Conformidade
O que um auditor pode verificar.
O Guardrail Ledger guarda o que está por trás de cada portão de pull request: que analisadores correram, o que encontraram, se o PR passou e quem aceitou um achado em vez de o corrigir.
-
Registo de exceções
Cada achado aceite tem dono, aprovador, motivo e data de validade. O aprovador tem de ser outra pessoa que não o dono.
-
Decisão do portão em cada execução
Cada execução do pipeline regista o repositório, o commit, o pull request, os motores que correram e quantos achados bloquearam o portão.
-
Achados com contexto
Regra, gravidade, ficheiro e linha vêm do SARIF do analisador. Nos segredos guardamos a localização, não o valor.
-
Um limiar à medida
A equipa decide que gravidade faz falhar o pull request: crítica, alta, média ou baixa. Cada alteração fica registada.
-
Registo de auditoria
As aprovações de exceções, as alterações à política do portão, os envios de SARIF e as alterações de tokens de pipeline ficam registados, com quem as fez e quando.
-
RGPD, DORA e NIS2
Ajudamos com o RGPD, a DORA e a NIS2. Quando um auditor pergunta pelo desenvolvimento seguro, o registo mostra que risco foi aceite, quem assinou e até quando.
O que cada exceção regista.
- Achado Motor, regra, gravidade e repositório
- Dono A pessoa que pediu a exceção
- Aprovador Uma segunda pessoa, nunca o dono
- Motivo Porque é que o achado fica, nas palavras de quem pediu
- Validade Obrigatória e sempre no futuro
- Registado Quem a criou e quando
Do achado ao registo.
-
A análise corre no agente
A tarefa de pipeline corre Trivy, Gitleaks, Checkov e Opengrep e envia SARIF. O código-fonte fica na sua organização.
-
O portão decide
Achados no limiar de gravidade ou acima fazem falhar o pull request, a menos que uma exceção os cubra.
-
Alguém assina
Uma exceção precisa de um dono, de outro aprovador, de um motivo e de uma data de validade.
-
Caduca
Depois da data de validade, a análise seguinte volta a contar o achado contra o portão.
A assinatura no processo.
Corram os analisadores nos agentes. Guardamos as decisões do portão, as exceções e quem as aprovou.