Skaner znajduje tysiąc rzeczy. Ustawiamy proces, który mówi, którymi dwudziestoma trzeba zająć się w tym tygodniu.
Jedna lista zamiast pięciu konsol — i jasne, co jest na ten tydzień.
Tak wygląda punkt wyjścia w wielu firmach, które dowożą szybko i podlegają regulacjom.
Narzędzia są kupione i włączone, raporty przychodzą regularnie i nikt ich nie czyta. Lista jest za długa, priorytety pochodzą z automatycznej oceny oderwanej od Waszego kontekstu, a poprawki konkurują z pracą nad produktem.
Zakres ustalamy po diagnozie — zaczynamy od elementu, który najszybciej obniży Wasze ryzyko.
Zamieniamy raport bez końca na krótką listę.
Wyniki z kodu, bibliotek, obrazów i infrastruktury zbieramy w jedno miejsce, żeby zespół przestał przełączać się między pięcioma konsolami. Priorytety ustalamy pod Wasz kontekst — liczy się to, czy podatność jest w ogóle osiągalna w Waszym systemie, a nie sama ocena punktowa oderwana od architektury. Poprawki wpinamy tam, gdzie zespół i tak pracuje, z jasnym terminem, zamiast tworzyć osobną kolejkę zadań, której nikt nie otwiera. Mierzymy, co faktycznie się domyka, żeby dało się pokazać, ile ryzyka ubyło.
Po każdym etapie zostaje u Was konkretny rezultat, a nie notatka ze spotkania.
Kod, biblioteki, obrazy, infrastruktura — jeden widok zamiast pięciu konsol.
RezultatJeden widok wyników z kodu, bibliotek, obrazów i infrastruktury
Znaczenie ma to, czy podatność jest osiągalna w Waszym systemie, nie sama ocena punktowa.
RezultatKrótka lista ułożona według tego, co jest osiągalne u Was
Zadanie trafia tam, gdzie zespół i tak pracuje, z jasnym terminem.
RezultatPoprawki w backlogu zespołu, z właścicielem i terminem
Widać, co zostało naprawione, a co czeka i dlaczego.
RezultatZestawienie, co zostało naprawione, a co czeka i dlaczego
Wdrożenie kończy się działającą konfiguracją i dowodami, a nie raportem z listą zaleceń. Tak to wygląda na przykładzie.
| Podatność | Ocena | Osiągalna u Was | Decyzja |
|---|---|---|---|
| biblioteka XML — zdalne wykonanie kodu | 9.8 | nie — funkcja nieużywana | obserwować |
| framework web — obejście uwierzytelnienia | 7.5 | tak — publiczne API | ten tydzień |
| obraz bazowy — eskalacja uprawnień | 7.8 | tylko z wnętrza kontenera | następne wydanie |
Najwyższa ocena punktowa nie zawsze oznacza najpilniejszą poprawkę.
Poprawka trafia tam, gdzie zespół i tak pracuje.
Widać, ile ryzyka faktycznie ubyło.
Ilustracja. Zakres i narzędzia dobieramy po diagnozie.
Zakres ustalamy po rozmowie i diagnozie. Mniejsze wdrożenia zamykają się w kilku tygodniach, większe dzielimy na etapy, żeby efekt był widoczny po pierwszym.
Zwykle nie do całego. W większości przypadków wystarczy dostęp do konfiguracji procesu budowania i ustawień organizacji. Zakres ustalamy pisemnie przed startem.
Tak, ale nie na pełen etat. Potrzebujemy kontaktu z osobą, która zna system, i przeglądu naszych zmian. Reszta jest po naszej stronie.
Wpinamy się w to, co u Was działa. Wymiana narzędzia to najdroższy i najrzadziej potrzebny sposób poprawy bezpieczeństwa.
Nie. Pracujemy na standardach i narzędziach, które Wasz zespół zna albo szybko pozna — nie na autorskiej metodyce, którą rozumiemy wyłącznie my. Wszystko jest udokumentowane i przekazane.
Tak wpinamy kontrole, żeby działały w tle. Jeśli któraś zaczyna blokować pracę, dostrajamy ją albo zmieniamy jej miejsce w procesie.