Erweitern Sie Ihre Reichweite auf jeden Pull Request, jedes Framework.
Für Sicherheitsingenieure, die nicht jede Änderung persönlich gegen jede Verpflichtung prüfen können. Ein frameworkbasierter zweiter Blick auf den Diff.
Sicherheitsingenieure sind in der Unterzahl gegenüber den Pull Requests, für die sie verantwortlich sind. Sie können nicht jeden Diff gegen jedes Framework prüfen, das Ihr Unternehmen erfüllen muss, und die wichtigsten Änderungen sind oft die unauffälligen: eine entfernte Prüfung, ein erweiterter Geltungsbereich, ein geschwächter Standardwert. Das Ziel ist Hebelwirkung, nicht eine weitere Warteschlange.
Ein frameworkbewusster Reviewer, der nicht ermüdet
Linter und Scanner decken bereits Schwachstellenklassen ab. Was sie nicht können, ist, über die spezifischen Verpflichtungen Ihres Unternehmens nachzudenken: welche Kontrollen gelten, was die Klausel erwartet, ob diese Änderung sie untergräbt. heygrc ist darauf ausgelegt, jeden Pull Request gegen Ihre ausgewählten Frameworks zu prüfen und die Kontrolle zu benennen, sodass die frameworkbewusste Prüfung, die Sie durchführen würden, wenn Sie Zeit hätten, bei jedem PR stattfinden kann. Sie konzentrieren sich auf die Befunde, die eine menschliche Bewertung erfordern.
Es ist darauf ausgelegt, Befunde aufzuzeigen und zu zitieren, nicht zu entscheiden. Sie bleiben der Richter darüber, was blockiert und was freigegeben wird.
Änderungen, die wie normaler Code aussehen.
Einige der kontrollrelevanten Änderungen, die heygrc für diesen Fall markieren soll, jeweils mit Verweis auf die betroffene Klausel.
An MFA check is skipped on a sensitive path
NIS 2 Art. 21(2)(j)Input validation is removed, opening an injection path
NIST 800-53 SI-10Certificate verification is disabled
NIST 800-53 SC-8
Die Frameworks, die hier am wichtigsten sind.
Anleitung: Was SOC 2 tatsächlich in Ihrem Repository prüft
heygrc markiert kontrollrelevante Änderungen und zitiert die Klausel, sodass das Problem im Pull Request behandelt werden kann. Es zertifiziert dich nicht, führt dein Audit nicht durch und ersetzt nicht dein eigenes Urteil.