🎧 Интервью с ассоциацией BISA по рискам ИБ и безопасной разработке

Салют,

Нашёл бородатое в закромах, но до сих пор актуальное интервью с ассоциацией BISA @bisafm - про безопасную разработку ПО, риски ИБ и как дружить все это вместе.

Смотря на это интервью сейчас понимаешь, что в целом то мало что меняется, только двигаемся в более сложные направления, что приносит удовольствие.

По сути, три года прошло, а вопросы то теже:

Как встроить безопасность в разработку, не похоронив скорость TTM, и зачем бизнесу вообще этот DevSecOps.

О чём говорили

- Кто такие DevSecOps и почему «Sec» - это не инструмент, а культура

- Как построить SDLC, где безопасность не мешает релизам

-⁠ Зачем банку Quality Gate и как он снижает риски ещё до продакшена (привет моим кайфовым коллегам из Росбанка, мы с вами делали вещи)

- Как риск-менеджмент реально связан с безопасной разработкой

- Что такое ограничения и допущения для бизнес-ориентированного подхода с рисками ИБ?

- Как и почему вообще нужна эта история? Затронули немного регуляторку (на то время любимое, как must-have)

- Почему Shift-Left - это не лозунг, а способ экономить время и деньги

Почему стоит посмотреть

Если вы работаете с продуктами, безопасностью или просто хотите gонять, как компании уровня банка выстраивают DevSecOps-подход, - интервью даст чёткую картинку.

Без пиара, без страшных слов - только реальный опыт.

Timestamp:

▪️00:35 - Что такое DevOps

▪️1:50 - DevSecOps как процесс разработки безопасного ПО

▪️3:15 - Как риск-менеджмент связан с разработкой безопасного ПО

▪️6:52 - Что дает банку внедрение разработки безопасного ПО и ее взаимодействие с управлением рисками

▪️8:59 - Какие риски банка и клиентов снижаются при таком подходе

▪️10:20 - Какие плюсы это дает командам разработки

▪️11: 59 - Как оценивается зрелость реализации этих процессов в командах

▪️12:30 - Почему Росбанк решил внедрять процесс разработки безопасного ПО

🎬 YouTube

Итого: полезно услышать как работает ИБ в разных отраслях и когда говорят, что регулятор ставит условия и все вынуждены их соблюдать в рамках финтех, то мы видим, что первоочередно нужно нам, как бизнесу, что бы защитить клиентов. Просто говоря, по факту, регулятор заставляет думать о клиентах. Как то так

#подкаст #devsecops #appsec #compliance #pmi #gost