"Compliance bot for GitHub" to fraza, którą wpisują osoby szukające narzędzia, które monitoruje repozytoria i sygnalizuje problemy z zgodnością bez konieczności otwierania oddzielnej konsoli GRC. Wyniki wyszukiwania to zbiór rozwiązań, które mają wspólne słowo "compliance", ale niewiele więcej: boty dodające komentarze ze statusem, narzędzia pobierające raporty zgodności GitHub, kolektory dowodów sprawdzające, czy ochrona gałęzi jest włączona, oraz aplikacje czatowe niezwiązane z przeglądem kodu. Ten przewodnik określa kształt produktu, który spełnia rzeczywiste oczekiwania: bota, który analizuje każdy pull request pod kątem wybranych ram zgodności i cytuje odpowiednią kontrolę przy diffie.
Celowo nie jest to ta sama strona co flagowy przewodnik o kontrolach zgodności w pull requestach. Tamten wyjaśnia, czym jest kontrola zgodności (pojęcie: status doradczy, cytowanie kontroli, wybór ochrony gałęzi). Ten natomiast opisuje, czym jest produkt typu compliance bot (instalowalny element, pętla zdarzeń, uprawnienia oraz to, czym nie jest).
Czterech znaczeń "compliance bot" (tylko jedno to produkt)
Po pierwsze: chatbot lub bot do zgłoszeń, który odpowiada na pytania dotyczące polityk w Slacku. Przydatny dla osób, nie dla pull requestów. Po drugie: connector raportujący, który eksportuje audyty lub raporty zgodności GitHub dla audytora. To eksport dowodów, a nie analiza zmian. Po trzecie: kolektor dowodów lub platforma GRC, która sprawdza, czy wymagane ustawienia repozytorium (ochrona gałęzi, wymagane recenzje, podpisane commity) są skonfigurowane. To dowody procesowe na poziomie programu. Po czwarte: aplikacja GitHub, która przy każdym zdarzeniu pull requesta przegląda diff w odniesieniu do nazwanych kontroli ramowych i publikuje recenzję oraz opcjonalny status sprawdzenia. Tylko czwarte to bot do zgodności mapujący ramy dla pull requestów.
Jeśli wyniki wyszukiwania są pełne pierwszych trzech, nie mylisz się co do potrzeby. Kategoria dla czwartego wciąż jest nowa: przegląd zgodności dla pull requestów. Bot to po prostu sposób dostarczania tej recenzji na GitHub.
Co bot robi w przypadku rzeczywistego pull requesta
Po zainstalowaniu bot dołącza do wybranych repozytoriów. Gdy pull request zostanie otwarty, zaktualizowany lub ponownie otwarty (w zależności od skonfigurowanego trybu uruchomienia), analizuje zmianę, porównuje ją z ramami wybranymi przez organizację i, jeśli dotyczy to kontroli, publikuje komentarz recenzji, który podaje klauzulę (np. SOC 2 CC6.1 przy rozszerzonej roli IAM lub GDPR Art. 5(1)(c) przy logu przechowującym pełne dane identyfikacyjne). Może również opublikować GitHub Check ze statusem neutralnym, aby znalezisko było widoczne, ale nie blokowało domyślnie scalania.
Domyślnie użytecznym ustawieniem dla bota zgodności jest tryb doradczy: wyświetla kontrolę, a decyzję o scaleniu pozostawia polityce ochrony gałęzi. Bot, który blokuje każde znalezisko, uczy ludzi, aby go ignorować. Bot, który nigdy nie pojawia się w wątku recenzji, jest pomijany. Status neutralny plus jasne cytowanie to projekt, który utrzymuje sygnał bez stawania się teatrem.
Czym nie jest (aby nie kupić złego produktu)
Nie jest to audytor, opinia SOC 2 ani certyfikat. Nie jest to platforma GRC, która zbiera dowody z zakresu tożsamości, HR i chmury dla całego okna obserwacyjnego. Nie jest to skaner sekretów, narzędzie SAST ani doradca ds. zależności, chociaż te narzędzia często korzystają z tego samego wątku pull requesta i powinny nadal działać. Nie zastępuje Bugbota, CodeRabbit ani żadnego recenzenta jakości kodu: te sprawdzają, czy kod jest poprawny i bezpieczny, a bot zgodności sprawdza, czy zmiana dotyczy kontroli, która będzie oceniana.
Jeśli potrzebujesz automatyzacji dowodów na poziomie programu, kup lub zachowaj platformę GRC. Jeśli potrzebujesz wyników dotyczących luk, zachowaj swoje skanery bezpieczeństwa. Zadaniem bota zgodności jest odpowiedź na trzecie pytanie w tym samym pull request: czy ten diff dotyczy kontroli i której?
Jak heygrc implementuje ten kształt
heygrc to aplikacja GitHub, która przeprowadza przegląd zgodności dla pull requestów: zainstaluj ją w repozytoriach, które Cię interesują, wybierz ramy, a ona opublikuje znaleziska z cytowaniem kontroli przy diffie. Repozytoria publiczne są darmowe; repozytoria prywatne zaczynają się od darmowego miesięcznego limitu i krótkiego nieograniczonego okresu próbnego po aktywacji instalacji w konsoli. Domyślnie nigdy nie blokuje scalenia. Możesz wymagać sprawdzenia w ochronie gałęzi, jeśli Twoja polityka wymaga bramkowania.
Zobacz przykład na żywo w publicznym repozytorium demo, gdzie przygotowane pull requesty pokazują rzeczywiste recenzje w oparciu o kontrole SOC 2, ISO 27001 i GDPR na czystym syntetycznym kodzie. Aby zrozumieć samo pojęcie sprawdzenia, przeczytaj flagowy przewodnik. Aby skonfigurować, zapoznaj się z instrukcją instalacji zorientowaną na agenta.