Dependency updates
heyGRC neben Dependabot
Dependabot und heygrc arbeiten beide an deinen Pull Requests, aber mit unterschiedlichen Fragestellungen. Dependabot ist darauf ausgelegt, deine Abhängigkeiten aktuell zu halten und veröffentlichte Sicherheitshinweise anzuzeigen, damit du die Korrekturen vornehmen kannst. heygrc prüft eine Änderung und fragt, ob sie eine Kontrolle in den Compliance-Frameworks berührt, die du erfüllen musst, und nennt die genaue Klausel. Beide ergänzen sich gut.
Worauf sich Dependabot konzentriert
- Aktualisierung von Abhängigkeiten durch automatisierte Pull Requests.
- Anzeige veröffentlichter Sicherheitshinweise für die von dir verwendeten Pakete.
- Gruppierung und Planung von Updates, damit sie handhabbar bleiben.
Was heygrc daneben hinzufügt
- Ob das Zurückhalten einer Abhängigkeit von ihrem Fix eine Verpflichtung zur Cyber-Hygiene berührt, mit Angabe der Klausel.NIS 2 Cyber-Hygiene im Code→
- Ob eine neue Abhängigkeit mit der Überprüfung hinzugefügt wurde, die eine Supply-Chain-Kontrolle erwartet.NIS 2 Supply Chain im Code→
- Die Compliance-Bewertung einer Änderung, zugeordnet zum Framework, gegen das du geprüft wirst, als die spezifische Kontrolle, die sie berührt.
Gemeinsam nutzen
Lass Dependabot deine Abhängigkeiten aktuell halten und Sicherheitshinweise markieren; lass heygrc dir mitteilen, wann eine Änderung eine Kontrolle berührt.