# Запровадила безперервну програму безпеки — сканування коду, DAST, перевірки залежностей і вразливостей, генерацію SBOM, пошук секретів та actions, закріплені за SHA, — поряд із 21 письмовим аудитом безпеки. 2025 **Ситуація.** Робота з безпеки всередині застосунку — Content‑Security‑Policy, ролі бази даних із мінімальними привілеями, повторні перевірки прав — захищає платформу під час виконання. Але вона нічого не каже про те, що саме виходить у реліз: чи не підхопила залежність відому вразливість минулого вівторка, чи не потрапили в коміт облікові дані, які потім відкотили, і чи не стала стороння action, закріплена за тегом, непомітно зовсім іншим кодом. **Завдання.** Безпека ланцюга постачання та коду мала бути безперервною й автоматизованою, щоб її стан був результатом збірки, а не чиєюсь думкою. **Дія.** Статичний аналіз виконує CodeQL, динамічне тестування живого інстансу — ZAP, а залежності Go перевіряє govulncheck. Специфікація програмного забезпечення (SBOM) генерується під час кожної збірки за допомогою Anchore та Syft, тож склад того, що вийшло в продакшн, відомий одразу, а не відновлюється згодом. Gitleaks шукає в історії облікові дані. Кожна стороння GitHub Action закріплена за хешем коміту, а не за тегом, — це той непоказний захід, який не дає комусь непомітно перемістити тег. Dependabot стежить за 6 екосистемами. Автоматизацію доповнює 21 письмовий аудит безпеки, зокрема модель загроз і оцінка за посібником з тестування OWASP, — адже сканери знаходять типи проблем, які хтось уже описав, а в моделі загроз називають ті, що властиві саме цій платформі. **Результат.** Про вразливість, оприлюднену в upstream, сповіщає зламана збірка, а не новини. Справжня ціна — обсяг знахідок: сканер, який повідомляє про все, привчає людей його ігнорувати, і щоб сигнал лишався корисним, потрібен постійний розбір знахідок, а не одноразове налаштування. --- - Роль: Інженер з безпеки - Категорії: [DevOps](https://advisory.engineer.company/uk/categories/devops/), [Автоматизація та CI/CD](https://advisory.engineer.company/uk/categories/automation/), [Надійність і резервне копіювання](https://advisory.engineer.company/uk/categories/reliability/), [Безпека](https://advisory.engineer.company/uk/categories/security/), [Документація](https://advisory.engineer.company/uk/categories/documentation/) - Послуги: [DevOps та автоматизація CI/CD](https://advisory.engineer.company/uk/services/devops-cicd/), [Безпека та керування доступом](https://advisory.engineer.company/uk/services/security-access/), [Технічна документація](https://advisory.engineer.company/uk/services/technical-documentation/)