Безопасная разработка — важная составляющая технологического ландшафта любой компании. Особенно актуально это для компаний финансового сектора, требующих повышенного внимания к безопасности финансов и персональных данных своих клиентов. С целью объединения усилий участников финансового и смежных секторов по развитию безопасной разработки и open source решений в 2023 году на площадке Ассоциации ФинТех (АФТ) было создано сообщество FinDevSecOps.
Сегодня на правах одного из основателей сообщества вместе с коллегами из АФТ расскажем вам, как появилось FinDevSecOps, чем оно занимается и чего успело достичь.
![](https://habrastorage.org/getpro/habr/upload_files/190/c4f/4a0/190c4f4a0085e042e73afd5d92ee9ddf.jpg)
2023 год: идея и поиск партнеров
В 2023 году на площадке АФТ состоялось обсуждение проблем применения open source решений и организации безопасной разработки с представителями участников АФТ, в том числе — РСХБ. Оказалось, что компании сталкиваются со схожими вызовами и трудностями, а наработки каждого из них интересны другим участникам рынка. Так появилась идея создания комьюнити, которое бы объединило специалистов в данной области и стало площадкой для обмена опытом и совместной выработки решений. Основными целями формирования сообщества стали: ускорение и упрощение процессов внедрения практик безопасной разработки, повышение уровня защищенности всего жизненного цикла финтех-решений, взаимодействие с регуляторами по вопросам безопасной разработки и внедрения решений на основе открытого кода.
Манифест FinDevSecOps
В ходе формирования и развития сообщества был разработан манифест, подробно описывающий проблематику, миссию и задачи сообщества.
Существующие проблемы при разработке ИТ-решений в компаниях финансового и смежных секторов:
Широкое распространение использования open source библиотек со значительным объемом кода, затрудняющим процедуры проверки и верификации данного кода.
Неэффективное расходование ресурсов организаций финансового и смежных секторов на проведение разрозненных дублирующих проверок одинаковых open source решений, отсутствие обмена сведениями о результатах этих проверок между организациями.
Отсутствие поддержки open source решений, либо поддержка от недоверенной стороны, что приводит к повышению рисков возникновения бэкдоров и уязвимостей.
Наличие «серой зоны» в области регулирования использования open source решений в организациях финансовой и смежных отраслей.
Высокие требования к скорости выпуска новых версий ИТ-решений, как конкурентное преимущество компании, а также постоянно увеличивающийся объем кода требуют применения новых подходов к проверке и верификации кода, интегрированных в процессы разработки, а также применения нового инструментария для автоматизации данных процедур.
Миссия сообщества FinDevSecOps — достижение синергетического эффекта от объединения усилий сторон, заинтересованных в развитии безопасной разработки ПО и open source решений для финансового и смежных секторов.
Задачи сообщества:
Ускорение процессов внедрения и имплементации DevSecOps-практик и open source решений.
Повышение уровня защищенности ИТ-решений на всех этапах его жизненного цикла.
Донесение позиции финансовой отрасли до регуляторов.
Анализ рисков и возможностей применения ИТ-решений на основе открытого исходного кода.
Идентификация перспективных ИТ-решений на основе открытого исходного кода.
Формирование предложений и рекомендаций по совершенствованию процессов развития и регулирования применения ИТ-решений на основе открытого исходного кода.
Формирование предложений и рекомендаций по совершенствованию регулирования процессов безопасной разработки.
Проведение совместного тестирования и оценки отдельных технологий и элементов технологического ландшафта с применением ИТ-решений на основе открытого исходного кода.
Организация и поддержка совместных проектов участников АФТ по развитию ИТ-решений на основе открытого исходного кода.
Также в манифесте обозначены основные направления деятельности сообщества FinDevSecOps:
Рекомендации по применению практик DevSecOps в финансовой сфере:
Организация процессов безопасной разработки финтех-продуктов: security gates, методология, регулирование;
Мониторинг событий ИБ при эксплуатации финтех-продуктов;
Хранение секретов и конфигураций финтех-продуктов;
Инструменты и платформы DevSecOps.
Совместная проверка и разработка сообществом open source решений:
Развитие кода сообществом на доверенной площадке;
Доверенный репозиторий исходных кодов, образов, библиотек, артефактов сборок, а также сведений о результатах тестирования и верификации open source решений.
Культура и команды. Обучение сотрудников и распространение компетенций DevSecOps:
Анализ и разъяснение нормативной базы, затрагивающей применение DevSecOps в финансовых организациях;
Обучающие курсы;
Тестирование и анкетирование специалистов.
Митапы сообщества
Встречи членов сообщества проводятся в онлайн- и оффлайн- форматах. На данный момент было проведено два митапа сообщества FinDevSecOps. Первый состоялся в октябре 2023 года, и он же формально стал отправной точкой в истории FinDevSecOps.
На нем обсуждались такие темы, как:
Организация процессов безопасной разработки финтех-продуктов: регулирование и методология;
Проверка и анализ решений на базе открытого кода;
Мониторинг событий ИБ при эксплуатации финтех-продуктов;
Хранение секретов и конфигураций финтех-продуктов;
Инструменты и платформы DevSecOps;
Культура и команды. Обучение сотрудников и распространение компетенций DevSecOps.
![](https://habrastorage.org/getpro/habr/upload_files/a97/994/657/a9799465782215fece744e0cf54c9395.png)
Второй митап прошел 25 апреля 2024 года. В этот раз центральными темами стали: взаимное влияние DevSecOps и стратегии развития ИБ финансовой организации, а также кадровый голод в DevSecOps-специалистах. Участники обсудили влияние DevSecOps на стратегию развития ИБ в финансовой организации, новые технологии (ИИ, облака, т.п.) и новые виды угроз ИБ, регулирование DevSecOps, импортозамещение в DevSecOps, роли и компетенции для внедрения DevSecOps-практик.
Кроме того, в рамках митапа прошло два воркшопа:
Воркшоп «Практика проведения проверок на продуктах ИСП РАН и CodeScoring»;
Воркшоп «Pre-commit проверки безопасности: плагин в IDE разработчика».
В рамках воркшопов участники могли протестировать применение таких продуктов, как Svace, Natch, Crusher, Sydr-fuzz, PT Application Inspector, самостоятельно запустить проверки и обработать выдаваемые продуктами отчеты.
![](https://habrastorage.org/getpro/habr/upload_files/996/b69/ad6/996b69ad61c9ec5eb30e9b429136dec5.png)
Итоги и планы
На третьем митапе организаторы подвели итоги деятельности сообщества с момента основания в октябре прошлого года и поделились планами на 2024 год.
Среди планов развития сообщества: организация тематических групп, продолжение работы над новыми нормативными документами по безопасной разработке ИТ-решений в финансовых организациях, планирование практических мероприятий в формате воркшопов и хакатонов.
Собственный репозиторий
На площадке АФТ создан собственный доверенный репозиторий исходных кодов, образов, библиотек, артефактов сборок, а также сведений о результатах тестирования и верификации open source решений. Благодаря этому уже работает:
Загрузка исходного кода, артефактов ИТ-решений в GitLab, Yandex Container Registry;
Сквозная авторизация для доступа к размещенному исходному коду ИТ-решений в Yandex Managed Service for GitLab;
Подпись исходного кода ИТ-решений (генерация хэша, создание подписи по алгоритмам SHA 256, RSA);
Проверка исходного кода и артефактов ИТ-решений антивирусом (Касперский), статическим анализатором (Sonar), сканером docker образов сервиса (Yandex Container Registry), анализатором зависимостей (OWASP Dependency Check).
В 2024 году будет реализовано:
Совместная работа c исходным кодом ИТ-решений;
CI/CD конвейер;
Интеграция с внешними репозиториями исходного кода и артефактов ИТ-решений;
Анализ уязвимостей ИТ-решений по базе ФСТЭК;
Проверка исходного кода, артефактов ИТ-решений по актуальным базам данных уязвимостей и сигнатур;
Реализация автоматического сканирования и проверки исходного кода ИТ-решений.