Quali piattaforme GRC si integrano direttamente con le pull request di GitHub?
il team heygrc
La maggior parte delle piattaforme GRC e di automazione della conformità si integra con GitHub a livello di account e repository: leggono impostazioni come la protezione dei branch e le revisioni obbligatorie come prove che il controllo di gestione delle modifiche è operativo. Quell'integrazione legge la configurazione, non il codice. La revisione della pull request stessa, la lettura delle righe modificate e l'identificazione del controllo che mettono a rischio, è un compito diverso. heygrc svolge questo compito: un'app GitHub che esamina ogni pull request rispetto ai framework selezionati e pubblica il risultato come verifica sulla PR.
Distinguere i due tipi di integrazione
Le integrazioni a livello di prove rispondono alle domande di processo dell'auditor: c'è la protezione dei branch, sono richieste le revisioni, il CI è stato eseguito. La revisione a livello di diff risponde a una domanda diversa: cosa ha fatto questa modifica specifica ai controlli che risiedono nel codice? Entrambe sono utili. Non sono sostituibili, perché leggono cose diverse.
Utilizzare le integrazioni a livello di prove per i controlli di processo
La gestione delle modifiche (ISO 27001 A.8.32, SOC 2 CC8.1) è dimostrabile principalmente tramite impostazioni e metadati: branch protetti, requisiti di revisione, approvazioni di distribuzione. Se la tua piattaforma GRC raccoglie già questi dati da GitHub, mantienila; è la prova più economica che hai.
Aggiungere la revisione a livello di diff per i controlli che risiedono nel codice
Logging, controllo degli accessi, crittografia, conservazione e gestione dei dati personali cambiano una commit alla volta, e nessuna impostazione del repository può rilevare una riga di log eliminata o un permesso allargato. Solo qualcosa che legge il diff può farlo. Questa lettura è ciò che un revisore di conformità per le pull request aggiunge alla tua piattaforma GRC, non in sostituzione di essa.
export const reportingToken = createToken({ scope: "read:reports",- expiresAt: days(90),+ expiresAt: null,})La protezione del branch rimane verde, le revisioni erano richieste, il CI è passato: tutti i controlli di processo hanno funzionato, e una credenziale che non scade mai è stata comunque distribuita. Il livello di prove non può leggere questa riga; una revisione di conformità a livello di diff è il livello che può farlo.
Correlati