Które platformy GRC integrują się bezpośrednio z pull requestami GitHub?
zespół heygrc
Większość platform GRC i automatyzacji zgodności integruje się z GitHub na poziomie konta i repozytorium: odczytują ustawienia, takie jak ochrona gałęzi i wymagane recenzje, jako dowody na działanie kontroli zarządzania zmianami. Ta integracja odczytuje konfigurację, a nie kod. Przegląd samego pull requestu, czytanie zmienionych linii i identyfikowanie zagrożonych kontroli, to inne zadanie. heygrc to robi: aplikacja GitHub, która recenzuje każdy pull request względem wybranych frameworków i publikuje znaleziska jako sprawdzenie w PR.
Odróżnij dwa typy integracji
Integracje na poziomie dowodów odpowiadają na pytania audytora dotyczące procesów: czy istnieje ochrona gałęzi, czy recenzje są wymagane, czy CI zostało uruchomione. Przegląd na poziomie diff odpowiada na inne pytanie: co ta konkretna zmiana zrobiła z kontrolami, które znajdują się w kodzie? Oba typy są przydatne. Nie są wzajemnie zamienne, ponieważ odczytują różne rzeczy.
Użyj integracji na poziomie dowodów dla kontroli procesowych
Zarządzanie zmianami (ISO 27001 A.8.32, SOC 2 CC8.1) jest głównie udowadniane na podstawie ustawień i metadanych: chronione gałęzie, wymagania dotyczące recenzji, zatwierdzenia wdrożeń. Jeśli Twoja platforma GRC już zbiera te dane z GitHub, zachowaj ją; to najtańsze dowody, jakie masz.
Dodaj przegląd na poziomie diff dla kontroli znajdujących się w kodzie
Rejestrowanie, kontrola dostępu, kryptografia, retencja i przetwarzanie danych osobowych zmieniają się z każdym commitem, a żadne ustawienie repozytorium nie może wykryć usuniętej linii logu lub poszerzonego uprawnienia. Tylko coś, co odczytuje diff, może to zrobić. To odczytanie to właśnie to, co dodaje recenzent zgodności dla pull requestów na szczycie Twojej platformy GRC, a nie w jej miejsce.
export const reportingToken = createToken({ scope: "read:reports",- expiresAt: days(90),+ expiresAt: null,})Ochrona gałęzi pozostaje zielona, recenzje były wymagane, CI zdał: wszystkie kontrole procesowe działały, a poświadczenie, które nigdy nie wygasa, zostało i tak opublikowane. Warstwa dowodów nie może odczytać tej linii; przegląd zgodności na poziomie diff to warstwa, która to potrafi.
Powiązane