасности (УЦСБ)

В докладе рассмотрим существующие угрозы и способы их митигации в трех случаях:

Когда ты разработчик ПО и встраиваешь OSS в свой код
При внешней заказной разработке
Использование ПО, в котором нет доступа к исходным кодам

Разберем пример с атакой на Codecov, в рамках которой пострадали их клиенты и что можно было ы предпринять, чтобы предотвратить атаку с описанием технической реализации и процессов контроля как со стороны самого разработчика, так и со стороны его клиентов.

В заключении доклада предоставлены рекомендации по построению Zero trust архитектуры для обеспечения безопасности цепочек поставок.

Алексей Смирнов, генеральный директор и основатель CodeScoring

В докладе рассмотрим классификацию существующих терминов о репозиториях, в том числе их "безопасных" и качественных квалификаторов: контролируемый, доверенный, чистый, замкнутый и пр. Рассмотрим ключевые практики осмысленного содержания репозиториев с кодом и артефактами. В контексте безопасной разработки поговорим об удобстве конечных пользователей — разработчиков и специалистов автоматизации.

Алексей Хорошилов, руководитель Центра исследований безопасности системного программного обеспечения ИСП РАН

Доверие к open-source компонентам может основываться на разных подходах. Контроль качества кода с использованием традиционных практик безопасной разработки — один из наиболее обоснованных, но требует значительных затрат квалифицированных ресурсов, поэтому применяется не так часто, как хотелось бы. В докладе представлен опыт внедрения этого подхода в Центре исследований безопасности системного ПО ИСП РАН, а также рассматриваются способы сокращения затрат за счёт совместного распределения стоимости работ с другими потребителями и международным сообществом разработчиков.

Денис Сплюхин, главный эксперт АО "Русатом Автоматизированные системы управления" (Росатом)

В докладе представлен опыт внедрения DevSecOps для автоматизации проверки безопасности кода и выявления уязвимостей в локальных доверенных репозиториях предприятия. Данный подход обеспечивает комплексную защиту ПО и ПАК за счёт проведения испытаний по требованиям ИБ на собственной инфраструктуре

Валентин Малых, руководитель исследовательской группы MTS AI

Одна из очень важных проблем при разработке - это рефакторинг, который невозможен без качественного поиска по кодовой базе. Мы разрабатываем технологию поиска дубликатов по кодовой базе, а также адаптируем ее для поиска известных уязвимостей.

Степан Дудник, лидер Сообщества FinDevSecOps, технический директор HDTech (Высокие цифровые технологии)

Процесс безопасной разработки в финтехе, обзор регуляторики - "когда, зачем, кому"
Реальные кейсы применения инструментов для выполнения шагов pipeline'а. Интеграция в pipe.
Анонс отечественной методологии безопасной разработки от сообщества FinDevSecOps

Мониторинг отраслевых СМИ от Информационного Агентства «Монитор»; Подписка на бюллетени экономит десятки часов рабочего времени, помогая отслеживать новости, продукты и решения ключевые слова и намерения игроков рынок, аналитические статьи и экспертные мнения.

Решения для защиты российских ОС на Linux

15 октября | Radisson Blu Belorusskaya

Защищенный удаленный доступ

15 октября | Radisson Blu Belorusskaya

Защита АСУ ТП и объектов КИИ: готовность к 2025

16 октября | Radisson Blu Belorusskaya

Доверенные корпоративные репозитории и контроль кода

Партнеры Форума

Партнеры Форума

Партнер конференции

Стейдж-интервью "Где начинается родословная вашего кода?"

Митигация угроз связанных с цепочками поставок

Корпоративный (и безопасный) репозиторий для кода и артефактов это что?

Доверенный open-source в корпоративном репозитории

DevSecOps в действии: автоматизация проверки кода в локальных доверенных репозиториях

Поиск дубликатов в коде с помощью LLM

МосХаб - облачная платформа для безопасной разработки ПО

Методология DevSecOps для финансовой отрасли

Дискуссия “Безопасная разработка в финтехе: вызовы-2025”

Организатор: Сообщество FinDevSecOps

Ознакомительный номер издания ИА Монитор “Беспилотные авиационные системы": больше информации по теме

ITSEC 2024

Решения для защиты российских ОС на Linux

Защищенный удаленный доступ

Защита АСУ ТП и объектов КИИ: готовность к 2025

Есть о чем рассказать?