Задача / 01Описать цепочку / Определить риски
Связываем источники, зависимости, сборочные системы и реестры.
Разбираем подмену компонентов, избыточные права и обход проверок.
Цепочка поставки ПО · Настройка · Сопровождение
Безопасность цепочки поставки ПО
Проектируем контроль пути программного продукта от исходного кода до выпуска. Определяем доверенные источники, границы сборки и доказательства происхождения артефактов.
Состав мер выбираем по вашей схеме разработки. Внедрение отдельных сканеров, SBOM и подписи включаем в согласованный план этапов.
Карта поставкиПлан защитыПроверенный релиз
Подготовим вводные
Уточним задачу: Цепочка поставки ПО
Три вопроса помогут определить контур работ и следующий шаг к оценке.
Вопрос 1 из 3
Можно вернуться и изменить ответ
Какие задачи решаем
Состав работ зависит от вашей системы и согласованных критериев результата.
Задача / 01
Задача / 02Выбрать меры
Согласуем контроль источников, версий и происхождения результатов сборки.
Задача / 03Проверить пилот
Прослеживаем один релиз и фиксируем оставшиеся разрывы.
Специалисты, которые могут участвовать в вашем проекте
Состав команды и участие сотрудников согласуем с учётом задач проекта и сроков.
Специалистов: 2
Специалисты не найдены. Измените параметры или сбросьте фильтры.
Олеся С.
Cloud DevOps
Все навыки (7)
Елена Л.
DevOps Lead
Все навыки (7)
Состав и границы услуги
В состав работ
Связываем источники, зависимости, сборочные системы и реестры. Разбираем подмену компонентов, избыточные права и обход проверок. Согласуем контроль источников, версий и происхождения результатов сборки. Прослеживаем один релиз и фиксируем оставшиеся разрывы.
Зависимости
Репозитории, внешние компоненты и правила выбора версий. Исполнители, окружения и способы получения зависимостей. Реестры, этапы продвижения и порядок выпуска.
Не входит автоматически
Состав доработок приложений, закупку лицензий и дальнейшее сопровождение согласуем отдельно от первичной настройки.
Что получите по итогам работ
Конкретный состав артефактов и критерии приёмки фиксируем перед началом работ.
Карта поставки
Понятный маршрут компонентов и готовых артефактов.
План защиты
Меры связаны с рисками, владельцами и этапами внедрения.
Проверенный релиз
Зафиксированы доказательства происхождения и ограничения пилота.
Инструменты и конфигурация
Состав решения согласуем с учётом вашей инфраструктуры и задач.
Карта поставки
Понятный маршрут компонентов и готовых артефактов.
План защиты
Меры связаны с рисками, владельцами и этапами внедрения.
Проверенный релиз
Зафиксированы доказательства происхождения и ограничения пилота.
Начнём с вашей текущей системы
Сложно установить, из чего собран релиз?
Проследим путь одного артефакта и определим, где теряется связь с исходниками и зависимостями.
Доступы согласуем отдельно
Предоставляйте только необходимые сведения и минимальные права для выбранного этапа.
ПЕРЕД СТАРТОМ
Карта вашей системы
- ИсточникиРепозитории, внешние компоненты и правила выбора версий.
- СборкаИсполнители, окружения и способы получения зависимостей.
- ДоставкаРеестры, этапы продвижения и порядок выпуска.
Общая картина проектаОснова для оценки объёма и плана работ
Форматы выполнения работ
Формат сотрудничества / 01
Оценка задачи
Разберём текущую схему и определим объём изменений.
Формат сотрудничества / 02
Пилот
Проверим решение на одном согласованном проекте.
Формат сотрудничества / 03
Внедрение
Расширим проверенный подход на выбранные системы.
Формат сотрудничества / 04
Передача команде
Разберём настройки, инструкции и контрольные сценарии.
Этапы проекта
01
Согласуем задачу
Определим исходное состояние, границы работ и критерии приёмки.
РЕЗУЛЬТАТ ЭТАПАПлан и критерии
Подробнее об этапе
Проследим путь одного артефакта и определим, где теряется связь с исходниками и зависимостями.
02
Выполним работы
Реализуем согласованный объём на выбранном контуре.
РЕЗУЛЬТАТ ЭТАПАГотовое решение
Подробнее об этапе
Разбираем подмену компонентов, избыточные права и обход проверок. Согласуем контроль источников, версий и происхождения результатов сборки.
03
Проверим и передадим
Проверим результат по согласованным сценариям и передадим материалы команде.
РЕЗУЛЬТАТ ЭТАПАРезультат и инструкции
Подробнее об этапе
Сверяем связь исходного изменения, сборки и версии артефакта. Проверяем правила использования источников и исполнителей. Проверяем согласованные сценарии выпуска без обязательных подтверждений. Зафиксированы доказательства происхождения и ограничения пилота.
Стоимость и сроки: что влияет на оценку
Стоимость и продолжительность определяем после анализа исходных данных, доступа и согласованного объёма. Подготовим индивидуальную оценку с учётом требований к результату.
Объём+Зависимости+Проверка→Оценка работ
| Фактор | Что оцениваем |
|---|---|
| Источники | Репозитории, внешние компоненты и правила выбора версий. |
| Сборка | Исполнители, окружения и способы получения зависимостей. |
| Доставка | Реестры, этапы продвижения и порядок выпуска. |
| Охват внедрения | Количество проектов, окружений и контрольных сценариев; необходимая глубина автоматизации. |
Проверка, передача и дальнейшие действия
Связность
Сверяем связь исходного изменения, сборки и версии артефакта.
Доверие
Проверяем правила использования источников и исполнителей.
Обход
Проверяем согласованные сценарии выпуска без обязательных подтверждений.
Передача результата
Передаём согласованные настройки, результаты проверки и инструкции. Дополнительное сопровождение и режим реакции обсуждаем отдельно.
Опыт команды в проектах
Существующие проекты и отзывы компании CodeHub. Примеры не означают, что именно эта услуга выполнялась в каждом проекте.
1–3 / 9
01 / 09Московская биржа
Python · автоматизация тестирования
Московская биржа: автоматизация тестирования
Московская биржа. Автоматизация тестирования
85% критичных путей покрыто
02 / 09Крупнейший ритейл
Данные · смежный опыт
Крупнейший ритейл: SAP и Data
Крупнейший ритейл - проекты по SAP и Data
Data Lake и SAP-процессы
03 / 09Иннотех / ВТБ
Иннотех и ВТБ: усиление IT-команд
Усиление командами и точечными ИТ-специалистами команды интегратора Иннотех на проектах ВТБ и дочерних компаний
25+ специалистов выведено
04 / 09Крупный интегратор
HR CRM для крупного интегратора
Взаимодействие с интегратором в рамках разработки внутренней HR CRM для автоматизации рекрутмента и хранения внутренней базы кандидатов
40% сокращение времени найма
05 / 09Р-Фарм
1С-разработка для Р-Фарм
1С Разработка для Р-Фарм
1С модули для фармы
06 / 09МТС Digital / МТС WMS / МТС AI
МТС: усиление выделенными командами
Усиление команд, предоставление выделенной команды.
4 направления усиления
07 / 09Фиолетовый банк маркетплейса
Банковский маркетплейс: Java и Kotlin
Усиление отделов Java + Kotlin разработки.
Java + Kotlin усиление разработки
08 / 09ВинЛаб и Аптечки Столицы
Восстановление IT-инфраструктуры после кибератак
Восстановление ИТ-инфраструктуры после кибератак
60+ точек восстановлено
09 / 09EdTech-платформа
EdTech-приложение для школьников на Unity
Мобильное приложение для Edtech-платформы для школьников на Unity
80 000+ MAU
Видеоотзывы клиентов
Отзывы клиентов о работе компании CodeHub; они не являются подтверждением выполнения конкретно этой услуги.
1–3 / 5
Борис Губанов
Клиент CodeHub
Татьяна Тарасенкова
Гульмира
Вячеслав Юдин
Вопросы об услуге: Цепочка поставки ПО
Достаточно одного сканера?
Сканер решает отдельную задачу. Сначала определяем разрывы во всей цепочке.
Это внедрение DevSecOps?
Эта услуга сосредоточена на происхождении и целостности компонентов на пути к выпуску.
Нужно менять систему сборки?
Не обязательно: сначала оцениваем возможности текущих инструментов.
Выдаёте сертификат безопасности?
Результат — согласованные меры и проверка их работы, а не сертификат отсутствия уязвимостей.
Как определяются сроки и стоимость?
По результатам оценки согласуем охват систем, этапы работ и критерии приёмки. Расходы на внешние сервисы укажем отдельно.
Можно начать с пилотного проекта?
Да. Выберем ограниченный объект, проверим результат и затем согласуем расширение.
Обсудим задачу
Опишите задачу по услуге «Безопасность цепочки поставки ПО». Уточним вводные, ограничения и следующий шаг к оценке.